立入検査でサイバーセキュリティについて見られるのは、大きく2つです。チェックリストの記入と、書類の現物です。
チェックリストは、すべての項目に確認日と「はい・いいえ」が書かれているか、「いいえ」には目標日があるかを見られます。書類は、連絡体制図は必ず、あわせて機器の台帳・BCP・運用管理規程の現物も確認されます。
不備があっても、その場で処分される流れではありません。指導を受けて、改善を報告するのが基本です。
なぜ立入検査でサイバーセキュリティを見られるのか
2023年4月に医療法施行規則の第14条第2項ができ、病院・診療所・助産所の管理者は、サイバーセキュリティを確保するための措置をとらなければならないことになりました。
これを受けて厚生労働省は、2023年6月に立入検査要綱に「2-19 サイバーセキュリティの確保」という項目を新しく加えました。以後、毎年度の要綱に引き継がれています。
2026年度（令和8年度）の立入検査の実施通知でも、チェックリストとマニュアルを活用して、必要な対策がとられているかを確認すると書かれています。チェックリストやガイドラインは改定されるので、最新版を使うよう求めています。
「立入検査」と「医療監視」は同じもの
立入検査は、医療法第25条第1項にもとづいて、都道府県や保健所設置市、特別区が行うものです。
検査に来るのは、医療法第26条で決められた医療監視員（多くは保健所の職員）です。そのため、立入検査は「医療監視」とも呼ばれます。
診療所の立入検査は、どのくらいの頻度か
病院は、国の要綱で原則として年1回です。
一方、診療所は国の通知で「検査の必要性に基づいて適宜」とされていて、具体的な頻度は自治体が決めています。いくつかの例を挙げます。
| 自治体 | 有床診療所 | 無床診療所 |
|---|---|---|
| 静岡県 | 原則3年に1回（療養病床がある診療所は毎年） | 原則5年に1回 |
| 浜松市 | 3年ごと | 6年ごと（医科・歯科） |
| 岡山県 | おおむね3年に1回 | 必要に応じて |
| 船橋市 | 一般病床は5年に1回（療養病床は2年に1回） | 10年に1回 |
このほかに、情報が寄せられた医療機関などに対して、定期とは別の随時の検査が行われることもあります。
数年に1回だとしても、チェックリストは年に1回は点検することになっています。検査の通知が来てから慌てないよう、毎年の点検で「はい」を増やしておくのが確実です。
当日までの流れ
自治体によって細かな違いはありますが、診療所の立入検査はおおむね次の流れで進みます。
立入検査の流れ（診療所の例）
- 1保健所から通知が届く実施日の10日〜2週間前ごろが多い。日程の希望を聞かれることもある
- 2書類を用意して出す施設表・職員名簿・自主点検表など。サイバーのチェックリストは事前提出か当日提示かが自治体で違う
- 3当日：書類の確認チェックリストの記入と、連絡体制図などの現物を見られる
- 4当日：施設の確認診察室などを職員の立ち会いで見て回る
- 5当日：講評管理者が立ち会って、結果の説明を受ける
- 6指導事項があれば改善の報告文書で通知され、改善計画などを提出する
具体的な例として、東京都葛飾区の令和8年度の診療所向けの通知を見てみます。
- 希望の日時を、第3希望まで保健所に伝える
- 施設表・自主管理チェックリスト・医療従事者名簿を、立入日の2週間前までに提出する
- 当日は、書類の確認が60分ほど、施設の確認が20分ほど、講評が10分ほど。全体で1時間30分程度を想定
- 当日に用意する書類の中に、サイバーセキュリティ対策チェックリストが入っている
サイバーのチェックリストは、事前提出か当日提示か
ここは自治体によって分かれます。
- 当日に見せる：名古屋市は、無床診療所のサイバーセキュリティ対策チェックリストを「事前提出不要」として当日準備する資料に入れています。電子データなら画面で確認するので印刷は不要とも書かれています
- 事前に出す：愛知県の清須保健所は、医療機関確認用と事業者確認用のチェックリストを提出する様式に含めています
保健所からの通知に、どちらか書いてあります。届いたら、まずサイバーのチェックリストの扱いを確認してください。
サイバーセキュリティで、具体的に何を見られるか
厚生労働省が立入検査の担当者向けに作った手引きと、チェックリストマニュアルをあわせると、確認されることは次のとおりです。
- 医療情報システムがあるか。「いいえ」なら、それ以降の項目の確認は不要
- すべての項目に、確認日と「はい・いいえ」が書かれているか
- 「いいえ」の項目に、目標日が書かれているか。年度中に「はい」になるよう取組を促される
- 連絡体制図の現物があるか。なければ、早急に作るよう促される
- 事業者確認用が、契約している業者ごとにそろっているか
- 機器の台帳・BCP・運用管理規程の現物（マニュアルで現物確認とされているもの）
- アクセスログは、直接確認される可能性がある
立入検査で「現物」を見られる4つ
- 2-①機器の台帳パソコン・サーバ・ルータなどの一覧
- 3-①連絡体制図攻撃を受けたとき、誰が誰に連絡するか
- 3-③BCP（事業継続計画）システムが止まっても診療を続ける計画
- 4-①運用管理規程1〜3の対策を、院内のルールとして書いたもの
自治体によっては、さらに踏み込んでいます。岡山県は令和8年度版の要綱で、サイバー攻撃を想定したBCPの提示を求めて、有無を確認すると書き足しています。
検査の日が決まったら、1か月前からの準備
通知が届いてから当日まで、2週間ほどしかないこともあります。時間がかかるものから先に動かします。
| 時期 | やること |
|---|---|
| 通知が届いたらすぐ | サイバーのチェックリストが事前提出か当日提示かを確認する |
| すぐ | 業者に事業者確認用とMDS/SDSを依頼する（回答に時間がかかる） |
| 1〜2週間前 | 院内のチェックリストを記入する。「いいえ」には目標日 |
| 1〜2週間前 | 連絡体制図・機器の台帳・BCP・運用管理規程の現物をそろえる |
| 前日 | 業者の回答を回収し、全項目に確認日と回答があるかを見直す |
見落としやすい3つの点
- 様式が令和8年度版になっているか。前の年度の様式のままになっていないか確認します。令和8年度版から、医療機関用と薬局用が1つの様式になりました
- 確認日が書かれているか。「はい・いいえ」に○をつけても、日付が空欄では記入が終わったことになりません
- 事業者確認用が、業者の数だけそろっているか。電子カルテとレセコンの業者が違えば2枚です。製品を買っただけで保守の契約がない場合は不要です
聞かれたときの答え方
検査で聞かれやすいのは、「いいえ」の項目と、業者に任せている部分です。答え方の準備をしておくと落ち着いて対応できます。
「いいえ」の項目について
目標日と、そこまでに何をするかを説明します。たとえば「二要素認証は、来年度の電子カルテの更新に合わせて入れる予定で、業者から方式の回答をもらっています」のように、誰と、いつ、何をするかが言えれば十分です。
業者に任せている部分について
「業者がやっています」だけでは足りません。事業者確認用のチェックリストと、MDS/SDS（業者のセキュリティの説明書）の現物を見せられるようにしておきます。
業者の回答に「対象外」がある場合は、その項目を院内でどう補っているかも説明できるようにしておきます。
サーバの二要素認証を「みなし措置」で対応している場合
ガイドラインでは、同等の措置をとっていることを立入検査の担当者に説明できることが想定されています。業者から受けた説明を、メモや書面で残しておいてください。
不備があったらどうなるか
厚生労働省の要綱と通知では、立入検査で不適合や指導事項が見つかった場合の流れは、次のとおりです。
- 不適合・指導事項と、その根拠・理由を文書で通知される
- 改善の時期や方法を書いた改善計画書などの提出を、期限を決めて求められる
- 改善の状況は、次の検査などで確認される
サイバーセキュリティについては、手引きでも「促す」、静岡県の実施方針でも「年度内に対応するよう指導する」という書き方です。まずは指導と改善の報告が基本の流れと考えてよいでしょう。
一方で、立入検査そのものを拒んだり、妨げたりすると、医療法第89条で20万円以下の罰金の対象になります。日程の都合がつかないときは、変更の連絡をきちんと入れてください。
病院では9割以上が「適合」
参考までに、国がまとめた病院の立入検査の結果では、「サイバーセキュリティの確保」の適合率は令和5年度が91.1%、令和6年度が92.8%でした。
裏を返すと、病院でも1割近くが適合していない項目です。令和5年度は、全項目の中で適合率がいちばん低い項目でした。診療所についての全国の集計は公表されていません。
薬局の場合
薬局は、医薬品医療機器等法（薬機法）にもとづく立入検査で確認されます。
薬機法施行規則で、薬局の管理者にもサイバーセキュリティを確保するための措置が求められていて、令和8年度からは医療機関と同じチェックリストを使います。確認される中身の考え方は、医療機関と同じです。
立入検査の前日までにそろえるもの
最後に、前日までの確認リストです。
- 令和8年度版のチェックリスト（医療機関・薬局確認用）。全項目に確認日と回答、「いいえ」には目標日
- 事業者確認用のチェックリスト。契約している業者の数だけ
- 連絡体制図の現物
- 機器の台帳・BCP・運用管理規程の現物
- MDS/SDS。システムごと
- アクセスログの見方。電子カルテのどの画面で見られるか、業者に聞いておく
書類の作り方は、チェックリストの書き方で項目ごとに解説しています。
