厚生労働省は2025年5月14日に、「医療機関等におけるサイバーセキュリティ対策チェックリスト」と、そのマニュアルを公表しました。従来の資料より具体的・実践的で、クラウド環境・BCP・IoT機器・BYODへの言及が加わっている点が特徴です。
医療機関にとって、これは歓迎すべき道具です。「医療情報システムの安全管理に関するガイドライン」第6.0版は4編構成で分量が多く、どこから手をつけるかの判断自体が難しい。チェックリストはその入口として機能します。
一方で、チェックリストには固有の失敗の仕方があります。埋めること自体が目的になることです。担当者が机上で「実施している」に丸を付け、提出し、ファイルに綴じる。翌年、同じ用紙にほぼ同じ丸を付ける。この使い方では、リストは自院の状態を映しません。
本記事は、チェックリストを自院の対策を前に進めるための道具として使う方法を整理したものです。
免責：本記事は一般的な情報提供です。チェックリストおよびマニュアルの内容、提出の要否や取扱いは、厚生労働省および所管の自治体の公表資料が正本です。最新の様式と運用は必ず一次資料でご確認ください。
チェックリストはガイドラインの入口として使う
まず位置づけを整理します。チェックリストはガイドラインを置き換えるものではなく、ガイドラインが求めることを、医療機関が自己点検できる形にした入口です。
| 資料 | 性格 | 使いどころ |
|---|---|---|
| 安全管理ガイドライン 第6.0版 | 要求事項の本体。概説編・経営管理編・企画管理編・システム運用編の4編 | 対応の根拠を確認する。役割ごとに読む編を変える |
| チェックリスト | 自己点検の様式 | 現状把握と、経営層への説明 |
| マニュアル | チェックリストの解説 | 各項目が何を意図しているかを理解する |
| 第6.0版に関するQ&A（2025年5月公表） | 解釈の補足 | 判断に迷う項目の確認 |
マニュアルを読まずにチェックリストだけを埋めないでください。 項目の文言は短いため、読み手によって解釈がぶれます。「実施している」の水準がどこにあるのかはマニュアル側に書かれています。ガイドライン全体の構造は 3省2ガイドラインとは、実務の進め方は 3省2ガイドライン対応の実務ステップ をご覧ください。
埋め方で結果が変わる
同じチェックリストでも、誰がどう埋めるかで結果の有用性がまったく変わります。
| 埋め方 | 結果 | 評価 |
|---|---|---|
| 情報システム担当が1人で机上で埋める | 早い。しかし現場の実態が反映されない | 使えない |
| ベンダーに聞いて埋める | 技術項目は正確。運用項目は分からない | 半分だけ |
| 各部門に配って集める | 実態に近い。ただし解釈がばらつく | マニュアルの併用が前提 |
| 担当者が現場を見て、根拠を確認しながら埋める | 時間はかかる。そのまま改善計画になる | 推奨 |
推奨する進め方は、「実施している」に丸を付けるときに、必ず根拠を1つ書くというものです。規程の条番号、設定画面の写し、記録の保管場所、契約書の該当条項。根拠が書けない項目は、実質的に「実施しているつもり」です。
この作業を通すと、副産物として根拠資料の所在一覧ができます。これは監査、診療報酬の算定要件の確認、サイバー保険の引受審査（医療機関のサイバー保険）のいずれでも使い回せます。
「できていない」を正直に書くことが、このリストの価値です。 できていない項目が並ぶ結果表は、失敗ではなく出発点です。むしろ全項目に丸が付いた結果表のほうが、点検の精度を疑うべきでしょう。
「できていない」項目の優先順位づけ
チェックリストを埋め終えると、できていない項目が10も20も並びます。ここで多くの医療機関が止まります。全部はできないからです。
優先順位は、次の3つの軸で付けます。
| 軸 | 問い |
|---|---|
| 被害の大きさ | これができていないと、何がどこまで止まるか |
| 実現の容易さ | 費用、工数、診療への影響 |
| 制度上の要求 | 診療報酬の算定要件になっているか。ガイドラインで必須か |
この3軸で並べると、おおむね次の順序になります。
- 制度上の要求で、かつ被害が大きいもの — バックアップの複数方式・オフライン保管、BCPの策定と訓練、安全管理責任者の配置。2026年度改定で新設された電子的診療情報連携体制整備加算の要件に直結します（サイバー攻撃を想定したBCP、医療機関のバックアップ設計）
- 被害が大きく、費用が小さいもの — 退職者アカウントの削除、管理者権限の棚卸し、連絡網の紙での保管。費用ではなく手を動かすかどうかの問題
- 被害が大きく、費用も大きいもの — 境界機器の更改、ネットワーク分離、多要素認証の全面導入。年度をまたぐ計画にする
- 被害が小さいもの — 記録の整備、文書の見直し。日常業務に埋め込む
2番目の層を先に片付けてください。 費用がかからず効果が大きい項目が未実施のまま残っているのは、優先順位の問題ではなく着手の問題です。ここを潰すと、経営層に対して「予算がなくてもここまでやった」と説明できる状態になります。それが3番目の層の投資判断を通りやすくします。
3番目の層は、複数年の計画として委員会と経営会議に上げます。今年度はここまで、来年度はここまで、という線を引いて記録に残すことが、リスクを認識したうえでの受容として説明可能になります。体制側の話は 医療機関のセキュリティ体制の作り方 をご覧ください。
新しく加わった観点への対応
2025年5月のチェックリストで言及が加わった領域は、多くの医療機関で手が薄い部分と重なります。
| 観点 | 医療機関でよくある状態 | 確認すべきこと |
|---|---|---|
| クラウド環境 | 「ベンダーがやっているはず」で止まる | 責任分界、データの保存場所、バックアップの所在、事故時の通知義務 |
| BCP | 自然災害BCPはあるが、サイバーは未策定 | 復旧期間が読めない前提での計画。訓練の記録 |
| IoT機器 | 資産台帳に載っていない | ネットワークに接続された機器の棚卸し、更新可否、分離 |
| BYOD | 黙認されている | 私物端末での患者情報の取扱いルール、実態の把握 |
クラウドは「ベンダーがやっているはず」が最も危険な領域です。 何を医療機関が担い、何を事業者が担うかは契約で決まります。曖昧なまま運用すると、事故の際に「相手がやっていると思っていた」領域が生じます。クラウド利用時のガイドライン対応、医療機関のクラウドセキュリティ、責任分界点の決め方 をご覧ください。
BYODは「ルールを作る」前に「実態を把握する」ことから始めます。 禁止と書かれた規程があるのに私物端末で患者情報をやり取りしている、という状態が最も危険です。実態を把握したうえで、安全に行える範囲を定めるほうが機能します。端末管理は 端末管理｜持ち出しPC・タブレット で扱っています。
翌年に同じ結果を繰り返さないために
チェックリストが形骸化するのは、点検が改善につながる経路がないときです。経路を作るために、次の3つを運用に埋め込みます。
- 結果を委員会に上げ、対応方針を決議する。 点検は担当者の作業、判断は組織の仕事という切り分けを明確にします
- できていない項目に、担当・期限・費用の見込みを付ける。 一覧のまま置くと動きません。項目ごとに誰がいつまでに何をするかを書く
- 翌年の点検で、前年の未実施項目の進捗を先に見る。 新しい点検から始めるのではなく、前回の宿題の確認から始める
経営層への説明では、結果を2色で見せてください。 項目ごとの詳細より、「できている項目の割合が昨年◯%から今年◯%になった」「未実施のうち投資が必要なのは◯項目で、概算◯円」という粒度のほうが判断につながります。
そして、点検の結果そのものを機微な情報として扱ってください。 自院の弱点を網羅した文書です。保管場所とアクセス範囲を限定し、外部への提供が必要な場合の範囲もあらかじめ決めておきます。
チェックリストの結果は、インシデントの構造から学ぶ で挙げた共通の失敗パターンと突き合わせると、優先順位の判断がしやすくなります。教育・訓練の計画は 職員教育・訓練の設計 をご覧ください。
まとめ
厚労省のチェックリストを使う際に押さえるべき点は次のとおりです。
- チェックリストはガイドラインの入口。マニュアルを併読しないと「実施している」の水準がぶれる
- 埋めるときは**「実施している」1項目につき根拠を1つ書く**。書けない項目は「実施しているつもり」
- 「できていない」を正直に書くことがこのリストの価値。 全項目に丸が付く結果表は点検の精度を疑う
- 優先順位は被害の大きさ・実現の容易さ・制度上の要求の3軸。費用がかからず効果が大きい層を先に潰す
- 新しく加わったクラウド・BCP・IoT・BYODは手が薄い領域。クラウドは責任分界、BYODは実態把握から
- 点検を改善につなげる経路を作る。 委員会での決議、担当と期限の付与、翌年は前年の宿題の確認から始める
- 結果表は自院の弱点を網羅した機微情報として保管・提供範囲を決める
点検を実施するところまでは自院でできても、優先順位づけと投資計画への落とし込みは判断材料が要ります。ポテックは医療情報システムの設計・運用の立場から、現状の整理と計画づくりのご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側の管理体制を評価する枠組みとしては ISMS（ISO/IEC 27001）とは が参考になります。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文PDF）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
※チェックリストおよびマニュアルの様式・内容、提出の要否や取扱いは改定され得ます。最新の内容は厚生労働省および所管の自治体の公表資料をご確認ください。