医療情報システム安全管理ガイドライン第7.0版｜改定点と5編の読み方
2026年8月更新：厚生労働省が2026年6月に公表した「医療情報システムの安全管理に関するガイドライン 第7.0版」と、令和8年度版チェックリストに基づいて全面的に見直しました。
厚生労働省は2026年6月、「医療情報システムの安全管理に関するガイドライン 第7.0版」を公表しました。第6.0版から構成が変わり、保守委託、二要素認証、クラウド利用、委託先を含む供給網の考え方が整理されています。
この記事では、第7.0版で何が変わったのか、5つの編を誰が確認するのかに絞って解説します。自院の対応状況を点検したい方は、別記事の実務チェックリストをご利用ください。
本記事は、厚生労働省の公表資料を実務向けに要約したものです。個別の適合性や法令上の判断を保証するものではありません。実際の対応は、原文、令和8年度版チェックリスト、各システムの仕様・契約内容を確認し、必要に応じて所管部署や専門家へご相談ください。
第7.0版は、役割別の5編で構成されます
院長・管理者が確認する内容、院内担当者が管理する内容、システム事業者や保守事業者が担う内容を、同じ資料の中で分けて読める構成になりました。
第7.0版で押さえたい5つの改定点
1．「保守委託機関編」が加わり、全5編になった
第7.0版は「概説編」「経営管理編」「企画管理編」「システム運用編」に、新しい「保守委託機関編」を加えた5編構成です。IT専任者がいない小規模な医療機関でも、外部へ保守を委託しながら必要な安全管理を継続できるよう、医療機関と保守事業者の役割が整理されました。
2．パスワードは一律の定期変更ではなく、使い回し防止などを重視
第7.0版では、効果が限定的なパスワードの定期変更に関する記載が見直されました。令和8年度版チェックリストでは、推測されにくいパスワード、使い回しの禁止、不要アカウントの削除・無効化などが確認項目になっています。
「3か月ごとに変更すれば安全」という運用ではなく、初期パスワードを残さない、複数サービスで使い回さない、退職者のIDを残さないことが重要です。
3．二要素認証の対象と移行時期が明確になった
端末のアプリケーションログインやサーバのOSログインについて、二要素認証の実装が確認項目として示されています。厚生労働省の改定概要では、2027年4月1日を対応の基準日とし、早期対応が難しい医療機関は、それ以降の初回システム更改時に実装する考え方が示されています。
すぐに設定を変更できない製品もあるため、まず各システムの対応可否と更改時期を保守事業者へ確認し、計画を記録しておくことが現実的です。
4．クラウド活用と、委託先の管理を同時に考える
第7.0版はクラウドネイティブなシステム構成を後押ししています。一方で、クラウドへ移せば医療機関の責任がなくなるわけではありません。どのデータをどこへ保存するか、更新・バックアップ・障害対応を誰が行うか、契約終了時にデータをどう返却・消去するかを確認する必要があります。
5．自院だけでなく、保守事業者を含む供給網全体で備える
リモート保守の接続点、製品・サービスのセキュリティ情報、事故時の連絡先など、外部事業者との情報共有が重視されています。院内にあるPCだけを点検しても、電子カルテ、レセコン、ネットワーク機器、クラウドサービスの役割分担が不明なままでは、障害や事故への初動が遅れます。
製品の追加より、役割分担の明確化が重視されています
第7.0版は、特定のセキュリティ製品を導入すれば完了するという考え方ではありません。医療機関と各事業者が、誰が確認・判断・作業するのかを共有することが中心です。
第7.0版の5編は誰が確認するものか
- 概説編：院長・管理者、院内担当者、事業者が、対象範囲と全体像を共有するための入口
- 経営管理編：院長・経営層が、方針、責任、予算、委託先の監督を確認するための内容
- 企画管理編：安全管理責任者や院内担当者が、規程、契約、教育、点検を管理するための内容
- システム運用編：IT担当者やシステム事業者が、認証、ログ、バックアップ、ネットワークなどを確認するための内容
- 保守委託機関編：保守事業者が担う安全管理と、医療機関との情報共有・責任分担を確認するための内容
院長が5編すべての技術事項を一人で実装する必要はありません。経営管理編で自院の責任を確認し、企画管理編・システム運用編の事項を院内担当者や各事業者へ確認する読み方が現実的です。
第7.0版と令和8年度版チェックリストの違い
第7.0版は、安全管理の考え方と役割を体系的に示すガイドラインです。一方、令和8年度版チェックリストは、自院と各事業者の対応状況を項目ごとに確認するための点検資料です。
改定内容を理解した後は、チェックリストを使って「できている」「確認が必要」「未対応」を分け、実際の担当者と確認期限へ落とし込みます。
PRACTICAL CHECK 自院の状況を5項目で点検する クリニック向けチェックリストを見る外部へ依頼するときは「丸投げ」ではなく責任分界を確認する
医療機関が保守事業者へ作業を委託しても、契約範囲外の項目は医療機関側が担います。まずは各事業者から「事業者確認用チェックリスト」を回収し、対応済み・未対応・対象外を確認してください。
ISMSやプライバシーマークは、外部保存を含む委託先を評価する材料の一つですが、認証だけで選定が完了するわけではありません。実際の保管場所、バックアップ、再委託、事故対応、契約終了時のデータの扱いまで確認する必要があります。
当社が支援できる範囲
株式会社テクノリレーションズは、PC・ネットワーク・アカウントの現状整理、台帳作成、日常運用、各IT事業者との連絡調整など、院内ITの実務を支援します。
医療情報システムの適合性判断、メーカー固有の保守、法令解釈を代行・保証するものではありません。契約前に当社が行うこと、医療機関が判断すること、メーカーや専門事業者へ確認することを整理し、支援範囲を明確にします。
MEDICAL IT SUPPORT 医療機関向けITサポートの対応範囲 サービスを見る関連して確認したい記事
参照した厚生労働省の一次資料
- 医療情報システムの安全管理に関するガイドライン 第7.0版
- 第7.0版の概要・主な改定内容
- 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト
- 令和8年度版 チェックリストマニュアル
まとめ
第7.0版では、保守委託機関編を加えた5編構成となり、二要素認証、クラウド利用、委託先を含む供給網の安全管理が整理されました。まず自院に関係する編と確認を依頼する事業者を把握し、実際の対応状況は令和8年度版チェックリストで点検してください。
ITのお困りごと、まずはお気軽にご相談ください
小田原・箱根・西湘エリアを中心に、外部情シスとして社内ITを継続支援します。
初回相談で状況の概要を伺い、対応可否と進め方をご案内します。
