医療情報システムの安全管理は、情報システム担当者だけに任せておけばよい業務ではありません。

サイバー攻撃やシステム障害によって電子カルテなどが利用できなくなれば、診療の継続、患者の安全、地域医療、医療機関の経営にまで影響が及びます。

そのため、「医療情報システムの安全管理に関するガイドライン 第7.0版」の経営管理編では、医療機関等の経営層が果たすべき責任、判断すべき事項、担当者に指示・管理すべき事項が整理されています。

経営管理編の結論を端的にいえば、次のとおりです。

医療情報システムの安全管理について、経営層がすべての技術作業を行う必要はありません。
しかし、責任者の設置、リスクに対する判断、予算・人材の確保、BCP、委託先管理、改善の指示については、経営層が主体的に関与しなければなりません。

本連載の第1回では、ガイドライン第7.0版「概説編」を取り上げ、全5編の構成や対象となる医療機関、ガイドライン全体の読み方を解説しました。

第2回となる今回は、病院の理事長・院長、診療所の管理者、薬局の管理者、法人本部などの経営層に向けて、「経営管理編」の重要ポイントと実務への落とし込み方を解説します。

この記事でわかること

この記事では、主に次の内容を解説します。

• 経営管理編は誰が読むべきものなのか
• 医療情報システムの安全管理における経営層の責任
• セキュリティ対策を「コスト」ではなく「投資」と考える理由
• 経営層が行うべきリスク評価と意思決定
• 自己点検、監査、教育、BCPの位置付け
• システム事業者へ委託する場合の責任分界
• 令和8年度サイバーセキュリティ対策チェックリストとの関係
• 医療機関が最初に確認すべき実務項目

前回までの連載記事

• 【連載第1回】医療情報システム安全管理ガイドライン第7.0版「概説編」を読み解く

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

• 厚生労働省｜ガイドライン第7.0版・関連資料一覧
• 医療情報システムの安全管理に関するガイドライン第7.0版「概説編」
• 医療情報システムの安全管理に関するガイドライン 第7.0版 「経営管理編」
• 令和8年度サイバーセキュリティ対策チェックリスト
• 令和8年度チェックリストマニュアル
• 経済産業省｜医療情報システムの契約における役割分担等の確認表

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

1．経営管理編とは何か

経営管理編は、医療機関等において経営方針を決定する立場にある経営層を主な対象としています。

具体的には、次のような立場の方が想定されます。

• 病院の理事長、院長、副院長
• 診療所の管理者
• 薬局の管理者
• 医療法人の役員や法人本部
• 事務長など経営判断に関与する責任者

経営管理編には、サーバやネットワークをどのように設定するかといった詳細な技術手順が中心に書かれているわけではありません。

経営層が遵守・判断すべき事項と、企画管理者やシステム運用担当者に対して指示・管理すべき事項が示されています。

つまり、経営管理編は「経営層が自ら設定作業を行うための資料」ではなく、医療情報システムの安全管理を組織として成立させるための経営判断の指針です。

2．医療情報セキュリティは経営課題である

サイバー攻撃やシステム障害が発生すると、単なる情報漏えいだけでは済まない可能性があります。

電子カルテが利用できない、検査結果を確認できない、処方や会計が停止するといった事態になれば、診療そのものが継続できなくなるおそれがあります。

その結果、次のような経営上の影響が生じます。

経営管理編では、安全管理対策を単なる「コスト」ではなく、質の高い医療の提供に不可欠な「投資」と捉え、必要となる予算や人材を確保することが重要であると示されています。

セキュリティ製品を購入すれば問題が解決するわけではありません。

責任者、規程、教育、点検、BCP、委託先との契約、インシデント対応体制まで含めて初めて、医療情報システムの安全管理が組織として機能します。

3．経営層が負う4つの責任

経営管理編における責任は、大きく次の4つに整理できます。

3-1．通常時における責任

通常時には、医療情報システムが適切に管理されていることを確認しなければなりません。

具体的には、次のような責任があります。

• 管理方法や体制を説明できる状態にする
• システムの運用状況について報告を受ける
• 自己点検や監査を実施する
• 問題があれば改善を指示する
• 方針、規程、手順、実施記録を文書化する
• 患者等からの照会に対応できる窓口を整備する

責任者を任命しただけで、その後の報告や確認が行われていなければ、経営管理が機能しているとはいえません。

経営層には、定期的に管理状況の報告を受け、責任の所在や対策の実施状況を把握することが求められます。

3-2．非常時における責任

ンシデントが発生した場合には、経営層による迅速な意思決定が必要です。

主な責任は次のとおりです。

• 可能な限り医療提供を継続する
• システム停止や診療制限を判断する
• 原因と影響範囲を整理する
• 患者、関係機関、所管官庁等へ説明する
• 委託先や外部専門家と連携する
• 再発防止策を決定する

非常時になってから意思決定者や連絡先を確認していては、対応が遅れてしまいます。

そのため、通常時から非常時の指揮命令系統、報告基準、連絡体制、判断基準を決めておく必要があります。

3-3．委託先を管理する責任

電子カルテ、レセプトコンピュータ、医療機器、ネットワーク、クラウドサービスなど、医療情報システムの多くは外部事業者の支援によって運用されています。

しかし、業務を委託したからといって、医療機関側の管理責任まで自動的になくなるわけではありません。

経営管理編では、委託先事業者を適切に選定し、その業務を管理・監督することが求められています。

特に確認すべきなのは、次の点です。

• 何を委託しているのか
• 事業者は何を実施するのか
• 医療機関側には何が残るのか
• 再委託先は存在するのか
• 障害やサイバー攻撃発生時に誰が対応するのか
• ログや調査資料を誰が保全するのか
• 患者や行政への説明に必要な情報を誰が提供するのか

3-4．第三者提供に関する責任

医療情報を他の医療機関、医療連携ネットワーク、研究機関、外部サービスなどに提供する場合には、第三者提供に関する手続きと責任範囲を整理する必要があります。

提供元と提供先のどちらが、どの範囲まで責任を負うのかを明確にし、記録として残しておくことが重要です。

4．経営層が行うべきリスク評価と判断

経営層に求められているのは、すべてのリスクをゼロにすることではありません。

自院の医療情報、システム構成、診療体制、予算、人員などを踏まえて、どのリスクにどのように対応するかを判断することです。

経営管理編では、リスクへの対応方針として次の4つが示されています。

例えば、電子カルテを停止させないために多額の投資を行ったとしても、稼働率を完全な100％にすることは現実的ではありません。

その場合には、障害発生時に紙運用へ切り替え、一定範囲の診療を継続するという対応もリスク低減策の一つになります。

重要なのは、リスクを認識しないまま放置することと、リスクを評価した上で受容することは異なるという点です。

経営層は、企画管理者やシステム運用担当者から必要な情報を受け取り、医療継続への影響、必要な予算、対策の実現性、残存リスクを踏まえて判断しなければなりません。

5．責任者を置くだけでは体制構築にならない

令和8年度版のサイバーセキュリティ対策チェックリストでは、「医療情報システム安全管理責任者を設置している」ことが最初の確認項目になっています。

ただし、責任者の名前を決めるだけでは十分ではありません。

少なくとも次の事項を明確にする必要があります。

• 責任者の職務
• 権限の範囲
• 経営層への報告経路
• 企画管理者、システム運用担当者との役割分担
• 非常時における指揮命令系統
• 事業者との連絡・調整権限
• 不在時の代理者

小規模な医療機関では、院長や管理者が安全管理責任者や企画管理者を兼務することも考えられます。

兼務そのものが問題なのではありません。

重要なのは、「誰が、何を、どの権限で行うのか」が明確になっていることです。

6．方針・規程・教育を経営層が機能させる

医療情報システムの安全管理では、次のような文書体系が必要になります。

• 情報セキュリティ基本方針
• 医療情報の取扱い・保護に関する方針
• 医療情報システム安全管理方針
• 運用管理規程
• アカウント管理規程
• 外部記録媒体の管理手順
• インシデント対応手順
• BCP
• 各種システム運用マニュアル

経営層には、これらをすべて自ら作成することが求められているわけではありません。

企画管理者や担当者に作成を指示し、その内容を承認し、実際に運用されているかを確認することが重要です。

また、教育についても「毎年研修を実施した」という事実だけではなく、次のような確認が必要です。

• 全対象者が受講しているか
• 新規採用者への教育が行われているか
• 委託職員や派遣職員が対象に含まれているか
• 現在の脅威や運用ルールが反映されているか
• 受講記録が残っているか
• 教育内容が現場の行動につながっているか

経営層は、教育を単発の行事としてではなく、安全管理を継続するための仕組みとして位置付ける必要があります。

7．自己点検・監査・改善を繰り返す

規程や対策を整備しても、実際に運用されていなければ意味がありません。

そのため、経営管理編では自己点検と情報セキュリティ監査が重視されています。

自己点検

自己点検では、担当者自身が次のような内容を確認します。

• 規程どおりに運用されているか
• 必要な機能がシステムに実装されているか
• 職員がルールを守っているか
• 台帳や記録が更新されているか
• 不要なアカウントが残っていないか
• バックアップやログが適切に管理されているか

経営層は、企画管理者やシステム運用担当者に定期的な自己点検を指示し、結果の報告を受け、必要な改善を指示します。

情報セキュリティ監査

監査では、担当者とは異なる立場から、対策や運用の妥当性を確認します。

自院だけでは十分な評価が難しい場合には、外部専門家による監査を活用する方法もあります。

重要なのは、監査を「問題を指摘するためのもの」と考えるのではなく、現在の状態を把握し、次の改善につなげるための仕組みとして活用することです。

8．サイバー攻撃を想定したBCPと訓練

従来のBCPでは、地震、火災、停電、感染症などが中心になっている医療機関も少なくありません。

しかし、経営管理編では、サイバー攻撃や医療情報システム障害を想定したBCPの整備と訓練が求められています。

経営層が判断すべき事項には、次のようなものがあります。

• どの業務を優先して継続するか
• どの段階で電子カルテの利用を停止するか
• 紙運用へ切り替える判断を誰が行うか
• 救急、入院、手術、外来をどこまで継続するか
• 患者受入れを制限する基準
• 事業者や外部専門家への連絡
• 厚生労働省、警察、所管官庁等への報告
• 患者や報道機関への説明
• システム復旧後の通常運用への復帰判断

BCPは、文書を作成しただけでは十分ではありません。

実際に机上訓練や実動訓練を行うことで、連絡先が古い、判断者が不明確、紙様式が足りない、バックアップから復旧できないといった問題が明らかになります。

令和8年度版チェックリストマニュアルでも、BCPを整備していても実際には運用できず、バックアップから復旧できない事例があることから、BCP訓練の実施が望ましいとされています。

9．技術対策を経営層はどこまで理解すべきか

経営層が、すべての技術仕様や設定方法を理解する必要はありません。

しかし、次のような対策が必要であることと、その実施状況については把握する必要があります。

• サーバ、端末、ネットワーク機器の管理
• セキュリティパッチの適用
• アカウントとアクセス権限の管理
• 二要素認証
• 外部記録媒体の接続制限
• リモートメンテナンス接続点の管理
• アクセスログの取得と確認
• バックアップの取得と復旧確認
• ネットワークの監視と不正通信の遮断
• マルウェア対策
• 医療情報の持ち出し、外部保存、廃棄の管理

経営層の役割は、個別製品の設定を決めることではありません。

次のような質問を担当者へ投げかけ、必要な判断を行うことです。

どのリスクに対応するための対策なのか。
現在どこまで実施できているのか。
実施できていない理由は何か。
どの程度の予算と期間が必要なのか。
対応しない場合に、どのようなリスクが残るのか。

技術対策と運用対策は、どちらか一方だけでは十分に機能しません。

高額なセキュリティ製品を導入しても、アカウント管理、ログ確認、教育、インシデント対応手順が不十分であれば、対策の実効性は低下します。

10．システム事業者との協働と責任分界

医療情報システムの安全管理では、事業者との協働が不可欠です。

一方で、事業者に「お任せ」している状態は、適切な委託管理とはいえません。

経営層は、少なくとも次の内容を確認する必要があります。

事業者選定時

• 医療情報システムに必要な安全管理水準を満たしているか
• MDS／SDSなどのセキュリティ情報を提供できるか
• 障害・インシデント対応体制があるか
• 再委託先を適切に管理しているか
• サービス終了時にデータを返却・消去できるか
• 事業継続体制やバックアップ体制があるか

契約時

• 保守対象となるシステムや機器
• セキュリティアップデートの責任
• アカウント管理やログ管理の責任
• リモートメンテナンスの方法
• インシデント発生時の連絡期限
• 原因調査や証拠保全への協力
• 再委託の取扱い
• 契約終了時のデータ返却・消去
• 損害発生時の対応
• 医療機関と事業者の責任分界

特に注意すべきなのは、契約書に一般的な保守内容しか記載されておらず、サイバー攻撃時の具体的な役割が決められていないケースです。

「障害時には対応する」と記載されていても、次の点が不明確なことがあります。

• 夜間・休日に連絡できるのか
• 初動対応は何時間以内か
• ログを保存・提供できるのか
• フォレンジック調査へ協力するのか
• システム停止やネットワーク切断を誰が判断するのか
• 行政報告に必要な資料を提供するのか

責任分界は、法律上の責任だけでなく、実際の運用と対応範囲まで具体化することが重要です。

11．令和8年度チェックリストと経営管理編の関係

令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」では、次の4分野が確認対象となっています。

1. 体制構築
2. 医療情報システムの管理・運用
3. インシデント発生に備えた対応
4. 規程類の整備

令和8年度中に、医療機関・薬局確認用のすべての項目を「はい」とすることを目標に取り組むことが示されています。

また、立入検査では、チェックリストの記入状況に加え、機器台帳、連絡体制図、BCP、規程類の現物が確認されます。

ただし、チェックリストに「はい」と記入すること自体が目的ではありません。

経営層として確認すべきなのは、次の3点です。

• 実際に対策が行われているか
• 対策を証明できる文書や記録があるか
• 問題が発生した場合に運用できるか

例えば、「BCPを策定している」が「はい」であっても、担当者が内容を知らない、連絡先が更新されていない、訓練を実施していない場合には、実効性のある対策とはいえません。

医療機関の経営層がまず確認すべき10項目

経営管理編への対応を始める際には、まず次の項目を確認してください。

経営層向け確認リスト

• □ 医療情報システム安全管理責任者を正式に任命している
• □ 責任者の職務、権限、報告経路を明確にしている
• □ 医療情報システムの管理状況について定期報告を受けている
• □ 自院のリスク評価とリスク管理方針を決定している
• □ 情報セキュリティ方針、規程、手順を承認している
• □ 定期的な教育、自己点検、監査を実施している
• □ サイバー攻撃を想定したBCPを整備している
• □ BCPやインシデント対応の訓練を実施している
• □ 各事業者との責任分界を契約書等で確認している
• □ 問題や未対応事項について改善計画と予算を決定している

すべてを一度に完成させる必要はありません。

まず現状を把握し、優先順位を決め、責任者・期限・必要予算を設定して継続的に改善することが重要です。

よくある質問

Q．院長や理事長が技術的な内容まで理解する必要がありますか？

すべての設定方法や製品仕様を理解する必要はありません。

ただし、どのようなリスクがあり、どの対策が実施され、何が未対応で、どの程度の予算が必要なのかについては、説明を受けて判断できる状態にしておく必要があります。

Q．電子カルテ事業者に保守を依頼していれば、医療機関側の責任はなくなりますか？

なくなりません。

具体的な作業を事業者に委託することはできますが、適切な事業者を選定し、契約内容と実施状況を管理・監督する責任は医療機関側に残ります。

Q．小規模な診療所も経営管理編を読む必要がありますか？

第7.0版では、すべてのサーバのセキュリティアップデート責任を事業者へ委託し、その責任が契約書、約款、SLA等に明記されている医療機関等については、「概説編」と「保守委託機関編」への対応によりガイドラインを遵守しているものとみなす構成が設けられています。

該当するか不明な場合には、契約事業者へ確認し、責任の所在を明確にする必要があります。

Q．令和8年度版チェックリストに対応すれば十分ですか？

チェックリストは、医療機関等が優先的に取り組むべき事項を整理したものです。

ガイドライン全体への対応を完全に置き換えるものではありません。チェックリストを入口として、経営管理編、企画管理編、システム運用編または保守委託機関編に基づく継続的な管理を行う必要があります。

Q．経営層はどの程度の頻度で報告を受けるべきですか？

ガイドライン上、一律の月数が指定されているわけではありません。

少なくとも年次の自己点検に加え、重要な脆弱性、インシデント、システム更改、委託先変更、重大な未対応事項がある場合には、随時報告を受けられる体制が必要です。

まとめ｜経営管理編は「経営層が何を決めるか」を示す

医療情報システム安全管理ガイドライン第7.0版の経営管理編は、経営層に技術担当者としての役割を求めているものではありません。

経営層に求められているのは、次の役割です。

• 医療情報システムの安全管理を経営課題として位置付ける
• 責任者と組織体制を整備する
• リスク評価を踏まえて方針を決定する
• 必要な予算と人材を確保する
• 担当者から報告を受ける
• 自己点検、監査、改善を指示する
• サイバー攻撃を想定したBCPを整備する
• 委託先を適切に選定・管理する
• インシデント発生時に医療継続と説明責任を果たす

医療情報システムの安全管理は、情報システム担当者だけで完結する業務ではありません。

経営層が方針と優先順位を決め、現場と事業者が具体的な対策を実行し、その結果を経営層が確認して改善する。この循環を作ることが、経営管理編への対応の中心となります。

医療情報システムの安全管理でお困りではありませんか

株式会社クロイツでは、医療機関等を対象に、医療情報システムの安全管理に関する支援を行っています。

• ガイドライン第7.0版への対応状況の確認
• 医療情報システム安全管理責任者・管理体制の整理
• 情報セキュリティ方針、運用管理規程の整備
• 令和8年度サイバーセキュリティ対策チェックリスト対応
• 医療機関向けサイバーBCPの策定・改定
• インシデント対応訓練・机上訓練
• 委託先事業者との責任分界・契約内容の確認
• 医療情報システムの安全管理監査
• 職員向け情報セキュリティ教育

「責任者は決めたものの、何を報告させればよいかわからない」「BCPはあるが、サイバー攻撃を想定していない」「事業者との責任分界が不明確」といった課題がある場合は、現状整理から段階的に支援いたします。