クリニックのセキュリティ対策チェックリスト｜院長が確認したい5項目【第7.0版】

2026年8月更新：厚生労働省の第7.0版と令和8年度版チェックリストに合わせ、院長・管理者が確認しやすい内容へ全面改訂しました。旧記事にあった「3か月ごとのパスワード変更」「4編構成」などの誤りも修正しています。

クリニックのセキュリティ対策で、院長がすべての設定作業を行う必要はありません。ただし、誰が安全管理を担い、何を保有し、どの事業者がどこまで対応するかは、経営側が把握する必要があります。

ここでは、ITが専門でない院長・管理者でも確認できるよう、令和8年度版「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の要点を5項目に整理します。

CHECK 01 / 全体を把握

まず、機器と相談先を一枚にまとめます

機器名だけでなく、設置場所、利用者、保守先、リモート接続の有無まで記録します。詳しい技術を理解する前に、「何があり、困った時に誰へ連絡するか」を見える状態にしてください。

院長が最初に確認したい5項目

1．院内の責任者と、相談先は決まっていますか

最初に「医療情報システム安全管理責任者」を決めます。院長自身が担う場合も、他の職員が実務を担う場合も、誰が判断し、誰が日常確認を行うかを明確にしてください。

• 安全管理の責任者を指名している
• 電子カルテ、レセコン、ネットワークなど、システムごとの連絡先が分かる
• 事故の疑いがある時に、職員が最初に報告する相手を知っている

責任者が決まっていないと、更新の確認や事業者への依頼が「誰かがやるはず」のまま残ります。

2．院内にある機器と外部接続を把握していますか

PCだけでなく、電子カルテやレセコンのサーバ、ルーター、Wi-Fi、医療機器、クラウドサービスも対象です。まず台帳を作り、次の情報を記録します。

• 機器・システム名、設置場所、主な利用者
• OS・ソフトウェア・ファームウェアのバージョン
• 保守事業者、連絡先、契約期限
• リモートメンテナンスの有無と接続先

特にリモート保守は、院内から見えにくい外部接続点です。システム事業者へ有無を確認し、事業者確認用チェックリストとMDS/SDS（医療情報セキュリティ開示書）の提出を依頼してください。

3．職員のアカウントとパスワードを管理できていますか

パスワードを「3か月ごとに変更する」だけでは、十分な対策になりません。第7.0版では一律の定期変更に関する記載が見直され、令和8年度版チェックリストでは、使い回しの禁止、不要アカウントの削除・無効化、職種や担当に応じた権限、二要素認証などが確認項目になっています。

• 出荷時の初期パスワードを変更している
• 複数の機器・サービスで同じパスワードを使い回していない
• 共有IDを減らし、職員ごとのIDを基本としている
• 退職者や使っていないアカウントを削除または無効化している
• 管理者権限を必要最小限の人だけに付与している
• 二要素認証の対応状況と、未対応システムの更改計画を確認している

令和8年度版チェックリストでは、パスワードは英数字混在の8文字以上、二要素認証を採用するまでの期間は13桁以上という確認基準も示されています。製品の仕様を事業者へ確認し、使い回し禁止と二要素認証を含めて運用してください。

4．更新・USB・バックアップのルールがありますか

更新されていないOSやネットワーク機器は、既知の弱点が残る場合があります。一方、医療システムは勝手に更新すると動作へ影響することもあります。自院で行う作業と、メーカー・保守事業者へ依頼する作業を分けてください。

• セキュリティパッチの確認担当と適用手順が決まっている
• 私物USBや未確認の外部機器を接続しないルールがある
• バックアップが本番環境と同時に被害を受けない構成になっている
• バックアップから復元できることを確認している

「バックアップ中」という表示だけでは十分ではありません。何が、いつまで戻せるか、復旧にどれくらい時間がかかるかを事業者と確認します。

5．システム停止時の診療継続と連絡順を決めていますか

事故が起きてから連絡先を探すと、初動が遅れます。院内責任者、電子カルテ・レセコン・ネットワークの各事業者、必要な外部関係機関への連絡順を一枚の図にしてください。

• 電子カルテやネットワークが停止した時の受付・診療・会計方法
• 端末をネットワークから切り離す判断と方法
• 職員・患者への説明を誰が行うか
• 復旧するシステムの優先順位
• バックアップの場所と復旧を依頼する相手

これらをサイバー攻撃を想定したBCPへ反映し、少なくとも連絡訓練と手順確認を行います。

CHECK 02 / 診療を止めない

停止中の受付と、復旧の順番を決めます

バックアップがあっても、戻し方と優先順位が不明ではすぐに使えません。電子カルテやネットワークが止まった時の受付・診療・会計方法と、復旧を依頼する相手を平時に確認します。

パスワードだけで終わらせない確認の流れ

1. 院長・管理者が責任者を決める

   安全管理の判断と日常実務の担当を分けても構いません。役割と報告経路を明文化します。

2. 台帳をもとに各事業者へ確認する

   リモート保守、更新、バックアップ、ログ、二要素認証の対応範囲を、システムごとに確認します。

3. 未対応項目に担当者と目標日を入れる

   予算や更改が必要な項目は、すぐ実施できない理由と次に確認する日を記録します。

4. 規程・連絡体制・BCPへ反映する

   実際の運用と文書が食い違わないよう、院内ルールを更新します。

5. 少なくとも年1回、同じ表で見直す

   職員、機器、契約、脅威は変わります。令和8年度版チェックリストを基準に、変更のたびと年次で点検します。

第7.0版は5編構成です

• 概説編：全体像、対象、各編の関係
• 経営管理編：経営層が行う方針・責任・監督
• 企画管理編：安全管理を企画し、規程や委託を管理する実務
• システム運用編：システムの実装・運用に必要な対策
• 保守委託機関編：保守を受託する事業者と医療機関の役割

院長が全編の技術事項を一人で実装する必要はありません。経営管理編で示される責任を理解し、院内担当者と各事業者へ確認し、未対応を管理することが出発点です。

IT事業者へ確認するときの質問例

• このシステムのセキュリティ更新は、誰が、いつ確認していますか
• リモート保守の接続点と、接続制限はどうなっていますか
• 二要素認証に対応していますか。未対応なら、いつの更改で対応できますか
• バックアップの対象・保存先・世代数と、最後に復元を確認した日はいつですか
• 事故時の連絡窓口と、契約上の対応範囲はどこまでですか
• 事業者確認用チェックリストとMDS/SDSを提出できますか

当社が支援できる範囲

株式会社テクノリレーションズは、PC・ネットワーク・アカウントの台帳整理、日常の問い合わせ対応、入退社対応、更新状況の確認、IT事業者との連絡調整などを支援します。

電子カルテ等のメーカー保守や法令上の判断を代行するものではありません。既存の保守事業者を置き換えるのではなく、院内側のIT窓口として情報を整理し、誰に何を確認すべきかを明確にします。

関連して確認したい記事

• 医療情報システム安全管理ガイドライン第7.0版｜主な改定点と5つの対応
• 医療機関・薬局のメール詐欺対策｜日常運用と初動対応

参照した厚生労働省の一次資料

• 医療情報システムの安全管理に関するガイドライン 第7.0版
• 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト
• 令和8年度版 チェックリストマニュアル

まとめ

院長が最初に行うべきことは、高価な製品を選ぶことではありません。責任者を決め、機器と事業者を一覧にし、未対応項目の担当者と期限を決めることです。令和8年度版チェックリストを使い、院内と事業者の回答を一か所へ集めるところから始めてください。