医療機関のセキュリティ対策ガイド

チェックリストには「令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」とあり、「いいえ」の項目には令和8年度中の対応目標日を記入します。医療法に基づく立入検査で確認されます。

チェックリストマニュアルでは、2-①の台帳（サーバ、端末、ネットワーク機器）、3-①の連絡体制図、3-③のサイバー攻撃を想定したBCP、4-①の規程類の4つは現物を確認するとされています。

一斉に義務化されるわけではありません。令和9年度（令和9年4月1日時点）で稼働していることが想定される医療情報システムを、今後、新規導入又は機器の入替等を伴うシステム更改をするに際しては、二要素認証を採用、又はこれに相当する対応を行うことが求められます。技術的な理由等により令和9年度までの対応が困難な場合には、令和9年度以降、直近の次期の医療情報システムの更新までを期限とします。対象は端末のアプリケーションログインとサーバのOSログインです。

厚生労働省の通知（令和8年6月29日）によると、保守委託機関編の追加、サイバーセキュリティ基本法とサプライチェーンリスクの追記、パスワードの定期的な変更の要件の削除と使い回し禁止・アカウントロックの追記、二要素認証の対象の明確化などが主な変更点です。

第7.0版では保守委託機関編が新設されました。すべてのサーバのセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等は、保守委託機関編を遵守することで、その他の編の項目も遵守できているものとみなされます。対象になるかは編の中の判断図で確認します。

安全管理ガイドライン第7.0版の概説編は、安全管理措置を継続的に実施・改善するために、ISMS（情報セキュリティマネジメントシステム）を構築・運用することが求められるとしています。これは仕組みの構築・運用を求めるもので、ISO/IEC 27001の認証取得を義務づけるものではありません。