「3省2ガイドラインは大病院の話でしょう」——クリニックの院長からよく聞く言葉です。気持ちは分かります。ガイドライン本文は数百ページあり、記述の多くは組織的な体制を前提にしています。常勤が院長1人、スタッフ5〜10人という規模で、あの体制を組むのは無理だと感じるのが自然です。
しかし、ガイドラインの対象は規模を問いません。第6.0版が対象とするのは「全ての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者」であり、病院・診療所・歯科医院・薬局のいずれも含まれます。電子カルテを使い、レセプトを電子請求し、オンライン資格確認を導入している時点で対象です。
一方で、対象であることと、大病院と同じ体制を組むことは別です。ガイドラインはリスクに応じた対応を求めており、リスクの大きさは取り扱う情報の量や範囲によって変わります。問題は「やるかやらないか」ではなく、限られた人と予算で、どこから手を付けるかです。
本記事は、小規模施設が現実的に何をどの順でやるかを整理したものです。ガイドライン全体の構成は 医療情報システムの安全管理ガイドライン第6.0版の要点 をご覧ください。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈および診療報酬の算定要件は、厚生労働省が公表する本文・通知・Q&Aが正本です。実際の対応・届出は一次資料に基づいて判断してください。
規模が小さくてもリスクが小さいわけではない
まず前提を整理します。小規模であることは、次の2つの意味で有利にも不利にも働きます。
| 観点 | 小規模施設の状況 |
|---|---|
| 扱う情報の量 | 少ない。一度の漏えいで影響を受ける患者数は病院より小さい |
| システムの複雑さ | 単純。部門システムが少なく、管理対象が絞られる |
| 攻撃されにくさ | 有利ではない。攻撃は標的を選ばず、脆弱な機器を機械的に探す形が多い |
| 復旧力 | 不利。IT担当がおらず、被害時に自力で判断・復旧できない |
| 事業継続 | 不利。診療が止まれば収入が直ちに止まる。代替の余力がない |
注目すべきは下の3行です。攻撃の入口は規模と関係なく、被害が出たときの回復力は小規模ほど弱い。公表されている被害事例に共通して現れる構造——VPN機器の既知脆弱性が侵入口になる、バックアップが同一ネットワーク上にあり同時に暗号化される、復旧手順が文書化されておらず紙運用への切替に時間がかかる——は、規模に関係なく起こります。
つまり、小規模だからやらなくてよいのではなく、小規模だからこそ「効く順」にやる必要があるというのが正確な理解です。
まずバックアップとアクセス管理
限られた工数を投じるなら、バックアップとアクセス管理の2つが最優先です。理由は明快で、この2つは被害が起きたときの結果に最も直結するからです。
なぜバックアップが先か
診療が止まる期間を決めるのは、防御の厚さではなく復旧の速さです。侵入を完全に防ぐことはできませんが、戻せる状態さえ確保できていれば、診療再開までの時間は大きく短縮できます。
小規模施設で押さえるべきは次の点です。
- 本番と別の場所・別の経路に置く。 同じネットワークにつながったNASだけ、という構成は、ランサムウェアに対しては無いのと同じです
- 一部はネットワークから切り離す。 外付けHDDやRDX等の媒体に定期的に取り、普段は接続しない。運用は単純なほど続きます
- 世代を残す。 上書きだけだと、暗号化されたデータで上書きしてしまう事故が起こり得ます
- 戻せることを一度確認する。 「取っている」と「戻せる」は別です。年1回でよいので、実際に復元してみて所要時間を記録します
2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算では、入院に係る加算1（160点）の要件として複数方式によるバックアップ（一部オフライン保管）が置かれています。方式の例としては、外部媒体方式（RDX等・世代管理あり）、自動転送方式（NAS等へ自動転送し常時ネットワークから切り離す）、クラウド内方式（クラウドサービス内の論理的に切り離された領域）が示されています。日次バックアップの場合は少なくとも3世代の確保が示されています。無床クリニックで入院加算の対象でない場合も、この考え方自体は自院の設計の指針として有効です。改定の全体像は 2026年度診療報酬改定 全科共通事項、設計の詳細は 医療機関のバックアップ設計｜3-2-1ルール をご覧ください。
なぜアクセス管理が次か
小規模施設で最も多い実態が、全員が同じIDを使っている、あるいは全員が全機能を使える権限になっているというものです。これは日常の業務効率としては楽ですが、2つの問題を生みます。
- 誰が何をしたか分からない。患者からの問い合わせや内部の疑義に対して説明できない
- 1つのIDが盗まれたら、全部が漏れる
やることは多くありません。
- 個人ごとにIDを発行する。 共用IDをやめる。これだけで説明可能性が大きく変わります
- 退職者のIDを当日止める。 小規模施設ほど、辞めた人のアカウントが残り続けます
- 管理者権限を絞る。 全員が管理者である必要はありません
- 年1回、全アカウントを見直す。 5〜10人なら30分で終わります
何を後回しにしてよいか
優先順位をつけるということは、後回しにするものを決めるということです。小規模施設では、次のような項目は初期段階では優先度を下げて構いません。ただし「やらない」と決めたことは、やらないと決めたと記録に残すのが原則です（これは経営の判断です。経営管理編の要点 を参照）。
| 項目 | 小規模施設での優先度 | 理由 |
|---|---|---|
| バックアップの多重化と復旧試験 | 最優先 | 被害時の結果に直結 |
| 個人別ID・権限の整理 | 最優先 | 説明可能性と被害範囲に直結 |
| ネットワーク機器の更新管理 | 高 | 侵入口として繰り返し現れる層 |
| 紙運用への切替手順 | 高 | 止まったときに診療を続けられるか |
| 職員への注意喚起（メール・USB） | 高 | 費用がかからず効果が高い |
| 規程の整備 | 中 | 1本にまとめてよい。分量より「決めてあるか」 |
| ログの定期点検 | 中 | 取得設定だけ先に確認し、点検は無理のない頻度で |
| 情報資産台帳 | 中 | 表計算1枚で足りる。機器10〜20点なら1時間 |
| 詳細な手順書の整備 | 低 | 人が少ないほど、文書より口頭と実地で回る |
| 独立した監査体制 | 低 | 規模に見合わない。外部の目を年1回入れる程度で足りる |
表の下側を「やらなくてよい」と読まないでください。順番の話です。上から着手して、体制が回り始めてから下に降りていく、という意味です。
文書化の考え方は、**「第三者に、自院が何を決め、どう運用しているかを説明できるか」**が基準です。5人のクリニックで100ページの規程集を作っても、誰も読まず、更新されず、実態と乖離します。A4で数枚の規程1本＋台帳＋記録のほうが、はるかに説明可能性が高い。文書の考え方は 企画管理編の要点 で詳しく扱っています。
ベンダーに任せられる範囲と、任せられない範囲
小規模施設の現実として、技術的な作業はほぼベンダー依存になります。それ自体は問題ではありません。問題は、任せていることが契約で明確になっていないことです。
| 領域 | ベンダーに任せられるか | 注意点 |
|---|---|---|
| バックアップの設定・実行・保管 | 任せられる | 「取っている」だけでなく復旧試験と結果報告まで契約に入れる |
| サーバ・ソフトのパッチ適用 | 任せられる | 対象範囲を明記。院内PCが対象外になっていないか |
| ネットワーク機器の更新 | 任せられる | 保守契約の範囲か要確認。サポート終了機器が放置されやすい |
| ログの取得設定 | 任せられる | 保存期間と、上書きで消えない設定かを確認 |
| リモート保守の実施 | 任せられる | 接続元・時刻・作業内容の記録提出を求める |
| アカウントの発行・停止 | 部分的 | 申請と承認は院内の行為。実作業だけ委託 |
| 誰にどの権限を与えるか | 任せられない | 院内の職務に基づく判断 |
| どのリスクを受け入れるか | 任せられない | 経営の判断 |
| 職員への周知・教育 | 任せられない | 教材は外部でよいが、実施と記録は院内 |
| インシデント時の一次判断 | 任せられない | 診療を止めるかどうかは院長の判断 |
任せられない行が、小規模施設で自院がやるべきことの全量だと考えて差し支えありません。数はそれほど多くありません。
契約で明確にしておく文言の例としては、「バックアップの取得・保管・復旧試験は事業者の責任範囲とし、実施結果を月次で報告する」「ネットワーク機器のファームウェア更新は保守範囲に含み、重要な脆弱性情報は速やかに通知する」といった粒度です。「はず」を「契約」に変えるのが、小規模施設における最も費用対効果の高い対策です。
確認事項の整理は ベンダーへのセキュリティチェックシート、責任の切り分けは 責任分界点の決め方、クラウド利用時の追加論点は 医療機関のクラウドセキュリティ をご覧ください。
なお、委託しても医療機関の責任は移転しません。ベンダーが経産省・総務省ガイドラインに準拠していることは前提条件であって、自院の免責ではありません。この構造は 3省2ガイドラインをわかりやすく解説 に整理があり、事業者側が体制を第三者に証明する仕組みは ISMS（ISO/IEC 27001）とは にまとめています。
最初の3か月で回す手順
小規模施設向けに、現実的な進め方を示します。院長と事務のリーダーの2人で回る量にしてあります。
1か月目：現状を知る
- 厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」を使い、自院の状況を記入する
- 情報資産台帳を表計算1枚で作る。電子カルテ、レセコン、オンライン資格確認端末、PC、タブレット、NAS、ルータ、無線AP、USBメモリ、クラウドサービスのアカウントまで
- ベンダーに「現在どこまでが保守範囲か」を書面で確認する
2か月目：効く2つを直す
- バックアップの構成を確認し、オフラインの1本を追加する。世代を残す設定にする
- 共用IDを廃止し、個人別IDに切り替える。管理者権限を絞る
- 退職者・異動者のアカウントを全削除する
3か月目：形にする
- A4数枚の「医療情報システム安全管理規程」を1本作る。体制（誰が責任者か）、やってよいこと・いけないこと、困ったときの相談先、事故時の連絡先を書く
- 医療情報システム安全管理責任者を選任し、記録に残す（選任の考え方は 医療情報安全管理責任者の役割と選任）
- 電子カルテが使えないときの紙運用の手順を決め、一度やってみる。書式を印刷して置いておく
- 職員に1回、注意喚起の場を持つ。メールの添付、USB、患者情報の取扱い。実施日と出席者を記録する
ここまでで、「何を決め、どう運用しているか」を説明できる状態の骨格ができます。以降は年1回、台帳更新・アカウント棚卸し・復旧試験・教育を回すだけです。日々の運用の中身は システム運用編の要点、対応全体の手順は 3省2ガイドライン対応の実務ステップ をご覧ください。
まとめ
- ガイドラインの対象は規模を問わない。ただし求められる対応の深さはリスクに応じて変わる
- 小規模施設は攻撃されにくいわけではなく、回復力が弱い。だからこそ「効く順」にやる
- 最優先はバックアップとアクセス管理。この2つが被害時の結果に最も直結する
- バックアップは別経路・一部オフライン・世代を残す・一度戻してみる。加算1の要件の考え方は無床クリニックの設計指針としても有効
- アクセス管理は個人別ID・退職者の当日停止・管理者権限の絞り込み・年1回の見直し。5〜10人なら見直しは30分
- 文書は分量ではなく説明可能性。A4数枚の規程1本＋台帳＋記録で足りる
- 技術作業はベンダーに任せてよい。ただし**「はず」を契約に変える**。権限設計・リスク受容・教育・初動判断は自院に残る
「どこまでやれば足りるのか」の線引きは、自院の規模と委託の形によって変わります。判断に迷われる場合や、ベンダーとの責任範囲を整理したい場合は、お問い合わせ からお気軽にご相談ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 個人情報保護委員会
※ガイドラインは改定され、診療報酬の算定要件は疑義解釈により運用が明確化されます。本記事は執筆時点の公表資料に基づくものです。届出・算定の判断は最新の通知および地方厚生局の確認に基づいて行ってください。