医療情報セキュリティ・ISMSのコラム
医療機関とヘルスケア企業のためのセキュリティのコラムです。安全管理ガイドラインと3省2ガイドラインへの対応、ISMS認証取得、ランサムウェア対策、二要素認証、委託先管理まで、厚生労働省などの公表資料をもとに実務の視点で解説しています。テーマ別に読みたい方は「医療機関のセキュリティ対策ガイド」をご覧ください。
106 件の記事
安全管理ガイドライン第7.0版の変更点｜医療機関がすべきこと
令和8年6月に策定された「医療情報システムの安全管理に関するガイドライン」第7.0版。保守委託機関編の新設、パスワード要件の変更、二要素認証の対象明確化など、主な変更点と医療機関の対応を厚労省資料にもとづき整理します。
医療ITサービスへの不正アクセスから学ぶ｜医療機関のセキュリティ対策と委託先管理
2026年10月、メドレーの@linkとエムスリーのMR君で不正アクセスが公表されました。公表事実にもとづき、医療機関への影響と、3省2ガイドライン・委託先管理・アカウント管理・BCPで今すぐできる対策を整理します。
二要素認証は令和9年度にどこまで必須か｜電子カルテ・サーバ・VPN
安全管理ガイドライン第7.0版で、二要素認証の対象は端末のアプリケーションとサーバのOSと明確になりました。令和9年4月1日の意味、更改時までの経過措置、サーバの「みなし措置」、VPNの扱いを原文にもとづき整理します。
情報漏洩時代にクリニックが守るべきセキュリティ対策｜漏洩の経路別に優先順位とチェックリストを整理
クリニックの情報漏洩は、人のミス・パスワードの突破・外部からの攻撃・委託先の4経路で起きます。公的データをもとに、経路ごとに何から手をつけるかと、今週できるチェックリストを整理します。
なぜ二要素認証が必要なのか？オンライン診療サービスの情報漏洩事件から考えるセキュリティ対策
MICIN社のオンライン診療サービスで、他サービスから流出したIDとパスワードを使うリスト型攻撃による不正ログインが発覚しました。事案の概要と、二要素認証が必要な理由、クリニックが今すぐやるべきことを整理します。
アクセス権限設計と特権ID管理｜医療機関で現実的にどこまでやるか
職種別の権限設計、最小権限の考え方、退職・異動時の棚卸し、ベンダー保守アカウントの管理、そして共有IDをやめられない現場での次善策。理想論ではなく、医療現場の制約のなかで被害の広がりを実際に抑えるための権限設計を整理します。
組織的管理策37項目の読み方
ISO/IEC 27001:2022 附属書A.5の組織的管理策37項目を、一つずつ訳すのではなく8つのグループに束ねて解説します。方針とガバナンス、資産と情報の分類、アクセスの方針、委託先とクラウド、脅威情報、インシデント管理、事業継続、法令遵守と点検。各グループで実務上どの文書・記録を作ることになるかを整理しました。
附属書A 2022年版｜93管理策と4テーマの全体像
ISO/IEC 27001:2022 附属書Aの93管理策を、組織的37・人的8・物理的14・技術的34という4テーマの構造から俯瞰します。93すべてを実施する義務はないこと、採否を適用宣言書でどう説明するか、属性による分類の使いどころ、そしてヘルスケア企業がどの順で着手すべきかを整理しました。
人的管理策8項目の読み方
ISO/IEC 27001:2022 附属書A.6の人的管理策8項目を、入口・在職中・出口・働く場所・報告文化の5グループで整理します。既存の就業規則・雇用契約とどう接続するか、少人数組織で職務分離が成立しないときにどう説明するか、リモートワークをどこまで書くかを、ヘルスケア事業者の文脈で解説しました。
物理的管理策14項目の読み方
ISO/IEC 27001:2022 附属書A.7の物理的管理策14項目を5グループで整理し、オフィスを持たないフルリモート組織・クラウド専業のSaaS事業者がどこまでを適用除外にでき、どこを在宅勤務環境と委託先管理に振り替えるべきかを具体的に解説します。データセンターの扱い、媒体と廃棄、装置の社外持ち出しまで。
技術的管理策34項目の読み方
ISO/IEC 27001:2022 附属書A.8の技術的管理策34項目を6グループで整理します。アクセス制御と認証、脆弱性と構成管理、データ保護のライフサイクル、ログと監視、ネットワーク、そしてセキュアな開発。医療SaaSの開発・運用の文脈で、何を実装し何を記録として残すべきかを具体的に解説しました。
ウイルス対策とEDR｜医療機関が導入前に決めておくこと
従来型のウイルス対策とEDRは何が違うのか。EDRは「入れれば守られる」製品ではなく、検知したあとに誰かが判断し動くことで初めて機能します。運用体制の選び方、医療機器のように導入できない端末への代替策、そして導入前に確認しておくべき項目を整理しました。
審査費用の相場と変動要因
ISMSの審査費用は「審査人日 × 単価」で決まります。人日を動かす要素（適用範囲内の要員数、拠点数、事業の複雑さ、統合審査の有無）を整理し、初年度と2年目以降の違い、3年総額での比較の仕方を解説します。コンサル費用との切り分け、相見積で確認すべき費目のチェックリストも掲載しています。
ログ管理と監査証跡｜取っているが見ていない状態から抜け出す
何のログを取るか、どれだけ保管するか、そして最大の課題である「取っているが見ていない」問題。インシデント発生時に実際に必要になるログは何か、点検を運用に乗せるにはどうするかを、限られた人員の医療機関を前提に整理します。
医療機関のバックアップ設計｜3-2-1ルールと加算1の要件
2026年度改定で、複数方式によるバックアップと一部のオフライン保管が加算1の要件になりました。要件を満たすとされる3つの方式（外部媒体・NASへの自動転送・クラウド内の論理分離領域）、日次なら少なくとも3世代という世代管理、そして復旧試験をしていないバックアップは無いのと同じという論点を整理します。
事業継続計画（BCP）とISMSの接続
ISMSの可用性の要求とBCPをどう接続するかを整理しました。RTO・RPOを誰がどう決めるのか、ISMSの範囲で作るBCPと全社BCPの関係、医療システムが止まると何が起きるのか、そして訓練の記録に何を残すべきか。ヘルスケア企業が可用性をリスクとして正しく評価するための実務を解説します。
主要審査機関の比較｜BSI・JQA・BV・SGS・DQS
ISMS認証の審査機関としてよく候補に挙がる5機関——BSIグループジャパン、日本品質保証機構（JQA）、ビューローベリタスジャパン、SGSジャパン、DQSジャパン——の認定機関と特徴を一覧で整理しました。価格では差がつきにくい領域で、自社の条件からどう絞り込むかまで解説します。
審査機関の選び方｜相見積で見るべき点
ISMSの審査機関はどこを選んでも認証の効力は同じです。では何で選ぶのか。見積りが審査人日でどう決まるのか、相見積を取る前に揃えるべき前提条件、金額以外に比較すべき認定機関・日程の柔軟性・審査員の業界知見まで、選定の手順を実務の順番で整理しました。
治験・臨床研究システムのISMSとER/ES指針
EDCやeConsentなど治験・臨床研究を支えるシステムでは、ISMSに加えてER/ES指針（電子記録・電子署名）への適合が問われます。真正性・見読性・保存性の3要件、監査証跡に何を残すか、GCPとの関係、そしてISMS文書でどこまで賄えてどこからが別物なのかを整理します。
クラウド事業者の選定基準｜医療機関が確認すべき7項目
医療情報を預けるクラウド事業者を選ぶときの判断基準を整理しました。ガイドライン適合の確認方法、データの所在（本番・バックアップ・ログ）、ISMS・ISO 27017といった認証の読み方、契約終了時のデータ返還、そして再委託の透明性。相見積りを比べる前に確認すべき項目を表で示します。
審査でよくある不適合と対策
ISMS審査で指摘される不適合を、重大・軽微の区別と典型的なパターンに分けて整理します。内部監査の形式化、教育記録の欠落、リスクアセスメントの更新漏れ、委託先管理の未実施、記録と実態の乖離、SoAと規程の不整合——それぞれがなぜ起きるのか、審査前にどう潰すのか、指摘を受けた後の是正処置をどう進めるのかまで解説します。
是正処置報告書の書き方
是正処置報告書を、様式を埋める作業から再発防止の設計に変えるための実務を整理しました。応急処置と是正処置の違い、「なぜなぜ」で止まらない原因分析の進め方、有効性の確認をいつ何で行うか、審査で受けた指摘を是正に落とす流れ、そして記載例の構造を表で示します。
サイバー攻撃を想定したBCP｜自然災害BCPとの違いと診療継続の優先順位
医療機関のサイバーBCPを、自然災害BCPとの違いから組み立てます。復旧までの期間が読めないこと、紙運用への切替が長期化すること、バックアップ自体が被害を受けること。RTO・RPOの決め方、診療機能の優先順位づけ、そして2026年度改定で加算1の要件になったBCP策定と訓練の位置づけを整理しました。
医療機関のサイバー保険｜何が補償され、何が対象外か
医療機関がサイバー保険を検討するときの見方を整理しました。補償されやすい費用と対象外になりやすいもの、加入前に求められる対策水準、免責が効く場面、そして「保険は対策の代わりにならない」理由。具体的な商品名や保険料には触れず、契約前に確認すべき論点に絞っています。
個人情報漏えい時の報告義務｜医療機関が押さえる速報・確報と本人通知
医療機関で個人情報の漏えい等が起きたときの報告義務を整理しました。個人情報保護委員会への報告が必要になる場面、速報と確報という二段構えの枠組み、本人通知の考え方、そして診療情報が要配慮個人情報であることの意味。インシデント対応計画に組み込むべき判断手順としてまとめています。
電子カルテのアクセスログ点検｜不正閲覧をどう検知し、どう抑止するか
電子カルテのアクセスログは取得されていても、見られていないことがあります。知人や著名な患者のカルテを職務と関係なく閲覧する行為は、外部からの攻撃ではなく内部で起きます。何を手がかりに検知するのか、点検の頻度と担当をどう決めるのか、そして「点検している」と周知すること自体の効果まで整理しました。
電子カルテ更新時のセキュリティ要件｜移行期が最も危ない
電子カルテの更新プロジェクトで、最もリスクが高いのは移行期です。全患者データの持ち出し、新旧システムの並行稼働、旧システム・旧媒体の廃棄——この3つの局面で何が起きるのか、移行業者をどう管理するのか、旧媒体をどう処分するのかを、発注側が押さえるべき要件として整理します。
端末管理｜持ち出しPC・タブレットの安全対策
在宅医療・訪問診療でタブレットを持ち出す、自宅でノートPCを使う、職員が私物端末で業務メールを見る。院外に出た端末をどう管理するか、紛失時に何ができるようにしておくか、そして資産台帳とどう接続するかを、限られた人員で回せる形に整理します。
クラウド利用時のガイドライン対応
クラウド型の電子カルテや部門システムを導入するとき、3省2ガイドラインの上で医療機関は何を確認し、何を文書に残せばよいのか。外部保存の要件、事業者選定の手続き、責任分界の合意、データの所在確認、運用開始後に残る手続きまでを順に整理します。
3省2ガイドライン チェックリスト｜医療機関の対応状況を自己点検
自院が3省2ガイドラインにどこまで対応できているかを確認するための実用チェックリストです。経営・体制、技術・運用、委託・クラウドの3領域を表で整理し、「できていない」と分かった項目にどの順で着手すればよいかまでをまとめました。
経営管理編の要点｜経営層が負う責任
医療情報システムの安全管理ガイドライン第7.0版「経営管理編」は、院長・理事長・事務長に向けて書かれた編です。経営層が何を決め、何に責任を負うのか。委託していても責任は移転しないこと、2026年度改定で「専任の医療情報システム安全管理責任者」の配置が加算要件になった意味を、意思決定者の視点で整理します。
システム運用編の要点
医療情報システムの安全管理ガイドライン第7.0版「システム運用編」は、実際にシステムを扱う人に向けた編です。アクセス管理、ログ、バックアップ、機器の管理、インシデント時の動き——日々の運用で何をどう回すかを、加算のバックアップ要件（複数方式・一部オフライン・世代管理）も含めて実務の粒度で整理します。
ガイドライン対応を外部に委託するときの論点
3省2ガイドライン対応を外部の支援会社に頼むとき、何を委託でき、何を委託できないのか。責任は移転しないという原則、委託先の選び方、成果物の確認方法、そして「丸投げ」が機能しない構造的な理由を、医療機関の立場から整理します。
企画管理編の要点
医療情報システムの安全管理ガイドライン第7.0版「企画管理編」は、システム管理者に向けた編です。リスクアセスメントをどう進めるか、規程は何を何本作るのか、委託先をどう管理するか、職員教育をどう設計するか。そして「何をどこまで文書化すれば説明できる状態になるか」を、実務担当者の視点で整理します。
小規模クリニックのガイドライン対応｜どこまでやるか
3省2ガイドラインは規模を問わず対象ですが、10人のクリニックと500床の病院が同じ体制を組めるわけではありません。何を最初にやり、何を後回しにしてよいのか。バックアップとアクセス管理から始める理由、ベンダーに任せられる範囲、そして小規模でも自院でやらなければならないことを整理します。
ヘルスケア企業のISMS適用範囲設計
医療情報を扱う事業と扱わない事業が混在する組織で、ISMSの適用範囲をどう切るか。開発・運用・サポート・データセンターのどこまでを含めるか、取引先は認証書のどの記載を見ているのか。範囲を広げる判断と狭める判断の分かれ目を、ヘルスケア企業の具体で整理します。
医療機関のインシデント対応計画｜誰が何を判断し、診療をどう続けるか
医療機関のインシデント対応計画を、誰が何を判断するか・どう連絡するか・診療をどう継続するかの3点から組み立てます。2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算の加算1がBCP策定と訓練を要件にしたことを起点に、計画に書くべき項目と、書いただけで終わらせないための運用を整理しました。
インシデントの構造から学ぶ｜医療機関に共通する失敗パターン
公表されている医療機関のサイバー被害には、施設名を問わず共通する構造があります。境界機器の既知脆弱性が入口になる、バックアップが同一ネットワーク上で同時に暗号化される、復旧手順が未文書化、連絡先が被害システムの中にしかない。7つのパターンと、それぞれに対する具体的な備えを整理しました。
インシデント対応手順の作り方（事業者）
ヘルスケア企業のインシデント対応手順を、検知→報告→評価→対応→教訓の5段階で設計する方法を整理しました。報告の敷居を下げる仕組み、事象と事件を切り分ける評価基準、顧客医療機関への通知義務と個人情報保護法の報告期限を手順に組み込む方法、そして机上演習の設計までを扱います。
情報資産の洗い出しと台帳の作り方
情報資産台帳を「作れるが維持できない」状態にしないための実務をまとめました。粒度の決め方（PCを1台ずつ書かない理由）、サーバ・SaaS・紙・人の知識までを含める範囲、機密性・完全性・可用性の評価尺度の作り方、そして台帳が陳腐化しないための更新トリガーの設計まで。ヘルスケア企業の記載例つきです。
情報セキュリティ方針の書き方
情報セキュリティ方針に規格が求める要素を実務の言葉で整理し、社外公開版と社内版の作り分け、抽象的すぎて何も決めていない方針の典型例、そして方針と情報セキュリティ目的（箇条6.2）のつながりまでをまとめました。ヘルスケア企業が方針に書くべき固有の一文の例も添えています。
内部監査の進め方｜計画・チェックリスト・報告
ISMSの内部監査は、形式を整えるだけなら半日で終わりますが、それでは改善につながりません。独立性の確保（自分の仕事を自分で監査しない）、年間監査プログラムと範囲の決め方、使えるチェックリストの作り方、不適合と観察事項の線引き、報告書の構成、そして少人数組織で外部要員を使うときの注意点を整理します。
ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方
ISMS認証には「認定機関」と「審査機関」という階層があります。ISMS-AC・UKAS・ANABの違い、認定の有無が何を担保するのか、国内取引ならISMS-AC・海外取引先が見るならUKAS/ANAB併記という実務的な判断基準を整理しました。
ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達
なぜ医療機関は委託先にISMSを求めるのか。3省2ガイドラインの対応義務が委託先要求に転写される構造、製薬・自治体の調達仕様書での書かれ方、入札での必須要件と加点要件の違いを整理し、認証がない段階でどう交渉するかまで扱います。
ISMS認証取得のメリット・デメリット
ISMS認証で得られるもの（取引機会、社内の統制、インシデント時の説明力）と、正直に見込むべき負担（初年度の工数、毎年続く審査、形骸化のリスク）を両面から整理しました。「取らない」「後回しにする」という判断が正しいケースにも踏み込んでいます。
ISMS取得費用の全体像｜コンサル費・審査費・社内工数
ISMS（ISO/IEC 27001）取得の費用を、審査費用・コンサル費用・社内工数の3層に分けて構造から説明します。初年度だけでなく3年総額で見るべき理由、見積りを比較するときに必ず確認したい項目のチェックリスト、そして社内工数という最も見落とされやすいコストの見積り方まで。
ISMS取得にかかる期間｜6か月スケジュールの実際
ISMS（ISO/IEC 27001）の新規取得にかかる標準6か月を、段階ごとの作業と社内負荷の分布で解説します。鍵は「内部監査とマネジメントレビューを1周実施した記録が必要」という制約からの逆算。審査日から遡ってスケジュールを引く方法と、期間が伸びる典型的な原因も整理しました。
ISMS文書体系｜何をどこまで作るか
ISMSの文書は、作りすぎても足りなくても運用が破綻します。規格が明示的に要求している文書化した情報と、組織が必要と判断して作るものの区別、方針・規程・手順・記録という4階層の設計、そして「立派な体系を作ったが誰も見ていない」状態を避ける判断基準を、文書一覧表と実例で整理します。
ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド
ISMS（ISO/IEC 27001）の全体像を、ヘルスケア企業の視点でまとめました。規格の構造、93の管理策、取得の流れと期間、費用の内訳、Pマークとの違い、そして3省2ガイドラインとの接続まで。取得を検討する段階で必要な判断材料を1本に整理しています。
ISMS認証を取らない選択肢｜チェックシート対応との比較
取引先のセキュリティチェックシートに都度回答する運用と、ISMS認証を取る運用のコストを比較しました。回答件数が増えるとどこで逆転するのかという分岐点の考え方、認証がなくても通る場合／通らない場合を整理しています。
ISMS適用範囲の決め方
ISMSの適用範囲をどう決めるかを、実務の判断基準で整理しました。全社か一部門か、物理的境界と論理的境界の引き方、クラウドサービスや委託先の扱い、そして「範囲を狭めると工数は減るが、認証書に書かれる範囲が取引先の期待に応えられるか」というトレードオフまで。ヘルスケア企業の業態別の例も添えています。
少人数組織のISMS｜50名以下で取得するときの考え方
50名以下の組織がISMSを取るときの有利（適用範囲が狭い、合意が速い）と不利（職務分離が作れない、内部監査の独立性）を整理しました。兼務をどう文書で説明するか、どの役割なら外部に出せるかという実務的な論点を扱います。
規程のひな形を自社化するコツ
ISMSの規程ひな形をそのまま使うと、2次審査で高い確率で露見します。露見する経路、自社の実務に合わせて条項を削る判断基準、「守れないルールを書かない」という原則、そして語尾・頻度・固有名詞の扱い方を、ひな形条項の書き換え例と審査員の質問の型とあわせて整理します。
ISMS文書と3省2ガイドライン対応文書の統合
ISMSと3省2ガイドラインを別々に対応すると、規程も記録も二重になり運用が止まります。医療機関側（厚労省）と事業者側（経産省・総務省）というガイドラインの構造を押さえたうえで、ISMS文書と事業者側要求の対応表を作り、医療機関向け説明資料をISMS文書から派生させる設計を整理します。
ISMSとPマークの違い｜どちらを取るべきか
ISMS（ISO/IEC 27001）とプライバシーマークの違いを、守る対象・適用範囲の考え方・審査の頻度・認知度の4軸で整理します。部門単位で取れるかという実務上の差、取引先が本当に求めているものの見極め方、そしてヘルスケア事業者としてどちらを先に取るべきかの判断基準を表にまとめました。
ISMSとSOC 2の違い｜海外取引・SaaS事業者の選択
ISMS（ISO/IEC 27001）とSOC 2の違いを、認証（certification）と保証報告書（attestation report）という制度の性質から整理します。Trust Services Criteriaの構成、Type 1とType 2の違い、報告書の開示方法、そして日本のヘルスケア事業者にとってどちらを先に取るべきかの判断基準まで。
ISO/IEC 27001:2022への移行｜2013年版との差分
2013年版からの移行期限（2025年10月31日）は既に経過し、新規取得は2022年版が対象です。それでも差分を知る必要があるのは、旧版を前提に書かれた社内文書・書籍・他社資料が今も流通しているからです。114→93の再編（更新58・統合24・新規11）、14分類から4テーマへ、属性の導入、本文の変更点を整理します。
箇条10 改善｜不適合と是正処置
不適合を見つけてから是正処置を完了させ、有効性をレビューするまでの流れを整理します。応急処置（修正）と是正処置（原因の除去）の違い、原因分析が浅くなる典型パターン、有効性レビューをいつどう行うか、そして継続的改善をどう記録に残すか。審査で再発が問われる領域です。
ISO/IEC 27001 箇条4｜組織の状況
ISMS構築の最初の関門である箇条4を、実務の手順に翻訳して解説します。内外の課題の洗い出し、利害関係者とその要求事項の特定、そして適用範囲（スコープ）の決め方。ここで範囲を誤ると、審査費用も運用負荷も後戻りできなくなります。ヘルスケア企業に固有の論点とあわせて整理しました。
箇条5 リーダーシップ｜トップマネジメントの責任
ISO/IEC 27001の箇条5は、経営層に「方針に署名すること」以上を求めます。ISMSを事業プロセスに統合し、資源を確保し、有効性に責任を負うこと。本記事では、情報セキュリティ方針の書き方、役割と権限の割り当て、そして審査で経営層インタビューが何を確認しているのかを、ヘルスケア企業の実例とあわせて解説します。
箇条6 計画｜リスクアセスメントと情報セキュリティ目的
ISMSの中核である箇条6を実務の手順に翻訳しました。リスク基準の設計、リスクアセスメントの進め方、リスク対応と適用宣言書（SoA）の作り方、そして情報セキュリティ目的の立て方まで。93管理策との採否の関係や、審査で必ず問われる「リスクの所有者」の扱いを、ヘルスケア企業の例とあわせて整理しています。
箇条7 支援｜力量・認識・文書化した情報
ISMSを支える基盤を扱う箇条7を実務に翻訳しました。資源の確保、力量の証明（教育記録・力量評価）、認識との違い、内外のコミュニケーション、そして文書化した情報の管理——版管理・承認・配付・保持期間まで。審査で記録の不備を指摘されないための運用設計を、ヘルスケア企業の例とあわせて整理します。
ISO/IEC 27001 箇条8｜運用
箇条8は「計画したことを実際にやり、やった証跡を残す」箇条です。運用の計画と管理、変更管理、外部委託の管理、そして定期・臨時のリスクアセスメント。文書は揃っているのに審査で最も露見しやすいのがこの領域である理由と、記録の残し方を実務目線で整理します。
箇条9 パフォーマンス評価｜監視・測定・内部監査
ISO/IEC 27001 箇条9は、監視・測定、内部監査、マネジメントレビューの3つで構成されます。何を測るかの決め方（測れない目的は立てない）、内部監査の独立性をどう確保するか、マネジメントレビューのインプット項目の漏れをどう防ぐか。認証取得の前に必ず1周回す必要がある領域を実務目線で整理します。
ISO 27017・27018とは｜クラウド向けの追加認証
ISO/IEC 27017（クラウドサービスの情報セキュリティ管理策）と27018（クラウド上の個人識別情報の保護）を、ISMSに追加する形で取得する構造から整理しました。クラウド事業者側と利用者側で求められる管理策が違う点、医療SaaS事業者が取る意味と取らない判断まで扱います。
PIMSとは？ISO/IEC 27701の要点と2025年版で変わったこと
PIMS（プライバシー情報マネジメントシステム）とは何か、その要求事項を定めるISO/IEC 27701が2025年版でISMSの拡張から独立規格に変わった点、PII管理者とPII処理者で管理策が分かれること、GDPR等への対応を示す使い方までを整理しました。PHR事業者・医療SaaS事業者にとって取得する意味があるのはどういう場合かも扱います。
マネジメントレビューの進め方と議事録
ISMSのマネジメントレビューを、報告会ではなく経営判断の場にするための実務を整理しました。規格が求めるインプット項目の揃え方、経営層が実際に決めるべき4種類の判断、議事録に残す粒度と残してはいけない書き方、そして「年1回で足りるのか」という論点を、ヘルスケア企業の例とあわせて解説します。
医療情報の外部保存の要件｜どこまで院外に置けるのか
診療録等を院外に保存するときの要件を、電子保存の3基準（真正性・見読性・保存性）と外部保存の考え方から整理しました。保存場所に求められること、責任の所在、事業者との契約で担保すべき事項、クラウド利用時の論点、そして契約終了時のデータ返還まで。発注側の実務として何を確認すべきかを表で示します。
ネットワーク接続医療機器のセキュリティ｜古いOSのまま使われる機器をどう守るか
画像診断装置、生体モニタ、検査機器。院内のネットワークにつながる医療機器には、サポートの切れたOSがそのまま載っていることがあります。なぜパッチが当てられないのか、その構造を踏まえたうえで、ネットワーク分離による防御と、次の更新で調達要件に何を書くかを整理しました。
医療情報安全管理責任者の役割と選任
2026年度診療報酬改定で、電子的診療情報連携体制整備加算の要件に「専任の医療情報システム安全管理責任者」の配置が入りました。誰を選任するのか、兼務はどう扱うのか、何を任せて何を任せないのか。求められる役割と、小規模クリニックでの現実的な運用のしかたを整理します。
医療SaaSのISMS｜マルチテナントのリスク評価
複数の医療機関が同じ基盤を共有する医療SaaSでは、テナント分離の設計がISMSのリスクアセスメントの中心になります。論理分離と物理分離の選択、データの所在と越境、バックアップとリストアの分離、テナント管理者権限、そして医療機関ごとに届く監査要求への現実的な応え方を整理します。
経産省・総務省ガイドラインの要点（事業者側）
3省2ガイドラインの「2」のうち、事業者側を規律するのが経済産業省・総務省のガイドラインです。事業者に何が求められるのか、その要求の柱を実務の言葉で整理し、医療機関がベンダーを評価するときの目線としてどう使えるかまでをまとめました。
令和8年度サイバーセキュリティ対策チェックリスト全項目解説
令和8年6月に医療機関・薬局用が統合された厚労省のチェックリスト全19項目を、立入検査で見られる現物、事業者確認用との分担、「いいえ」の場合の目標日の書き方まで整理しました。
多要素認証の導入｜医療現場の制約を前提にした現実的な落としどころ
どこから多要素認証を入れるか（リモートアクセスと特権IDが最優先）、共用端末・緊急時・夜勤帯という医療現場固有の運用負荷にどう向き合うか、そして全職員への一斉導入を目指さずに被害確率を下げる現実的な設計を整理します。
ネットワーク分離と資産管理｜何がどこに繋がっているかを把握する
医療機関のセキュリティで最大の問題は、何がどこに繋がっているかを把握できていないことです。医事系・電子カルテ系・部門システム・ネットワーク接続医療機器のセグメント設計、インターネット接続の管理、そして資産台帳を「使えるもの」にするための項目設計を、限られた人員で進める手順として整理します。
パスワードポリシーの設計｜医療機関で現実に守られるルールをつくる
長さ・複雑さ・変更頻度をどう決めるか。定期変更を義務づけるべきか。使い回しはどう検知するか。そして、外来や病棟の共用端末という現実にどう折り合いをつけるか。医療機関がパスワードポリシーを見直すときの判断材料を、国際的な考え方の変化を踏まえて整理しました。
標的型攻撃メール訓練｜開封率を下げるのではなく報告率を上げる
医療機関の標的型攻撃メール訓練を、目的の置き方から設計し直します。開封率を目標にすると報告しづらい空気が生まれること、犯人探しにしない設計、シナリオの作り方、実施後のフォロー、そして訓練で測るべき指標。訓練を儀式で終わらせないための考え方をまとめました。
PHR事業者のISMS｜個人情報保護法との関係
PHR事業者が扱う健診結果や診療情報の多くは要配慮個人情報にあたり、取得に本人同意が必要でオプトアウトによる第三者提供も認められません。民間PHR事業者向けの基本的指針とISMSはどう役割分担するのか、同意設計をISMS文書のどこに落とすのかを整理します。
医療情報システムの調達要件にセキュリティを入れる｜仕様書の書き方
電子カルテや部門システムの調達で、セキュリティ要件を仕様書のどこにどう書くかを整理しました。契約後に要求しても通らない構造、ガイドライン準拠を要件化する具体的な文言、ISMS等の認証を必須要件にするか加点にするかの判断基準、そして要件が守られたことを確認する仕組みまでを、発注側の実務として解説します。
医療機関のランサムウェア対策｜なぜ狙われ、何から手をつけるか
医療機関がランサムウェアの標的になりやすい構造的な理由、公表事例に共通する侵入経路のパターン、そして多層防御の組み立て方を整理しました。2026年度診療報酬改定でセキュリティ対策が算定要件になったことを踏まえ、バックアップ・境界機器・ネットワーク分離・権限・ログ・認証・端末という7つの打ち手を優先順位付きで解説します。
ランサムウェア被害時の初動｜最初の1時間と最初の1日に何をするか
医療機関がランサムウェア被害に遭ったときの初動を、時間軸で整理しました。切り離しの判断、電源を落とすかどうか、身代金を支払うべきかの考え方、外部支援の呼び方、そして記録を残すこと。診療を止めないための判断材料と、平時に決めておくべきことをまとめています。
更新審査（3年目）の準備
ISMS認証は3年周期で更新審査（再認証審査）を受けます。サーベイランス審査との違いは、部分の確認ではなくISMS全体の有効性を改めて評価される点です。3年分の改善の積み上げをどう示すか、適用範囲を見直すならいつか、期限切れを避ける逆算スケジュールと準備チェックリストを整理します。
リモートメンテナンスの安全管理｜ベンダー保守接続をどう管理するか
電子カルテや部門システムの保守のために、ベンダーが院内ネットワークへ入ってくる経路があります。この保守経路は業務に不可欠である一方、外部からの侵入口にもなり得ます。常時接続をやめる、接続元を限定する、作業記録を残す、契約で取り決める——医療機関側が自分で管理できる範囲を具体的に整理しました。
USBメモリ・可搬媒体の管理｜禁止だけでは止まらない持ち出しをどう設計するか
USBメモリやCD-R、外付けハードディスクは、禁止しても現場で使われ続けます。画像の受け渡し、学会発表の準備、機器間のデータ移動——業務上の必要があるからです。持ち込み・持ち出しの制限、暗号化、台帳による管理に加えて、最も効く対策である「代替手段の用意」まで整理しました。
責任分界点とは？意味とクラウド・医療情報システムでの決め方
システム障害や情報漏えいが起きたとき、どこまでが自院の責任で、どこからが事業者の責任か。クラウド利用時の責任共有の考え方、曖昧になりやすい6つの領域、そして決めた内容を契約書とSLAに落とす方法を、医療機関の立場から整理します。
リスクアセスメントの進め方｜評価基準の設計
ISMSのリスクアセスメントを、評価基準の設計という観点から整理しました。資産ベースとシナリオベースの違いと使い分け、尺度を3段階にするか5段階にするかの判断、繰り返しても比較可能にするために基準を固定する方法、そしてリスク所有者の決め方まで。ヘルスケア企業で立てるべきリスク項目の例も添えています。
リスク対応計画とリスク受容の判断
リスク対応の4つの選択肢（低減・回避・移転・受容）をどう使い分けるか、残留リスクを誰がどう承認するか、対応計画に期限と責任者をどう入れるかを実務の手順で整理しました。受容の記録がないと審査で必ず指摘される理由と、指摘を避ける記録の形式まで。ヘルスケア企業の対応例つきです。
SaMDとISMS・QMS（ISO 13485）の関係
プログラム医療機器（SaMD）を開発する企業は、品質マネジメントシステム（QMS／ISO 13485）と情報セキュリティのISMSを同時に抱えます。守る対象が「患者への危害」と「情報資産」で異なる2つを、文書体系として二重に持つか統合するか。設計管理・ISO 14971との接点を含めて整理します。
従業者教育の設計｜受講率100%の運用
ISMSの教育は「年1回eラーニングを配信する」だけでは要求を満たしません。規格が分けて求める力量と認識の違い、役割別教育と全社教育の設計、受講記録に残すべき項目、中途入社者・休職復帰者・委託先要員の扱い、そしてなぜ受講率が95%ではなく100%でなければならないのかを、年間計画の例とあわせて整理します。
医療機関のセキュリティ体制の作り方｜情シスが1人の病院での現実解
医療機関のセキュリティ体制を、誰が責任者か・委員会をどう作るか・経営層がどう関与するかの順で整理します。専任の医療情報システム安全管理責任者が加算の共通要件になったこと、情報システム担当が1人しかいない病院での現実的な組み方、外部に出せる機能と出せない機能の切り分けをまとめました。
情報セキュリティ目的とKPIの立て方
ISMSの情報セキュリティ目的は、立て方を誤ると1年間まったく機能しません。「インシデント0件」が目的として成立しない理由、測定可能であるとは何を指すのか、達成時期と評価方法をセットで決める手順、部門ごとへの展開のしかたを、目的管理表の具体例とヘルスケア企業の設定例とあわせて整理します。
SLAと責任分界の書き方｜稼働率だけでは足りない理由
医療情報システムのSLAで、稼働率99.9%という数字だけでは何も守れない理由を整理しました。インシデント時の一次応答時間、復旧目標（RTO/RPO）、通知の基準、責任分界点の書き方、そしてSLAが守られなかったときに何が起きるのかまで、契約前に決めておくべき項目を実務の視点で解説します。
職員教育・訓練の設計｜時間が取れない医療現場で成立させる
医療機関のセキュリティ教育を、現場が時間を取れない前提から設計します。全職員共通で伝えるべき最小限、役割別に分けるべき内容、頻度と配信方法の決め方、そして記録の残し方。研修を実施したという事実ではなく、行動が変わったかを見るための設計をまとめました。
1次審査（文書審査）で見られること
ISMSの1次審査は、文書が揃っているかを確認する場ではありません。リスクアセスメントの結果と適用宣言書（SoA）と規程が論理的につながっているかを見られます。1〜2日の進み方、よく指摘される点、指摘が出たあと2次審査までに何をするかを整理しました。
2次審査（実地審査）で見られること
ISMSの2次審査は、決めたとおりに運用できているかを記録と実態の両面から確かめる場です。2〜3日の進み方、従業員インタビューで聞かれること、現場で確認される点、経営層が同席する場面、そして準備として何を揃えるかを整理しました。
適用宣言書（SoA）の書き方
適用宣言書は、附属書Aの93管理策それぞれについて適用の有無と理由を示す文書です。リスクアセスメント結果との対応のつけ方、列の構造、除外の正当化の書き方、更新のタイミングまでを記載例とともに整理します。審査員が最初に開き、最後まで参照し続ける文書です。
外部委託先管理｜チェックシートと契約条項
ISMSの外部委託先管理を、選定・契約・監視・終了の4段階で設計する方法を整理しました。委託先の重要度区分の付け方、チェックシートを形骸化させない設計、契約に必ず入れる条項（再委託・監査権・インシデント通知・データ削除）の書き方、クラウド事業者の扱い、そして医療情報を扱う場合に3省2ガイドラインとどう接続するかを解説します。
医療機関のサプライチェーンリスク｜見えない委託先をどう把握するか
医療機関のセキュリティ対策は、院内の対策だけでは完結しません。再委託の先が見えない問題、部門システムや医療機器メーカー経由の経路、取引先・関連施設経由の侵入。どこにリスクが潜むのかを構造で整理し、限られた体制で把握を進めるための優先順位の付け方と、契約・運用での手当てを解説します。
サーベイランス審査（維持審査）の準備
ISMS認証は取得して終わりではなく、翌年から毎年サーベイランス審査（維持審査）を受けます。初回審査との違い、1年間の運用記録として何が問われるか、前回の指摘の是正状況の示し方、組織・システム・適用範囲の変更をいつどう報告するか。年間スケジュールと準備チェックリストまで、2年目以降の実務を整理します。
事業者に確認すべき質問リスト｜良い回答と危うい回答の見分け方
医療機関がシステム事業者に投げる質問を、そのまま使える形でリスト化しました。体制・データの所在・インシデント対応・再委託・契約終了時の5領域について、各質問の「なぜ聞くのか」「良い回答」「危うい回答」を表で示します。提案依頼や既存委託先の棚卸にコピーして使える構成です。
ベンダーへのセキュリティチェックシート｜何を聞き、どう聞くか
医療機関がシステムベンダーに出すセキュリティチェックシートの設計をまとめました。体制・委託・インシデント対応・データの所在・削除・監査権という6領域について、聞くべき項目を表で示し、回答が「対応しています」の羅列にならない設問の作り方と、返ってきた回答をどう読むかまでを解説します。
VPN機器の脆弱性対策｜医療機関の境界を守る運用設計
公表されている医療機関の被害事例で繰り返し現れるのが、インターネットに面した機器の既知脆弱性です。なぜ境界機器が入口になるのか、何を資産として把握すべきか、パッチ適用を止めない運用をどう作るか、サポート終了（EOL）機器をどう扱うか、そして多要素認証との併用までを整理します。
無線LANの安全管理｜院内Wi-Fiを業務用と患者用に分ける設計
院内の無線LANは、業務用と患者向けゲストが同じ機器の上に同居していることが少なくありません。分離の設計、暗号化・認証方式の選び方、持ち込み機器の扱い、そして電波が建物の外まで届くという物理的な制約。医療機関が無線LANを見直すときの確認項目を整理しました。
医療機関のクラウドセキュリティ｜責任共有・3省2ガイドライン・ゼロトラスト
医療機関のクラウド利用が広がるいま押さえるべきクラウドセキュリティを、責任共有モデル、3省2ガイドライン、データの保管場所（越境移転）、暗号化・鍵管理・IAM・監査ログ、ゼロトラスト、第三者認証（ISMS/ISO27017/ISMAP）まで専門的に整理します。
3省2ガイドライン対応の実務ステップ｜責任分界とリスクアセスメントの進め方
「3省2ガイドラインとは何か」の一歩先へ。情報資産の棚卸しからリスクアセスメント、電子保存の三基準への対応、クラウド事業者との責任分界、監査・BCPまで、医療機関が実装するための具体的ステップを専門的に解説します。
3省2ガイドラインとは？電子保存の三原則と電子カルテ導入時の確認点
電子カルテ選びで必ず出てくる「3省2ガイドライン」。何を定めたもので、医療機関は何を確認すればよいのか——導入時に押さえるべきポイントを、専門用語を避けてわかりやすく解説します。
ISMS認証取得のご相談はこちら
適用範囲の設計から文書整備、教育、内部監査、審査機関とのやり取りまで。ポテックがヘルスケア企業のISMS（ISO/IEC 27001）認証取得を一気通貫で支援します。
お問い合わせいただいた内容については、2営業日以内にご返信いたします。