厚生労働省は令和8年6月29日付の通知（産情発0629第1号）で、「医療情報システムの安全管理に関するガイドライン第7.0版」の策定を都道府県知事等に知らせました。令和5年5月の第6.0版以来の改定です。
本記事では、通知と厚生労働省の改定資料で確認できる変更点を整理し、クリニック・病院が何をすればよいかをまとめます。
本記事は2026年11月5日時点で厚生労働省が公表している資料にもとづく一般的な解説です。ガイドラインは今後も改定される予定のため、必ず最新版をご確認ください。
医療情報システムの安全管理に関するガイドラインとは
医療機関等で医療情報システムを導入・運用・利用・保守・廃棄するすべての人を対象にした、厚生労働省のガイドラインです。平成17年3月に第1版が策定され、技術や制度の変化に合わせて改定されてきました。経済産業省・総務省の事業者向けガイドラインと合わせて「3省2ガイドライン」と呼ばれます（3省2ガイドラインとは？）。
医療法施行規則では、病院、診療所、助産所の管理者に、サイバーセキュリティを確保するために必要な措置を講じることが求められています。その「必要な措置」の参照先がこのガイドラインです。
第7.0版の構成：5編になった
第6.0版は概説編・経営管理編・企画管理編・システム運用編の4編でした。第7.0版では保守委託機関編が加わり、5編になりました。
| 編 | 主な読者 |
|---|---|
| 概説編 | 全員（目的・構成・前提） |
| 経営管理編 | 経営層（院長・理事長） |
| 企画管理編 | 安全管理の実務を担う担当者 |
| システム運用編 | システムの実装・運用を担う担当者 |
| 保守委託機関編（新設） | システムの保守を事業者に委託している医療機関等 |
各編の要点は経営管理編、企画管理編、システム運用編で解説しています。
改定の背景
通知は、次のような状況を改定の理由に挙げています。
- 第6.0版の公表以降も、医療機関等を対象としたサイバー攻撃が続いていること
- サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律、令和7年法律第42号）が成立したこと
- 内閣官房国家サイバー統括室（NCO）による「重要インフラのサイバーセキュリティに係る安全基準等策定指針」が改定されたこと
- 経済産業省・総務省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（2省ガイドライン）が第2.0版に改定されたこと
- クラウドサービスを導入する医療機関が増えていること
主な変更点
1. 保守委託機関編の新設
専門人材が不足している小規模医療機関を想定した編です。通知は、すべてのサーバにおけるセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等は、保守委託機関編を遵守することで、その他の編の項目も遵守できているものとみなすとしています。ここでいうサーバには、「CD-Rで電子カルテのアプリケーションをインストールして運用するなど、サーバ機能を果たすPC等の端末も含む」と注記されています。
保守委託機関編は、主に次のような医療機関等を想定しています。
- システム運用担当者がいない
- 小規模で、経営管理と企画管理の部門が分かれていない
- セキュリティアップデートを含めたシステム保守を、事業者に十分に委託している
ただし、実際に対象になるかどうかは編の中の判断図で確認するよう書かれています。また、委託していても、サーバルームへの入退室管理、媒体や機器の保管ルール、端末の画面ロックなど、院内での医療情報の扱いは医療機関自らが管理する必要があります。システム運用編の事項は、事業者が出すMDS/SDS（医療情報セキュリティ開示書）などで対応状況を確かめることで、対応しているものとみなされます。
2. 制度の動きへの対応
- 関連する法令にサイバーセキュリティ基本法を追加
- サプライチェーンリスクを追記
- 医療機関等と事業者との役割分担、医療機関とのリスクコミュニケーションを追記
- クラウドサービスの積極的な活用を推進する旨を追記
委託先のセキュリティが自院のリスクになる、という考え方がよりはっきりしました（外部委託先管理、クラウド利用時のガイドライン対応）。
3. パスワードのルール
パスワードの使い回しの禁止と、アカウントロックの導入を追記しました。一方で、セキュリティ面の強化につながらないとされる「定期的な変更」の要件を削除しました。システム運用編では、二要素認証を採用している場合は英数字混在の8桁以上（PINなら4桁以上）、採用していない場合は13桁以上とされています（パスワードポリシーの設計）。
4. 二要素認証の対象の明確化と緩和措置
二要素認証は、医療情報システムのうちクライアント端末とサーバで対応することが明確になりました。端末は電子カルテ等のアプリケーションのログイン時、サーバはOSのログイン時です。これまで対象がはっきりしていなかったことを踏まえ、令和9年4月1日時点での対応が難しい医療機関等には、次期システム改修での対応を認める緩和措置が設けられました。詳しくは二要素認証は令和9年度にどこまで必須かで整理しています。
積み残しの課題
厚生労働省の改定資料では、次の2点を引き続き検討し、「可及的速やかに7.1版への改定を目指す」としています。
- 医療機器の二要素認証（第7.0版では改変を見送り）
- 国内法の執行に関する規制（海外に保存される医療情報の扱い）
医療機関がすべきこと
| やること | 主な担当 |
|---|---|
| 自院が保守委託機関編の対象になるか確認する（すべてのサーバのセキュリティアップデートを委託しているか） | 院長・事務長 |
| 事業者にMDS/SDSと事業者確認用チェックリストを依頼する | 事務長・情報担当 |
| パスワードの規程から「定期変更」を外し、使い回し禁止とアカウントロックを入れる | 情報担当 |
| 電子カルテとサーバの二要素認証の状況と、次の更改時期を確認する | 情報担当・事業者 |
| 令和8年度のチェックリストで「いいえ」の項目と目標日を整理する | 安全管理責任者 |
チェックリストの全項目は令和8年度サイバーセキュリティ対策チェックリスト全項目解説で解説しています。小規模なクリニックの考え方は小規模クリニックのガイドライン対応、事業者側の2省ガイドラインは経産省・総務省ガイドラインの要点も参考にしてください。
ポテックのご支援
ポテックは、医療機関・ヘルスケア企業向けに3省2ガイドライン対応やリスクアセスメント、ISMS（ISO 27001）認証取得を支援しています。第7.0版に合わせた規程の見直しや事業者との役割分担の整理については、お問い合わせからご相談ください。
参考資料
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」 https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
- 厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版の策定について」（産情発0629第1号、令和8年6月29日） https://www.mhlw.go.jp/content/10808000/001716656.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版の概要及び主な改定内容」 https://www.mhlw.go.jp/content/10808000/001102596.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（概説編）」 https://www.mhlw.go.jp/content/10808000/001716290.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（システム運用編）」 https://www.mhlw.go.jp/content/10808000/001716295.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（保守委託機関編）」 https://www.mhlw.go.jp/content/10808000/001716297.pdf