「3省2ガイドラインとは何か」の概要は別稿（3省2ガイドラインをわかりやすく解説）に譲り、本記事では一歩進んで、医療機関が実際に対応を実装するための具体的なステップを、責任分界とリスクベースアプローチを軸に整理します。電子カルテやAIカルテ、各種クラウドサービスの導入・運用を担当する実務者・情報システム担当者を想定した内容です。
免責：本記事は一般的な情報提供であり、法的・専門的助言ではありません。ガイドラインは改正され得るため、実際の対応にあたっては最新の一次情報と専門家の確認を得てください。
全体像：二つの責任と、リスクベースの発想
3省2ガイドラインは、医療機関側と事業者側の双方に責務を課す枠組みです。
- 医療機関（管理者）の責任：厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」（経営管理編・企画管理編・システム運用編）に基づく安全管理。
- 事業者（提供者）の責任：経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」に基づく提供者側の措置。
重要なのは、第6.0版がリスクベースアプローチを採っている点です。すべてを一律に満たすのではなく、自院の情報資産・脅威・影響度を評価し、優先順位を付けて対策する——この発想が実装の起点になります。
ステップ1：適用範囲と情報資産の棚卸し
まず「何を守るのか」を定義します。電子カルテ、レセコン、予約・問診、画像、AIカルテ、バックアップ、外部連携先など、患者情報が流れる範囲（システム・端末・ネットワーク・委託先）を洗い出し、情報資産台帳として可視化します。ここが曖昧だと、以降のリスク評価も対策も曖昧になります。
ステップ2：リスクアセスメント
棚卸しした資産ごとに、機密性・完全性・可用性の観点から脅威と脆弱性を評価し、発生可能性と影響度でリスクを格付けします。「起こったら診療が止まるか」「患者情報が漏れるか」を軸に、対策の優先順位を決めます。
ステップ3：安全管理措置（4分類）
一般的な安全管理措置は、次の4分類で体系的に整備します。
| 分類 | 主な内容 |
|---|---|
| 組織的 | 責任者・体制、規程・運用ルール、点検・監査、インシデント対応体制 |
| 人的 | 教育・訓練、秘密保持、権限に応じた運用 |
| 物理的 | サーバ・端末の設置場所、入退室、盗難・持ち出し対策 |
| 技術的 | アクセス制御・認証、暗号化、ログ、マルウェア対策、ネットワーク境界 |
ステップ4：電子保存の三基準（真正性・見読性・保存性）
診療記録を電子的に保存する場合、真正性（改ざん・なりすまし防止、責任の所在の明確化）、見読性（必要時に直ちに肉眼で読める）、保存性（保存期間中の復元可能性）の三基準を満たす必要があります。AIカルテ等では、AIが生成した下書きと医師が確定した記録の区別、確定操作の記録（誰が・いつ）などが真正性の要点になります。
ステップ5：ネットワーク境界とオンライン資格確認
2023年4月から保険医療機関等でオンライン資格確認の導入が原則義務化され、ほぼすべての医療機関でネットワーク接続に伴うセキュリティ対策が前提となりました。閉域網・VPN・境界防御・端末対策など、外部接続に応じた境界設計を、第6.0版のシステム運用編に沿って見直します。
ステップ6：委託先・クラウド事業者の選定と契約（責任分界点）
クラウドサービスを利用する場合、どこまでが事業者の責務で、どこからが医療機関の運用責任か（責任分界点）を契約・仕様で明確にします。確認・合意すべき主な事項は次のとおりです。
- 事業者側のガイドライン準拠状況と第三者認証（ISMS＝ISO/IEC 27001、ISO/IEC 27017、ISMAP 等）
- データの保管場所（国内／国外）と暗号化・鍵管理
- 監査権・監査ログの提供、インシデント発生時の通知・対応フロー
- SLA（可用性、復旧目標）とサポート範囲
- 契約終了時のデータ返却・消去
ステップ7：監査ログ・アクセス制御・BCP／インシデント対応
「誰が・いつ・どの情報にアクセスし・何をしたか」を改ざんされにくい形で記録し、定期的に点検します。アクセスは最小権限で制御し、災害・障害・サイバー攻撃に備えたBCP（縮退・オフライン運用、バックアップ、復旧手順）と、インシデント発生時の連絡・対応体制を整備します。ランサムウェア等を想定した訓練も有効です。
ステップ8：教育・訓練と継続的見直し（PDCA）
安全管理は一度整備して終わりではありません。ガイドライン改定・システム更新・脅威の変化に合わせ、リスクアセスメントと対策を定期的に見直すPDCAとして運用します。厚生労働省は医療機関向けのチェックリストも公表しており、年次の点検に活用できます。
ISMS（ISO/IEC 27001）との統合
3省2ガイドラインへの対応は、ISMS（ISO/IEC 27001）の枠組みと親和性が高く、リスクアセスメント・安全管理措置・PDCAを共通の仕組みとして運用することで、二重管理を避けつつ客観的な認証も得られます。制度対応を「点」ではなく「継続的な仕組み」として設計することが、実務では効率的です。
まとめ
3省2ガイドライン対応は、チェックリストを埋める作業ではなく、責任分界を明確にし、リスクベースで優先順位を付け、継続的に見直す仕組みとして設計するのが実務的です。
ポテックは、ISMS認証取得支援と3省2ガイドライン対応支援、およびAIネイティブな医療情報システムの開発を提供しています。制度対応とシステム設計を一体で進めたいというご相談があれば、お気軽にお問い合わせください。関連して、AIカルテのセキュリティ設計（責任共有モデル）もあわせてご覧ください。
参考
※本記事は一般的な情報提供であり、法的・専門的助言ではありません。導入・対応の判断にあたっては、最新の一次情報と専門家の確認を得てください。