MDS/SDSとは？業者への頼み方と、届いたら見るところ

MDS/SDSは、電子カルテやレセコンなどの業者が作る「セキュリティの説明書」です。

システムごとに業者へ頼んで受け取り、保管しておけば、チェックリストの2-③は「はい」になります。受け取ったら、「いいえ」「対象外」「備考」の3か所だけは目を通してください。

MDS/SDSは「業者が書く、セキュリティの自己申告書」

正式な名前は、「製造業者/サービス事業者による医療情報セキュリティ開示書」です。英語の頭文字をとってMDS/SDSと呼ばれます。

医療情報システムの業界団体であるJAHIS（保健医療福祉情報システム工業会）とJIRA（日本画像医療システム工業会）が、決まった書式を作っています。この書式は、厚生労働省の標準規格にもなっています。

中身は、製品やサービスのセキュリティ機能についての質問と、業者の答えです。たとえば次のような質問が並びます。

• 利用者のログインは、どの方式で確認しているか（パスワード・ICカード・二要素認証など）
• パスワードはどう管理しているか
• 誰がいつ何をしたかの記録（アクセスログ）は残るか
• ウイルス対策はどうしているか
• 災害やサイバー攻撃のときの備えはあるか

決まった書式なので、業者ごとに聞き方を変えなくても、同じ物差しで比べられるのが利点です。

MDS/SDSは「証明書」ではない

1つ注意があります。MDS/SDSは業者の自己申告で、業界団体が試験や認証をしたものではありません。

また、機能があるかどうかを示すもので、医療機関がそれを使っているかまでは示しません。たとえば二要素認証の欄が「はい」でも、院内で実際に二要素認証を使っているかは、医療機関の運用しだいです。

MDSとSDSの違い

名前は似ていますが、対象が違います。

院内に置く製品でも、業者がリモートで保守している場合は、その保守の部分についてSDSも対象になります。

迷ったら、業者に「この製品（サービス）のMDS/SDSをください」と頼めば、どちらを出すべきかは業者が判断してくれます。

質問はどんな順番で並んでいるか

MDSの質問は、ガイドラインの章立てに合わせて並んでいます。おおまかな流れは次のとおりです。

• 管理の土台：扱う情報の一覧、機器の置き場所などの物理的な対策
• 技術的な対策：ログインの方式、パスワードの管理、アクセスログ、時刻の合わせ方、ウイルス対策、無線LAN
• 持ち出しと非常時：情報の持ち出し、災害やサイバー攻撃のときの非常用アカウント
• 外とのやりとり：外部のネットワークで情報をやりとりするときの通信方式
• カルテを電子で保存する場合：電子署名、改ざんされていないこと（真正性）、読めること（見読性）、残しておけること（保存性）

すべての医療機関が見るのは前半（質問1〜12）で、診療録を電子で保存している場合は13〜29、紙をスキャナで電子化している場合は30〜31も対象になります。

SDSは、これに加えて、業者側の体制や運用ルール、保守のやり方、バックアップなど、サービスを提供する側の管理についての質問が増えます。

業者への頼み方

頼む単位は、製品やサービスごとです。電子カルテとレセコンを別の会社から入れているなら、それぞれに頼みます。同じ会社でも、製品が違えば別々にもらいます。

業者が作っていない場合は、作成を依頼します。厚生労働省が周知している資料でも、開示がなければ請求するよう案内されています。

依頼は、事業者確認用のチェックリストを送るときにまとめてお願いすると一度で済みます。文面は次のような形で十分です。

いつもお世話になっております。厚生労働省の令和8年度版「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」への対応のため、次の2点をお願いいたします。

1. 当院で利用している〔製品名・サービス名〕の「製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）」のご提出
2. 同封の「事業者確認用」チェックリストのご記入とご返送

リモート保守を行っている場合は、その部分のSDSもあわせてお願いいたします。〔回答希望日〕までにいただけますと幸いです。

事業者確認用のチェックリストとは別もの

業者に頼むものは、MDS/SDSのほかに事業者確認用のチェックリストもあります。名前が似ていて混同しやすいので、違いを整理しておきます。

どちらも必要なので、業者には2つをセットで頼むと覚えておくと抜けがありません。

届いたら見るところは3か所

MDS/SDSは、ExcelのチェックリストをPDFにした形で届くことが多いです。質問が数十から百以上並んでいますが、全部を読み込む必要はありません。

1. 「いいえ」の質問

業者がまだ対応していない機能です。「いいえ」には、基本的に備考欄に代わりの方法（運用での対応など）が書かれています。

一部でも対応していなければ「いいえ」になる決まりなので、「いいえ」があること自体は珍しくありません。

2. 「対象外」の質問

ここがいちばん大事です。「対象外」は、その機能の責任を医療機関の側が持つ項目です。

ガイドラインのQ&Aでも、「対象外」は医療機関の責任で対応が必要と書かれています。院内のルールで補うのか、別の対策をとるのか、業者と相談して決めておきます。

3. 備考欄

オプション（追加料金の機能）で対応している場合は、必ず備考に書かれます。「はい」でも、オプションを契約していなければ使えないことがあるので、備考は確認してください。

二要素認証の欄も見ておく

令和9年度（2027年度）からの二要素認証に向けて、該当する質問も確認しておくと安心です。

小規模医療機関向けのガイドライン（保守委託機関編）の別紙では、二要素認証に対応済み、または次のシステム更改までに対応予定なら「はい」とする注記があります。予定の時期は、業者に確認しておきます。

「いいえ」があったら、その製品は使えない？

使えない、ということではありません。

ガイドラインのQ&Aでは、「いいえ」があっても導入が不可になるわけではなく、足りない対策や代わりの措置を検討し、医療機関の責任でリスクを評価して判断するとされています。

大切なのは、検討した内容を残しておくことです。立入検査などで聞かれたときに、「この項目はこう補っている」と説明できる状態にしておきます。

MDS/SDSで分かること、分からないこと

受け取ったMDS/SDSをどう使うかは、分かることと分からないことを分けて考えると迷いません。

厚生労働省が周知している利用者向けの資料でも、MDS/SDSは立入検査の資料を作る材料にはなるが、そのままでは使えないとされています。

一方で、チェックリストの2-③ではMDS/SDSを受け取ったかどうかが確認されるので、システムごとの現物は必ず保管しておきます。紙でもPDFでも構いません。保管場所を運用管理規程に書いておくと、担当者が替わっても探せます。

一度もらえば終わり？いつ取り直すか

MDS/SDSは、導入時の1回で終わりではありません。次のタイミングで取り直します。

• 製品のバージョンが上がったとき
• サービスの内容が変わったとき
• ガイドラインが改定されたとき

第7.0版に対応した書式は準備中

2026年10月時点で、MDS/SDSの現行の書式はVer.5.0（2024年9月公開、ガイドライン第6.0版に対応）です。

JAHISの案内では、第7.0版に対応したチェックリストは2026年12月末の公開を目標にしています。それまでは現行の書式で「おおむね第7.0版に対応できる」とされ、変わった部分は備考欄に書いて対応する扱いです。

つまり、今もらうなら現行の書式で問題ありません。新しい書式が出たら、次の更新のときに取り直せば十分です。

今日やること

1. 保守契約のある業者と、使っている製品・サービスを書き出す
2. 製品・サービスごとにMDS/SDSを依頼する。事業者確認用を送るときにまとめて
3. 届いたら「いいえ」「対象外」「備考」の3か所に印をつけて、保管する

これでチェックリストの2-③は「はい」になります。「対象外」の項目は、院内のルール（運用管理規程）で補う内容に加えておきます。