はい、義務です。2023年4月から、病院・診療所・助産所の管理者は、サイバーセキュリティを確保するための措置をとることが法令で決まっています。
ただし、いきなりすべてを完璧にする必要はありません。実際にやることは、厚生労働省のチェックリストの19項目に絞られていて、立入検査ではその記入と、書類4つの現物を確認されます。
2023年4月から、管理者の「守るべきこと」になった
きっかけは、医療機関へのサイバー攻撃で診療が止まる事案が続いたことです。
これを受けて、厚生労働省は医療法施行規則に第14条第2項を新しく加え、2023年4月1日から施行しました。
中身を短く言うと、「医療の提供に大きな支障が出ないように、管理者はサイバーセキュリティを確保するために必要な措置をとること」です。
対象は病院・診療所・助産所の管理者です。ベッド数や職員数で外れることはなく、小さな無床の診療所も含まれます。
ここで多くの人がつまずくのが、「必要な措置」とは何か、という点です。省令の条文そのものには、具体的な作業は書かれていません。
その答えは、同じ日に出た厚生労働省の通知に書かれています。
- 必要な措置として、最新の「医療情報システムの安全管理に関するガイドライン」を参照して対応すること
- ガイドラインの中で優先して取り組むことは、別にチェックリストを作って示すこと
つまり、法律が「やりなさい」と言い、ガイドラインが「全体の中身」を示し、チェックリストが「まずやること」を絞り込む、という関係になっています。
法律・ガイドライン・チェックリスト・立入検査は「4つの階段」
この関係を1枚にすると、次のようになります。
サイバーセキュリティ対策の「4つの階段」
- 法律医療法施行規則 第14条第2項病院・診療所・助産所の管理者に、サイバーセキュリティの確保を義務づけ（2023年4月から）
- 「必要な措置」の中身は
- 中身医療情報システムの安全管理に関するガイドライン 第7.0版対策の全体。5つの編に分かれていて、とても長い
- その中から、まず優先すること
- 宿題サイバーセキュリティ対策チェックリスト（令和8年度版）全19項目。「はい・いいえ」と確認日を書く
- 書いたかどうかを
- 確認保健所などの立入検査チェックリストの記入と、書類4つの現物を見られる
上から順に、だんだん具体的になっていきます。
診療所の院長や事務長が手を動かすのは、3段目のチェックリストからです。ガイドラインを最初から全部読む必要はありません。
ガイドラインは「辞書」として使う
ガイドラインの最新版は、2026年6月に出た第7.0版です。
概説編・経営管理編・企画管理編・システム運用編・保守委託機関編の5つの編に分かれていて、分量もかなりあります。
厚生労働省自身も、改定の検討資料で「医療機関のセキュリティ人材が足りず、ガイドラインを読み解いて対応するのが難しい」という声があったことを挙げています。
最初から通して読むものではなく、チェックリストの項目で分からないことが出たときに引く「辞書」と考えると楽になります。チェックリストのマニュアルには、各項目がガイドラインのどの節に当たるかが書かれています。
攻撃の入口になりやすい3つの場所
チェックリストの項目は、実際に起きた被害をもとに選ばれています。厚生労働省のマニュアルが、とくに被害が多いと書いている入口は次の3つです。
1. 業者が保守に使う「外からの入口」
電子カルテやレセコンの業者は、遠くから設定を直すために、院内のネットワークに外からつながる入口を持っていることがあります。これをリモートメンテナンス（遠隔保守）と呼びます。
マニュアルによると、この入口からの攻撃が相次いでいて、医療機関の側が入口の存在を把握しきれていないことが大きな原因とされています。
だからチェックリストには、「リモート保守を使っている機器があるかを業者に確認した」という項目（2-②）があります。
2. 短いパスワードと、使い回し
単純なパスワードが原因の被害も相次いでいます。
マニュアルには、業者が担当する複数の医療機関に同じパスワードを使い回していて攻撃を受けた事案が報告されている、とも書かれています。院内だけでなく、業者の管理するパスワードも確認の対象になるのはこのためです（2-⑦・2-⑧）。
3. 全員に「管理者」の権限がついている
職員の誰もがパソコンの管理者権限を持っていると、1台が乗っ取られたときに、ウイルス対策ソフトを止められるなどして被害が広がります。
管理者権限は、本当に必要な人だけに絞る。これもチェックリストの項目（2-④）です。
どれも、高価な機械を買う話ではありません。「把握する」「決める」「業者に聞く」で減らせる入口が中心です。
実際にやることは、チェックリストの19項目
令和8年度版のチェックリストは、4つの区分、全部で19項目です。
| 区分 | 項目数 | 中身の例 |
|---|---|---|
| 1 体制構築 | 1 | 安全管理の責任者を決める |
| 2 医療情報システムの管理・運用 | 14 | 機器の台帳、パスワード、退職者のアカウント削除、業者のリモート保守の確認 |
| 3 インシデント発生に備えた対応 | 3 | 連絡体制図、バックアップと復旧手順、BCP（事業継続計画） |
| 4 規程類の整備 | 1 | 1〜3の対策を院内のルールとして書く |
項目数は多く見えますが、半分ほどは、電子カルテやレセコンの業者に確認すれば答えられるものです。
院内だけで抱え込まず、「業者に聞く項目」と「院内で決める項目」に分けると、一気に進めやすくなります。分け方はチェックリストの書き方で1項目ずつ解説しています。
担当者の呼び方を先に覚えておく
チェックリストやマニュアルには、担当者を表す言葉がいくつか出てきます。小さな診療所では、同じ人が兼ねて構いません。
| 呼び方 | 何をする人か | 小さな診療所なら |
|---|---|---|
| 医療情報システム安全管理責任者 | 安全管理の方針を決め、教育や訓練も含めて対策を進める責任者 | 院長 |
| 企画管理者 | 安全管理の実務を担う担当者 | 事務長・院長 |
| システム運用担当者 | システムの設定や運用を実際に行う担当者 | 事務長、または保守の業者 |
責任者は、経営層が就くのが望ましいとされています。規模によっては、企画管理者が兼ねることもできます。
厚生労働省は、医療機関向けセキュリティ教育支援ポータルサイト（MIST）で、経営層や医療従事者など立場別の研修も案内しています。職員への教育を何から始めるか迷ったら、ここの教材が使えます。
令和8年度版で変わったこと
令和8年度版は、2026年6月29日付けの通知で示されました。
大きな変化は、これまで別々だった「医療機関用」と「薬局用」が1つにまとまったことです。項目が共通だったためで、薬局も同じ19項目で確認します。
あわせて、ガイドライン第7.0版の内容に合わせて一部の項目が見直されています。前の年度の様式を使い回さず、令和8年度版の様式で書き直すようにしてください。
立入検査で見られるのは「記入」と「4つの書類」
チェックリストは、書いて終わりではありません。
医療法第25条第1項に基づく立入検査で、サイバーセキュリティの取組みも確認する対象になっています。薬局の場合は薬機法に基づく立入検査で確認されます。
厚生労働省のマニュアルによると、立入検査で確認されるのは次の2つです。
- チェックリストのすべての項目に、確認日と回答が書かれているか
- 4つの書類が、現物として作られているか
その4つの書類が、次のものです。
立入検査で「現物」を見られる4つ
- 2-①機器の台帳パソコン・サーバ・ルータなどの一覧
- 3-①連絡体制図攻撃を受けたとき、誰が誰に連絡するか
- 3-③BCP（事業継続計画）システムが止まっても診療を続ける計画
- 4-①運用管理規程1〜3の対策を、院内のルールとして書いたもの
たとえば静岡県は、2023年度の立入検査から、チェックリストとインシデント発生時の連絡体制図を確認すると案内しています。同じページには、診療所向けの連絡体制図の見本も置かれています。
「いいえ」があっても、まず空欄をなくす
チェックリストには「はい」か「いいえ」に○をつけます。
「いいえ」の項目には、令和8年度中に対応する目標日を書くことになっています。年度内にすべてを「はい」にするのが目標ですが、今の時点で「いいえ」があること自体を責める作りにはなっていません。
一番避けたいのは、空欄のまま立入検査を迎えることです。分からない項目も、業者に聞く、目標日を書く、のどちらかで埋めておきます。
業者と契約しているなら、業者にも書いてもらう
電子カルテ・レセコン・ネットワーク機器などの保守を業者に頼んでいる場合は、もう1枚の様式があります。
それが「事業者確認用」のチェックリストです。医療機関が業者に送り、業者の側で対策の状況を書いて返してもらいます。
- 保守契約のある業者ごとに1枚ずつ送って、回収する
- 業者の回答には「はい・いいえ」のほかに「対象外」があり、対象外の項目は医療機関の側が責任を持つ
- 立入検査では、回収した事業者確認用も確認される
製品を買っただけで、運用や保守の契約がない場合は、事業者確認用は要りません。ただしその場合、システムの更新などの責任はすべて医療機関の側にあることになります。
2027年度からの二要素認証は「次の入れ替え」のとき
もう1つ、先の予定として知っておきたいのが二要素認証です。
二要素認証は、パスワードに加えて、ICカードや指紋などもう1つの方法で本人かどうかを確かめる仕組みです。
ガイドラインでは、令和9年度（2027年度）の時点で動いている想定のシステムを新しく入れる、または入れ替えるときに、二要素認証を採用することを求めています。
今すぐ全部の端末に入れなければならない、という意味ではありません。チェックリストでも、「令和9年度以降の最初のシステム更改のときに入れる予定」であれば「はい」にできます。
ただし費用がかかるので、電子カルテの入れ替え時期と見積もりを、早めに業者に確認しておくと慌てずに済みます。
もし攻撃を受けたら、どこに連絡するか
万が一、サイバー攻撃を受けた、または受けた疑いがあるときの連絡先も、マニュアルに書かれています。
厚生労働省 医政局 医療情報担当参事官室（03-6812-7837）です。医療情報システムに障害が起きた場合も、ここに連絡することになっています。
この番号は、チェックリスト3-①の連絡体制図にもそのまま書き込みます。業者・警察・院内の連絡先と一緒に、1枚にまとめておきます。
今日からやる3つのこと
ここまでの内容を、最初の一歩に落とすと次の3つです。
- 令和8年度版のチェックリストとマニュアルを手に入れる。千葉県など、都道府県のページにExcel版が置かれていることがあります
- 安全管理の責任者を決める。小さな診療所なら院長か事務長で構いません。これだけで1項目が「はい」になります
- 保守契約のある業者を書き出し、事業者確認用を送る。業者の回答が戻るまでに時間がかかるので、最初に動かします
ここまで終われば、残りは1項目ずつ「はい」にしていく作業です。次は、19項目を1つずつ解説したチェックリストの書き方に進んでください。
