医療情報システム安全管理ガイドライン第7.0版｜主な改定点と5つの対応

2026年8月更新：厚生労働省が2026年6月に公表した「医療情報システムの安全管理に関するガイドライン 第7.0版」と、令和8年度版チェックリストに基づいて全面的に見直しました。

医療情報システムの安全管理は、セキュリティ製品を導入するだけでは完了しません。院内で責任者を決め、利用中の機器とサービスを把握し、保守事業者との分担や、事故時の診療継続まで決めておく必要があります。

この記事では、クリニック・薬局の経営者やIT実務担当者が、第7.0版の改定点を理解し、何から確認すればよいかを5つの行動に整理します。

STEP 01 / 見える化

最初に、院内のITを一覧にします

PC、ルーター、電子カルテ、クラウド、保守先を一か所へまとめると、誰に何を確認すべきかが見えるようになります。製品を追加する前に、現在の機器と契約を把握することが出発点です。

第7.0版で押さえたい5つの改定点

1．「保守委託機関編」が加わり、全5編になった

第7.0版は「概説編」「経営管理編」「企画管理編」「システム運用編」に、新しい「保守委託機関編」を加えた5編構成です。IT専任者がいない小規模な医療機関でも、外部へ保守を委託しながら必要な安全管理を継続できるよう、医療機関と保守事業者の役割が整理されました。

2．パスワードは一律の定期変更ではなく、使い回し防止などを重視

第7.0版では、効果が限定的なパスワードの定期変更に関する記載が見直されました。令和8年度版チェックリストでは、推測されにくいパスワード、使い回しの禁止、不要アカウントの削除・無効化などが確認項目になっています。

「3か月ごとに変更すれば安全」という運用ではなく、初期パスワードを残さない、複数サービスで使い回さない、退職者のIDを残さないことが重要です。

3．二要素認証の対象と移行時期が明確になった

端末のアプリケーションログインやサーバのOSログインについて、二要素認証の実装が確認項目として示されています。厚生労働省の改定概要では、2027年4月1日を対応の基準日とし、早期対応が難しい医療機関は、それ以降の初回システム更改時に実装する考え方が示されています。

すぐに設定を変更できない製品もあるため、まず各システムの対応可否と更改時期を保守事業者へ確認し、計画を記録しておくことが現実的です。

4．クラウド活用と、委託先の管理を同時に考える

第7.0版はクラウドネイティブなシステム構成を後押ししています。一方で、クラウドへ移せば医療機関の責任がなくなるわけではありません。どのデータをどこへ保存するか、更新・バックアップ・障害対応を誰が行うか、契約終了時にデータをどう返却・消去するかを確認する必要があります。

5．自院だけでなく、保守事業者を含む供給網全体で備える

リモート保守の接続点、製品・サービスのセキュリティ情報、事故時の連絡先など、外部事業者との情報共有が重視されています。院内にあるPCだけを点検しても、電子カルテ、レセコン、ネットワーク機器、クラウドサービスの役割分担が不明なままでは、障害や事故への初動が遅れます。

クリニック・薬局が進める5つの行動

1. 責任者を決め、機器・サービス・保守先を一覧にする

   医療情報システム安全管理責任者を決め、サーバ、PC、ネットワーク機器、電子カルテ、レセコン、クラウドサービスを一覧化します。設置場所、利用者、OSやバージョン、保守先、リモート保守の有無まで記録すると、確認先が見えるようになります。

2. アカウント・権限・二要素認証を棚卸しする

   共有IDや管理者権限を必要最小限にし、退職者・休眠アカウントを削除または無効化します。パスワードの使い回しをやめ、二要素認証に対応できるシステムと、次回更改で対応するシステムを分けて管理します。

3. 更新作業を「誰が行うか」まで決める

   OS、ソフトウェア、ルーター、ファイアウォール、医療機器の更新状況を確認します。医療機器や基幹システムは、独断で更新すると診療へ影響する場合があります。自院、販売会社、メーカー、保守会社のどこが確認・作業・判断を担うのかを明文化してください。

4. バックアップと復旧手順をセットで確認する

   バックアップの保存先・頻度・世代数だけでなく、障害時に何をどの順序で復旧するかを確認します。ネットワークから切り離したバックアップを含め、実際に復元できるかを定期的に確かめることが重要です。あわせて、電子カルテが使えない間の受付・診療・会計方法をBCPに整理します。

5. 連絡体制と規程を整え、年1回以上見直す

   事故の疑いがあるとき、院内の誰に報告し、どの保守事業者や関係機関へ連絡するかを図にします。職員教育、USB等の外部記録媒体、メール、私物端末などのルールも運用管理規程へ反映し、令和8年度版チェックリストを使って少なくとも年1回点検します。

最初に作るとよい4つの資料

• 機器・システム台帳：端末、サーバ、ネットワーク機器、クラウド、利用者、保守先
• 役割分担表：更新、バックアップ、アカウント、障害対応を誰が担うか
• 緊急連絡体制図：院内責任者、各事業者、必要な外部関係機関の連絡順
• BCP・復旧手順：システム停止中に診療を続ける方法と、復旧の優先順位

令和8年度版チェックリストの立入検査に関する説明でも、機器台帳、連絡体制図、BCP、規程類は現物確認の対象として示されています。形式だけ整えるのではなく、担当者が実際に使える内容にすることが大切です。

STEP 02 / 続ける仕組み

設定した後も、確認と更新を続けます

二要素認証、更新、バックアップ、診療継続は、一度設定して終わりではありません。担当者と確認日を決め、機器の入れ替えや契約変更があった時にも記録を更新します。

外部へ依頼するときは「丸投げ」ではなく責任分界を確認する

医療機関が保守事業者へ作業を委託しても、契約範囲外の項目は医療機関側が担います。まずは各事業者から「事業者確認用チェックリスト」を回収し、対応済み・未対応・対象外を確認してください。

ISMSやプライバシーマークは、外部保存を含む委託先を評価する材料の一つですが、認証だけで選定が完了するわけではありません。実際の保管場所、バックアップ、再委託、事故対応、契約終了時のデータの扱いまで確認する必要があります。

当社が支援できる範囲

株式会社テクノリレーションズは、PC・ネットワーク・アカウントの現状整理、台帳作成、日常運用、各IT事業者との連絡調整など、院内ITの実務を支援します。

医療情報システムの適合性判断、メーカー固有の保守、法令解釈を代行・保証するものではありません。契約前に当社が行うこと、医療機関が判断すること、メーカーや専門事業者へ確認することを整理し、支援範囲を明確にします。

関連して確認したい記事

• クリニックのセキュリティ対策チェックリスト｜院長が確認したい5項目
• 医療機関・薬局のメール詐欺対策｜日常運用と初動対応

参照した厚生労働省の一次資料

• 医療情報システムの安全管理に関するガイドライン 第7.0版
• 第7.0版の概要・主な改定内容
• 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト
• 令和8年度版 チェックリストマニュアル

まとめ

第7.0版対応で重要なのは、資料を読んだだけで終わらせず、責任者、台帳、役割分担、復旧手順、連絡体制を日常運用へ落とし込むことです。まず令和8年度版チェックリストで現状を確認し、「いいえ」の項目に担当者と目標日を設定するところから始めてください。