医療情報システムを取り巻く環境は、
この数年で大きく変化しました。
電子カルテやレセコン、予約システム、
クラウドサービスなど、
クリニックでは医療情報システムを日常的に利用しています。
一方で、ランサムウェアや不正アクセス、
委託先管理の不備、バックアップ不足など
診療停止のリスクも高まっています。
そこで本記事では、2026年6月に改訂された
医療情報システム安全管理ガイドラインの
基本を整理したうえで、
クリニックが最初に確認すべき10項目を解説します。
「医療情報システムの安全管理に関するガイドライン」とは？
医療情報システム安全管理ガイドラインは
クリニックを含む医療機関が
患者さんの情報を安全かつ継続的に扱うための指針です。
電子カルテやレセコンだけでなく、
予約システム、院内ネットワーク、
クラウドサービスなども対象となります。
2026年6月に改訂された、第7.0版では、
医療機関を狙ったサイバー攻撃の増加や、
医療DXの進展、クラウド利用の拡大、
委託先との連携の複雑化などを背景に、
より実効性のある安全管理が強く求められています。
第7.0版は、経営管理編、企画管理編、システム運用編、
保守委託機関編などで構成されています。
ここでは主に、経営管理と企画・運用管理について
解説していきます。
ガイドライン対応の第一歩！クリニックが最初に確認すべき10項目
クリニックが優先して確認すべき
10項目をご紹介します。
まずは全体像を把握し、
見直しから始めることが大切です。
【経営管理編】経営者が主導すべき4項目
1. 医療情報に関する管理責任者と基本方針を定める
クリニックで最初に必要なのは、
医療情報システムの安全管理責任者と
情報セキュリティの基本方針を明確にすることです。
クリニックでは、院長や事務責任者が
兼務することもありますが、
責任者の役割・権限・連絡先を文書化し、
院内および委託先と共有することが重要です。
基本方針に盛り込みたい主な内容は次のとおりです。
＜基本方針の例＞
- 情報セキュリティ対策の目的
- 対象となる情報資産の範囲
- 管理責任者と担当者の役割
- 法令、ガイドライン、院内規程の遵守
- 患者情報保護の考え方
- 教育、監査、見直しの実施方針
- インシデント発生時の対応方針
最初はA4サイズ数枚から方針を定め、
全スタッフに周知することから始めてみませんか。
2. セキュリティ対策のための予算を確保する
実効性のある対策には、
一定の予算が必要です。
また、古いOSやサポート切れを考慮し、
更新期間も含めて中期的に予算化します。
＜予算の例＞
- UTMやファイアウォールなどのネットワーク防御機器
- OS、ソフトウェア、マルウェア対策製品のライセンス
- バックアップ機器、クラウドバックアップ費用
- セキュリティ教育や訓練の費用
- 外部専門家による点検、助言、緊急対応契約
3. サイバー攻撃を想定した事業継続計画（BCP）を策定する
BCP（事業継続計画）は、
災害対策だけでなく、
サイバー攻撃やシステム障害への
備えとしても重要です。
主に以下の内容を整理し、
有効な対策か確認することが大切です。
＜BCPの例＞
- 電子カルテ停止時の代替運用手順
- 紙カルテや紙記録様式の準備
- 復旧までの優先業務の整理
- バックアップからの復元手順と責任者
- ベンダーや委託先への連絡先一覧
- 患者さんへの説明方法や予約変更対応
- 休日・夜間を含む緊急連絡網
参照元：厚生労働省「【医療機関用】サイバー攻撃を想定した事業継続計画（BCP）策定の確認表」PDF
※BCPひな形や確認の手引きは厚生労働省のページよりご確認ください
4. インシデント発生時の報告・連絡体制を整備する
インシデント発生時は、
初動の遅れが被害を広げます。
「事故かどうかわからない」段階でも
報告しやすい雰囲気をつくり、
連絡先一覧を誰でも確認できるようにします。
＜連絡先の例＞
- 発見者の第一報先
- 内部責任者へのエスカレーション
- ベンダー・保守業者への連絡
- 患者さん説明の判断者
- 記録担当
【企画・運用管理編】システム担当者が確認すべき6項目
5. 外部委託先の管理体制と契約内容を見直す
クリニックでは、医療情報システムの
構築・保守・運用の多くを
外部業者に依存しているケースが一般的です。
しかし、委託しているからといって
責任まで外部に移るわけではありません。
最終的な安全管理責任は医療機関側にあります。
＜見直しの例＞
- 医療情報へのアクセス権限は適切か
- 再委託の有無と管理方法は確認できているか
- 障害時・事故時の対応範囲と連絡体制は明確か
- ログ管理、認証、暗号化、バックアップの責任分界点は明確か
- 機密保持、安全管理、報告義務が盛り込まれているか
- 保守用のリモート接続が安全に管理されているか
6. 医療情報システムの構成図・資産台帳・アクセス権限を整理する
安全管理の前提は、
「何がどこにあり、誰が使えているか」
を把握することです。
少なくとも以下の内容を把握しておくと良いでしょう。
- 院内にあるサーバー、端末、プリンタ、ネットワーク機器の一覧
- 電子カルテ、レセコン、予約、検査、画像などのシステム一覧
- OSやソフトウェアのバージョン、保守期限
- インターネット接続経路、VPN、無線LANの構成
- クラウドサービス利用状況
- 管理者権限を持つアカウントの一覧
- 共有アカウントの有無
7. 重要な情報システムへ二要素認証を導入する
パスワードやＩＤだけでは、
漏れいやフィッシングによる不正利用を
十分に防ぐことはできません。
そのため、重要な医療情報システムには
二要素認証※の導入を検討・実装すると良いでしょう。
※知識情報（パスワード）、所持情報（スマートフォンアプリ、トークン、ICカード）、生体情報など、異なる要素を組み合わせて認証する仕組み
クラウド型電子カルテ、メール、VPN、
リモート保守などの外部接続や
管理者権限アカウントから
優先的に強化すると効果的です。
8. ソフトウェアの脆弱性対策（アップデート管理）を徹底する
更新されていないコンピュータや機器の
「脆弱性」を狙って、サイバー攻撃されるケースが多いです。
OS、ブラウザ、電子カルテ関連ソフト、
セキュリティソフト、VPN機器、
ルーターなどのアップデート管理は、
医療情報システムの安全管理における基本です。
「更新後の不具合が怖い」
と放置するのではなく、
検証手順と優先順位を決めたうえで、
計画的にアップデート管理を実施しましょう。
サポート切れのOSやソフトウェアは、
代替策を含めた更改計画を早急に立てましょう。
9. データのバックアップと復旧手順を再確認する
バックアップは保存するだけでは十分ではありません。
電子カルテやレセコン、画像、
文書、設定情報について、
保存先、頻度、世代数を確認し、
実際に復元できるか定期的にテストします。
複数の方式でバックアップをもち、
ネットワークから分離した外部、
またはクラウドにも保存することで、
ランサムウェアで同時に暗号化されない構成を検討しましょう。
また、復旧手順はベンダー任せにせず、
スタッフでも把握しておき、
休日や夜間のトラブルに備えることが大切です
10. 厚労省の「サイバーセキュリティ対策チェックリスト」で現状を把握する
何から始めればよいかわからない場合は、
厚生労働省が示しているチェックリストを
活用するのが有効です。
チェックの結果、対応が不十分な
「いいえ」の項目が見つかったら、
優先順位を付けて改善計画に落とし込みましょう。
院内会議やベンダーとの打ち合わせで、
共通の確認資料としても活用可能です。
ガイドラインを読むだけで終わらせず、
現状評価と改善のサイクルに結びつけることが大切です。
参照元：厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」PDF
※Excelチェックリストやマニュアルは厚生労働省のページよりご確認ください
院内の役割分担
医療情報システムの安全管理は、
1人の担当者だけで完結するものではありません。
特にクリニックでは人員が限られるため、
「誰も最終責任を持たない」状態になりやすくなります。
そこで、院長、事務長、システム担当者の
役割分担を明確にすることが重要です。
院長は、医療情報システムの安全管理を
経営課題として扱う立場です。
すべての専門技術を把握しなくても、
重要事項の説明を受け、
優先順位を決め、
必要な意思決定を行う責任があります。
事務長は、経営判断と現場運用を
つなぐ調整役として重要です。
技術面だけでなく、人や契約、文書、
業務フローを統合して管理する役割が求められます。
システム担当者は、日常運用の要です。
しかし、全責任を背負わせるべきではありません。
特にクリニックでは兼任が多いため、
過度な属人化を避け、手順書や台帳で
知識を共有しておく必要があります。
この3者に加えて、看護師、受付、
非常勤医師、委託先ベンダーも含めた
全体体制を整えることが理想です。
医療情報システムの安全管理は、
院内スタッフ全体で取り組むべきテーマです。
まとめ：できることから安全管理を
医療情報システム安全管理ガイドラインは
患者さんの情報を守り、
診療を継続させるための指針です。
まずは、基本方針と責任体制の整備をし、
二要素認証やアップデートなどで
安全管理を強化させましょう。
対応は一度で終わりではありません。
定期的な点検、教育、訓練、見直しを続けることが重要です。
クリニックでもチェックリストを活用し、
現状を把握することから始めてみませんか。
