3省2ガイドラインへの対応は、やるべきことの一覧を眺めているうちは進みません。進むのは、「自院はどこができていないのか」が具体的に分かったときです。逆に言えば、多くの医療機関で対応が止まっているのは、意思の問題ではなく現在地が見えていないことが原因です。
もう一つ、対応を先送りにしにくくなった事情があります。2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算が、医療情報システムの安全管理に関するガイドラインへの準拠と、専任の医療情報システム安全管理責任者の配置を要件に含めたことです。セキュリティ対策はコストの問題から算定の問題に変わりました。 対応状況の把握は、加算の可否を判断する前提作業でもあります。
本記事は、自院の現在地を確認するためのチェックリストです。経営・体制、技術・運用、委託・クラウドの3領域に分け、それぞれ表にしています。実装の手順そのものは 3省2ガイドライン対応の実務ステップ に詳しく書いていますので、本記事は点検と優先順位づけに特化します。
免責：本記事のチェックリストは一般的な自己点検の補助として作成したもので、ガイドラインの要求事項を網羅するものでも、準拠を保証するものでもありません。正本は厚生労働省・経済産業省・総務省の公表資料です。診療報酬上の要件は必ず最新の告示・通知・疑義解釈をご確認ください。
チェックリストを使う前に決めること
点検を始める前に、3つだけ決めておくと結果が使えるものになります。
1. 点検の範囲
どのシステムを対象にするか。電子カルテだけか、部門システム・オンライン資格確認・予約システム・院内Wi-Fi・ネットワーク接続医療機器まで含めるか。範囲を広げすぎると1周目が終わりません。 初回は「診療情報を扱う主要システム」に限定し、2周目で広げるのが現実的です。
2. 誰が答えるか
チェックリストは事務長一人では埋まりません。項目によって回答者が違います。ベンダーに聞かないと分からない項目もあります。最初に「この項目は誰に聞くか」を割り当ててから配ると、回収率が上がります。
3. 「できている」の定義
最も重要な点です。「やっているつもり」と「記録がある」は別です。ガイドライン対応の実務では、記録がないものは対応していないものとして扱われます。本記事のチェックリストでは、次の3段階で評価することを推奨します。
| 評価 | 意味 |
|---|---|
| ○ | 実施しており、文書または記録で示せる |
| △ | 実施しているが、記録がない／属人的／一部のみ |
| × | 実施していない、または状況を把握できていない |
「△」を正直に付けられるかどうかが、この点検の質を決めます。すべて○が並ぶ点検結果は、たいてい点検になっていません。
なお厚生労働省は2025年5月14日に「医療機関等におけるサイバーセキュリティ対策チェックリスト」および同マニュアルを公表しています。従来より具体的で、クラウド環境・BCP・IoT・BYODへの言及が加わったものです。自己点検にはまずこちらを使い、本記事のリストは補助として併用してください。使い方は 厚労省のチェックリストをどう使うか に整理しています。
経営・体制のチェック項目
ガイドライン第6.0版は、概説編・経営管理編・企画管理編・システム運用編の4編構成で、読者の役割ごとに何を担うかを分けて書いています。経営層が読むべきは経営管理編です。この領域の項目は、技術で解決できないものばかりで、かつ最も後回しにされやすい領域です。
| # | 点検項目 | 評価の目安 |
|---|---|---|
| 1 | 医療情報システム安全管理責任者を選任し、院内に周知しているか | 任命の記録と役割の文書があるか。専任配置は加算要件にも関わる |
| 2 | 情報セキュリティに関する基本方針を定め、文書化しているか | 策定日・承認者が記載され、改定履歴があるか |
| 3 | 経営層が関与する審議の場（委員会等）があり、記録が残っているか | 年何回開催し、何を決めたかの議事録があるか |
| 4 | 情報資産（システム・機器・データ）の台帳があり、更新されているか | 最終更新日が1年以内か。台帳がないと他のすべてが点検できない |
| 5 | リスクアセスメントを実施し、対応方針を決定しているか | 実施記録と、残存リスクの受容判断の記録があるか |
| 6 | 職員への教育・訓練を計画的に実施しているか | 年間計画、実施記録、受講者名簿があるか |
| 7 | 委託先・事業者の一覧を把握しているか | 再委託先まで把握できているか |
| 8 | インシデント発生時の報告体制・連絡先が明文化されているか | 夜間休日を含むか。連絡先が最新か |
| 9 | サイバー攻撃を想定したBCPを策定しているか | 加算1の要件。策定に加えて訓練の実施が求められる |
| 10 | ガイドラインの改定を追跡する担当と手順が決まっているか | 誰が、どの頻度で確認するか |
項目4が空欄の場合、以降の点検はすべて精度が落ちます。 何があるか分からない状態で、それが守られているかは判断できないためです。台帳がない自覚がある場合は、他を飛ばしてここから着手するのが最短です。
責任者の役割と選任の考え方は 医療情報安全管理責任者の役割と選任 に、体制の作り方は 医療機関のセキュリティ体制の作り方 にまとめています。
技術・運用のチェック項目
技術領域は項目数が多くなりがちですが、被害事例に共通して現れる構造から逆算すると、優先すべき項目は絞られます。公表されている事例に繰り返し現れるのは、外部接続機器の脆弱性放置、バックアップが同一ネットワーク上にあったこと、そして復旧手順が文書化されていなかったことです。
| # | 点検項目 | 評価の目安 |
|---|---|---|
| 11 | 外部と接続する機器（VPN装置・リモート保守回線等）を把握しているか | 台数・型番・保守期限の一覧があるか |
| 12 | それらの機器のファームウェアが最新か、更新手順が決まっているか | 最終更新日。サポート終了機器が残っていないか |
| 13 | 院内ネットワークが用途ごとに分離されているか | 診療系・事務系・ゲスト用が同一セグメントでないか |
| 14 | バックアップを複数の方式で取得しているか | 加算1では複数方式かつ一部オフライン保管が要件 |
| 15 | バックアップの一部がネットワークから切り離されているか | 常時接続のNASのみ、になっていないか |
| 16 | バックアップの世代管理をしているか | 日次取得なら少なくとも3世代の確保が目安とされる |
| 17 | 実際にリストアを試した記録があるか | 「取れている」と「戻せる」は別。年1回は試験する |
| 18 | 利用者アカウントの棚卸しを定期的に行っているか | 退職者・異動者のIDが残っていないか |
| 19 | 特権IDが共用されていないか、利用記録が残るか | 共用アカウントは事故時の追跡を不可能にする |
| 20 | 重要システムへのアクセスに多要素認証を導入しているか | 外部からのアクセス経路は特に |
| 21 | 監査ログを取得し、保管期間を定め、点検しているか | 取得だけで点検していない例が多い |
| 22 | 端末のウイルス対策・端末管理が全台に及んでいるか | 部門が独自に導入した端末の抜けがないか |
| 23 | USBメモリ等の可搬媒体の取扱いルールがあるか | ルールの有無と、実際の運用の一致 |
| 24 | ネットワーク接続医療機器のセキュリティを把握しているか | 保守ベンダー任せになっていないか |
項目14〜17のバックアップ群は、いま最も確認の優先度が高い領域です。診療報酬上の要件になったことに加え、被害からの復旧可否を直接決めるためです。バックアップの具体的な方式については、外部媒体方式（RDX等での別媒体保管・世代管理）、自動転送方式（NAS等へ自動転送し常時ネットワークから切り離す）、クラウド内方式（クラウドサービス内の論理的に切り離された領域へのバックアップで速やかな復旧が可能な場合）のいずれも要件を満たすとされています。設計の詳細は 医療機関のバックアップ設計｜3-2-1ルール をご覧ください。
その他の項目については VPN機器の脆弱性対策、ネットワーク分離と資産管理、アクセス権限設計と特権ID管理、ログ管理と監査証跡 に個別にまとめています。
委託・クラウドのチェック項目
ガイドライン対応で最後に残りやすく、しかも自院だけでは埋められないのがこの領域です。回答の多くはベンダーに確認しないと分かりません。
| # | 点検項目 | 評価の目安 |
|---|---|---|
| 25 | 委託先との責任分界が文書化されているか | 契約書本体か別紙に表があるか。責任分界点の決め方 |
| 26 | 委託先が3省2ガイドライン（事業者側）への対応状況を説明できるか | 「準拠しています」ではなく資料が出るか。経産省・総務省ガイドラインの要点 |
| 27 | 再委託の有無と再委託先を把握しているか | クラウドの場合、実際の保管事業者まで見えているか |
| 28 | インシデント時の通知条件が契約に具体的に書かれているか | 対象事象・通知先・通知期限が数値で入っているか |
| 29 | 監査ログの保管期間と開示条件を把握しているか | 事故調査に足りる期間か。開示に別料金がかかるか |
| 30 | データの保存場所（国・リージョン）を把握しているか | 契約上どこまで指定できるか |
| 31 | 契約終了時のデータ返還・消去の条件が決まっているか | 形式・期限・消去証明の発行 |
| 32 | 委託先の体制を定期的に確認する仕組みがあるか | 年1回の報告受領や監査の取り決めがあるか |
| 33 | 外部保存の要件（真正性・見読性・保存性）への対応を確認したか | クラウド利用時のガイドライン対応 |
| 34 | 事業者の第三者認証（ISMS等）の取得範囲を確認したか | 認証の適用範囲が対象サービスを含むか |
項目34については注意が必要です。ISMS認証を持っていること自体は3省2ガイドラインへの準拠を意味しません。 認証の適用範囲が対象サービスを含んでいるかまで確認してはじめて判断材料になります。認証の読み方は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。ベンダーへの具体的な聞き方は ベンダーへのセキュリティチェックシート に整理しています。
「×」が付いた項目にどう着手するか
点検が終わると、たいてい20項目前後に△か×が付きます。全部を同時にはできません。次の順で着手するのが現実的です。
第1優先：他の対応の前提になるもの
項目4（資産台帳）と項目1（責任者の選任）。この2つが埋まっていないと、他の対応が計画にならないためです。台帳は完璧を目指さず、まず「診療情報を扱うシステムと外部接続機器」だけを1枚にまとめるところから始めます。
第2優先：被害の大きさを直接左右するもの
項目14〜17（バックアップ）と項目11〜12（外部接続機器の脆弱性）。攻撃を受けたときに事業が止まるかどうかを決めるのはこの2群です。費用対効果が最も高い領域でもあります。
第3優先：算定要件に直結するもの
項目1（専任責任者）、項目9（BCPと訓練）、項目14〜15（複数方式バックアップとオフライン保管）。加算の取得を目指す場合は、これらの要件を告示・通知の原文で確認したうえで整備します。
第4優先：記録の整備
△が付いた項目の多く——やってはいるが記録がない——はここに該当します。新しい対策を入れるより、既にやっていることを記録する形に変えるほうが、はるかに低コストで評価が上がります。 教育の受講記録、ログ点検の実施記録、委員会の議事録。この3つを整えるだけで△の相当数が○になります。
着手しないと決めることも記録する
すべてを実施する必要はありません。自院の規模・リスクに照らして実施しないと判断した項目は、判断した事実と理由を記録します。 無記録の未実施と、判断のうえでの未実施は、対応の質としてまったく別物です。小規模施設でどこまでやるかの考え方は 小規模クリニックのガイドライン対応 にまとめています。
まとめ
- 対応が進まない原因は意思ではなく現在地が見えていないこと。まず点検する
- 「できている」の基準は記録で示せるか。○△×の3段階で正直に付ける
- 資産台帳（項目4）が空欄なら、他のすべての点検精度が落ちる。 ここから着手する
- 技術面で優先度が高いのはバックアップ群と外部接続機器の脆弱性。被害の大きさを直接決める
- 委託・クラウド領域は自院だけでは埋まらない。ベンダーに資料を求める前提で進める
- △項目の多くは記録の整備で解消する。新規投資より先に着手する価値がある
- 実施しないと判断した項目は、判断と理由を記録する
点検の結果、自院だけでは着手が難しい項目が残った場合は お問い合わせ からご相談ください。実装の具体的な手順は 3省2ガイドライン対応の実務ステップ、ベンダー側の対応範囲の見極めは 経産省・総務省ガイドラインの要点（事業者側） をあわせてご覧ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
※本記事のチェックリストは自己点検の補助であり、ガイドラインの要求事項を網羅するものではありません。ガイドラインおよび診療報酬上の要件は改定され得ます。加算の算定要件は告示・通知・疑義解釈の原文をご確認ください。