「3省2ガイドラインに準拠しています」。医療情報システムの提案書でこの一文を見ない年はありません。ところが、この一文が具体的に何を宣言しているのかを説明できるベンダーは、実はそれほど多くありません。医療機関側も、準拠の中身を問い返さないまま提案を受け取っていることが少なくないはずです。
3省2ガイドラインは、名前のとおり2本のガイドラインで構成されています。1本は医療機関側を対象とする厚生労働省のガイドライン、もう1本は事業者側を対象とする経済産業省・総務省のガイドラインです。ベンダーが「準拠しています」と言うとき、本来指しているのは後者です。つまり事業者ガイドラインが事業者に何を求めているかを知っていれば、その一文の中身を検証できます。
本記事は、事業者側のガイドラインが何を求めているのかを実務の言葉で整理したものです。事業者の方には自社の対応範囲の確認として、医療機関の方には委託先を評価するときのチェックの軸として使える立て付けにしています。
免責：本記事は一般的な情報提供です。ガイドラインの要求事項の解釈は、厚生労働省・経済産業省・総務省がそれぞれ公表する本文および関連資料が正本です。ガイドラインは改定されるため、実務判断は必ず最新の一次情報に基づいて行ってください。
3省2ガイドラインの「2」が指すもの
まず構造を整理します。
| 区分 | 所管 | 対象 | 中心的な問い |
|---|---|---|---|
| 医療情報システムの安全管理に関するガイドライン | 厚生労働省 | 医療機関等 | 患者の情報を預かる者として、何を管理するか |
| 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン | 経済産業省・総務省（共同） | 事業者 | 医療機関から情報を預かる者として、何を保証するか |
この2本で「3省2ガイドライン」です。3省は厚労省・経産省・総務省の3つ、2ガイドラインは上記の2本を指します。なお「3省4ガイドライン」という古い呼称を目にすることがありますが、現在は経済産業省と総務省が1本のガイドラインを共同で所管する形になっています（呼称の変遷は各省の公表資料をご確認ください）。
重要なのは、この2本が同じ事象を別の側から書いているという点です。医療機関側のガイドラインは「委託先を適切に管理せよ」と書き、事業者側のガイドラインは「委託元に対して適切に説明し保証せよ」と書く。両者が噛み合ったとき、はじめて一つの情報管理が成立します。逆に言えば、どちらか片方だけを読んでも、責任の境界は見えません。
厚労省側のガイドラインの全体像は 3省2ガイドラインをわかりやすく解説 に、医療機関としての実装手順は 3省2ガイドライン対応の実務ステップ にまとめています。
事業者ガイドラインが求めることの柱
事業者側のガイドラインが求める内容を実務の言葉で整理すると、おおむね次の6本の柱になります。条文の構成そのものではなく、「事業者は何を用意しなければならないか」という観点で並べ直したものです。
| 柱 | 事業者に求められること | 医療機関が確認すべき形 |
|---|---|---|
| ① 組織的な管理体制 | 経営層の関与、責任者の選任、規程と教育の整備 | 体制図、責任者の氏名・役職、教育の実施記録 |
| ② 責任分界の明確化 | 医療機関とのあいだで、どこまでが自社の責務かを文書で定義 | 責任分界表、SLA、約款の該当条項 |
| ③ リスクマネジメント | 提供するサービスのリスクを評価し、対策を決めて運用する | リスクアセスメントの実施有無と頻度 |
| ④ 委託先・再委託先の管理 | 自社が使う事業者（IaaS、保守、データセンター等）まで管理が及んでいる | 再委託先の一覧、再委託の可否と通知条件 |
| ⑤ 事業継続とサービス終了時の措置 | 障害・災害・攻撃時の継続策と、契約終了時のデータ返還・消去 | BCPの有無、データ返還形式、消去証明の発行可否 |
| ⑥ 医療機関への説明・情報開示 | 医療機関がガイドライン対応を果たせるよう、必要な情報を提供する | 対応状況説明書、監査対応の可否、ログの開示範囲 |
この6つのうち、医療機関から見て最も差が出るのが⑥です。①〜⑤を実施していても、医療機関が求める粒度で説明できなければ、医療機関側は自らの対応を証明できません。事業者ガイドラインが事業者に説明責任を課しているのは、医療機関側のガイドラインが「委託先を管理せよ」と求めていることの裏返しです。
「準拠しています」を検証する
提案書の「3省2ガイドライン準拠」という記載は、それ自体では検証可能な情報を含んでいません。準拠を名乗る第三者認証が存在するわけでもないため、医療機関側が上表の各項目について現物を求めるしかないのが実情です。
聞き方としては、「準拠していますか」ではなく「準拠を示す資料を出せますか」が有効です。前者にはほぼ全社が「はい」と答えますが、後者で差が出ます。具体的な質問の組み立ては 事業者に確認すべき質問リスト と ベンダーへのセキュリティチェックシート に整理しています。
医療機関がベンダーを見るときの目線に変換する
事業者ガイドラインは、医療機関にとって「相手方に適用されるルール」です。しかし読み方を変えれば、ベンダー評価の評価軸そのものとして使えます。事業者ガイドラインが事業者に求めている項目は、そのまま医療機関が確認すべき項目だからです。
実務では、次の順で見ると判断が早くなります。
- 責任分界の文書があるか — なければ他の議論は成立しません。曖昧なまま契約すると、インシデント時に必ず揉めます。詳しくは 責任分界点の決め方 をご覧ください
- 再委託の構造が開示されるか — クラウド型のサービスでは、実際のデータ保管はIaaS事業者が担っていることが普通です。そこまで見えているか
- 契約終了時の扱いが決まっているか — 導入時にはほとんど議論されず、解約時に問題化する領域です
- 医療機関の監査に応じる用意があるか — 応じられない事情があるなら、代替手段（第三者監査報告書の提供など）が用意されているか
- インシデント時の通知条件が具体的か — 「速やかに通知」では運用できません。何を、誰に、何時間以内に、が決まっているか
このうち1と5は、医療機関側のガイドライン対応の成否を直接左右します。ベンダーの体制が弱いと、医療機関側がどれだけ整備しても対応が完結しないという構造を理解しておくことが重要です。
ISMSなど第三者認証との関係
事業者がISMS（ISO/IEC 27001）を取得している場合、上表の①③④の多くは既に整備されている可能性が高くなります。ISMSは組織的な管理体制・リスクアセスメント・委託先管理を規格の要求として求めるためです。
ただし、ISMS認証は3省2ガイドラインへの準拠を証明するものではありません。適用範囲が限定されている場合もありますし、医療情報固有の要求（外部保存の三基準、責任分界の明示など）はISMSの守備範囲の外にあります。認証の有無は「土台があるかどうか」の目安として使い、医療情報固有の点は別途確認するのが正しい使い方です。
事業者側の立場からこの関係を整理したものが ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド と 調達要件としてのISMS です。
契約・合意文書のどこに落ちるか
ガイドラインの要求は、最終的には契約書・SLA・約款・仕様書のいずれかに落ちていなければ機能しません。口頭の説明や提案書の記載は、インシデント時の根拠になりにくいためです。
| 要求 | 落とす先 | 書き方の要点 |
|---|---|---|
| 責任分界 | 契約書本体または別紙 | 領域ごとに「医療機関／事業者／共同」の3分類で表にする |
| 稼働率・復旧目標 | SLA | RTO・RPOを数値で。未達時の扱いも書く |
| インシデント通知 | 契約書またはSLA | 対象事象の定義、通知先、通知期限を具体的に |
| 再委託 | 契約書 | 事前承諾か事後通知か、再委託先の一覧の提供義務 |
| データの返還・消去 | 契約書 | 形式、期限、消去証明の発行 |
| 監査・報告 | 契約書 | 立入監査の可否、代替となる報告書の種類と頻度 |
SLAの具体的な書き方は SLAと責任分界の書き方 に、契約前の要件定義への落とし方は 医療情報システムの調達要件にセキュリティを入れる にまとめています。
なお、2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算では、医療情報システムの安全管理に関するガイドラインへの準拠と、専任の医療情報システム安全管理責任者の配置が要件に含まれています。ガイドライン対応は「やったほうがよいこと」から算定要件へと位置づけが変わりました。ベンダー選定の巧拙が、そのまま算定可否に影響し得る局面になっています。改定の全体像は 2026年度診療報酬改定 をご覧ください。
まとめ
- 3省2ガイドラインの「2」は、厚労省＝医療機関側／経産省・総務省＝事業者側という役割分担で構成されている
- 事業者側の要求は、①組織体制 ②責任分界 ③リスクマネジメント ④委託先管理 ⑤事業継続と終了時措置 ⑥医療機関への説明の6本に整理できる
- 医療機関から見て差が出るのは⑥。実施しているかではなく、説明できるかが委託元の対応可否を左右する
- 「準拠しています」は検証可能な情報を含まない。準拠を示す資料を出せるかで問うこと
- ISMS認証は土台の目安にはなるが、3省2ガイドラインへの準拠を証明するものではない
- 要求は契約書・SLAに落ちてはじめて機能する。責任分界・通知条件・再委託・データ返還の4点は最低限明文化する
自院の委託先評価の基準づくりや、既存契約の見直しでお困りの場合は お問い合わせ からご相談ください。事業者側として体制整備を進める場合は ISMS認証取得支援サービス もあわせてご覧ください。
参考・出典
※ガイドラインの版数・改定時期・要求事項の詳細は各省の公表資料が正本です。ガイドラインおよびその解釈は改定され得るため、実務判断の際は必ず最新の一次情報をご確認ください。