クラウド事業者の選定基準｜医療機関が確認すべき7項目

クラウド型の電子カルテや部門システムを検討するとき、提案書には必ず「3省2ガイドライン対応」と書かれています。しかしこの一行が意味するところは、事業者によってかなり違います。ガイドラインが事業者に求める事項をすべて実装しているという意味のこともあれば、医療機関側が実施すべき事項まで含めて「対応可能」と書いているだけのこともあります。

クラウドの難しさは、医療機関が自力で確認できる範囲が狭いことにあります。院内のサーバであれば、設置場所を見に行き、設定画面を開き、ログを自分で取れます。クラウドでは、そのほとんどが事業者の説明を信じるしかない領域に移ります。だからこそ、何を説明させるかが選定の核心になります。

本記事では、医療情報を預けるクラウド事業者を選ぶときに確認すべき7項目を整理します。クラウド利用そのものの是非や院内の体制については 医療機関のクラウドセキュリティ を、外部保存の制度面については 医療情報の外部保存の要件 をあわせてご覧ください。

免責：本記事は一般的な情報提供です。ガイドラインの要求事項は厚生労働省「医療情報システムの安全管理に関するガイドライン」および経済産業省・総務省のガイドライン本文が正本です。契約条項については顧問弁護士にご確認ください。

選定基準の全体像

まず7項目を俯瞰します。以降の節で、重要なものを掘り下げます。

この7項目のうち、契約後に変更できないのは 2・3・4・7 の4つです。データの所在は構成に組み込まれており、認証の適用範囲は事業者の経営判断、再委託構造は事業モデルそのもの、返還条件は契約書に書かなければ後から追加できません。選定の重心は、この4つに置いてください。

ガイドライン適合をどう確認するか

3省2ガイドラインは、医療機関向けと事業者向けに分かれています。

クラウド事業者が直接的に守るべきなのは、後者です。 厚労省ガイドラインは4編構成（概説編／経営管理編／企画管理編／システム運用編）で、経営管理編は医療機関の意思決定者、企画管理編は管理者、システム運用編は運用者を想定読者としています。クラウド利用時には、このうち企画管理編・システム運用編の要求の一部が事業者側で実施されることになります。

確認の実務としては、要求ごとの実施主体を書いた対応表の提出を求めるのが最も有効です。「対応しています」という一行では検証できないものが、要求単位で誰がやるかを書かせた瞬間に、空白や「医療機関側で実施」という記載として表面化します。この対応表は、そのまま院内の体制整備の設計図になります。ガイドラインの構造は 3省2ガイドラインとは、対応の進め方は 3省2ガイドライン対応の実務ステップ をご覧ください。

なお、厚生労働省は2025年5月に第6.0版に関するQ&Aを公表しており、2025年5月14日には「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルも公表されています。後者はクラウド環境・BCP・IoT・BYODへの言及が加わっており、クラウド事業者への確認項目を作る際の下敷きになります。

データの所在を3つに分けて聞く

「データは国内に保存されますか」という質問に「はい」と答える事業者は多いのですが、この質問では不十分です。本番データ・バックアップ・ログの3つは、別々の場所にあることがあるからです。

4行目の運用者の所在は、データの物理的な所在とは別の論点です。データが国内リージョンにあっても、それを操作する権限を持つ人が海外にいれば、実質的なアクセスは越境します。「データは国内です」という回答だけで安心せず、誰が触れるのかまで確認してください。

5行目も見落とされがちです。障害調査のために本番データを開発環境やサポート担当者の端末へ複製する運用は珍しくありません。禁止するのか、手続（申請・承認・期限・作業後削除）を定めるのかを、契約前に合意しておく必要があります。

認証の読み方——持っているかではなく、どこまでか

クラウド事業者の提案書には、しばしば複数の認証ロゴが並びます。それぞれ意味が違います。

確認すべきは保有の有無ではなく、次の3点です。

1. 適用範囲 — どの事業所・どのサービスが認証の範囲か。御院が導入するサービスが範囲内か
2. 有効期限 — 期限切れ・停止中でないか。認証番号で認定機関の登録簿を確認できる
3. 基盤と自社の区別 — 「AWS/Azureが認証を持っている」ことと、「その上でサービスを提供する事業者が認証を持っている」ことは別

3点目は頻出です。基盤クラウドの認証を自社の証明のように提示する提案書は実際にあります。基盤の物理セキュリティが堅牢でも、その上のアプリケーションの権限設計やログ設計は事業者の責任です。責任共有モデルのどちら側の話をしているのかを切り分けて読んでください。この切り分けは AI電子カルテのセキュリティ設計と責任共有モデル で詳しく扱っています。

国内のISMS認定機関はISMS-AC（情報マネジメントシステム認定センター）です。認証の仕組みそのものや適用範囲の考え方は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド と ISMS適用範囲の決め方 をご覧ください。

再委託の透明性

クラウドサービスは、構造的に多層の委託で成り立っています。医療機関が契約する事業者の背後には、基盤クラウド、監視サービス、CDN、メール配信、開発の外注先などが並びます。この連鎖が見えないまま契約すると、事故が起きたときに原因の所在すら把握できません。

確認すべき最小限は次のとおりです。

最後の行が実務上重要です。契約時点の再委託先を確認しても、契約期間中に変わることがあります。「再委託先を変更する場合は事前に通知する」という条項があるかどうかで、把握の継続性が変わります。サプライチェーン全体の見方は 医療機関のサプライチェーンリスク にまとめました。

撤退時のデータ返還

選定段階で最も軽視され、最も後悔されるのがここです。クラウドサービスは移行コストが高く、返還条件を契約に書いていなければ、次期更改で交渉力を失います。

返還形式が最大の論点です。事業者独自の形式でしか出せない場合、後継システムへの移行にはデータ変換の工程が加わり、費用と期間が膨らみます。導入時に「標準的な形式での出力が可能であること」を要件化しておいてください。移行作業そのもののリスクは 電子カルテ更新時のセキュリティ要件、移行実務は 電子カルテのデータ移行ガイド で扱っています。

バックアップの消去も抜けやすい項目です。本番からデータを消しても、世代管理されたバックアップには残ります。「消去完了」の定義にバックアップを含めるか、含めるならいつまでかを確認してください。

可用性・復旧と診療報酬の接続

2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算では、加算1の要件に複数方式によるバックアップ（一部はオフライン保管）と、サイバー攻撃等を想定したBCPの策定・訓練が含まれます。クラウド型のシステムを使う場合、この要件を満たせるかどうかは事業者の提供形態に依存します。

疑義解釈では、クラウド内方式（クラウドサービス内の論理的に切り離された領域へのバックアップで、速やかな復旧が可能な場合）も要件を満たすとされています。したがって、クラウドだから要件を満たせないということはありません。ただし、「論理的に切り離された領域」に該当する構成になっているかは事業者に確認が必要です。単に同一アカウント内の別ストレージにコピーしているだけの構成では、アカウントが侵害された場合に同時に失われます。

確認すべきは次の点です。

• バックアップが本番と別の権限境界に置かれているか
• 世代管理の世代数（日次なら少なくとも3世代が示されています）
• バックアップからの復旧試験を実施した実績と、その頻度
• 復旧に要する時間の実測値（見積りではなく実測）

バックアップ設計の考え方は 医療機関のバックアップ設計｜3-2-1ルール、BCPは サイバー攻撃を想定したBCP、改定の全体像は 2026年度診療報酬改定 をご覧ください。

まとめ

クラウド事業者を選ぶうえで押さえるべき点は次のとおりです。

1. 選定の重心は契約後に変更できない4項目——データの所在、認証の適用範囲、再委託構造、撤退時の返還条件
2. ガイドライン適合は「対応しています」ではなく、要求ごとの実施主体を書いた対応表で確認する
3. データの所在は本番・バックアップ・ログの3つに分けて聞く。運用者の所在国も別途確認する
4. 認証は保有の有無ではなく、適用範囲・有効期限・基盤と自社の区別を見る
5. 再委託は契約期間中に変わる。変更時の事前通知条項を入れる
6. 返還は形式・範囲・期限・費用・移行協力・消去の6点を契約に書く。独自形式のみは避ける
7. 診療報酬の要件を満たすには、バックアップが別の権限境界にあるかを確認する

クラウド事業者の比較は、提案書を並べても差が見えにくい領域です。確認項目を作り、回答を並べて初めて差が出ます。既存のクラウド契約の棚卸や、次期更改に向けた要件整理については お問い合わせ からご相談ください。事業者側で体制の証明を求められている場合は、ISMS認証取得支援サービス もあわせてご覧いただけます。

参考・出典

• 医療情報システムの安全管理に関するガイドライン｜厚生労働省
• 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
• 令和8年度診療報酬改定について｜厚生労働省
• 情報マネジメントシステム認定センター（ISMS-AC）
• 個人情報保護委員会

※ガイドラインの要求事項および診療報酬の算定要件は改定・疑義解釈により変わります。最新の公表資料をご確認ください。