【連載第4回】医療情報システム安全管理ガイドライン第7.0版「企画管理編②」｜体制・人材・委託先・資産管理を解説

2026年6月、厚生労働省は「医療情報システムの安全管理に関するガイドライン 第7.0版」を公表しました。

本連載では、全12回にわたり、ガイドライン第7.0版の内容と、医療機関が実務として対応すべき事項を分かりやすく解説しています。

前回の連載第3回では、「企画管理編①」として、情報セキュリティ方針、管理体系、通常時・非常時の責任分界について整理しました。

今回の連載第4回では、方針や責任分界を実際に機能させるために必要となる、次の4つのテーマを取り上げます。

• 医療情報システムの安全管理体制
• 職員の管理と教育・訓練
• 委託先事業者の選定・契約・外部保存
• 機器台帳とサプライチェーン管理

医療情報システムの安全管理は、情報システム担当者だけで完結するものではありません。

経営層、企画管理者、システム運用担当者、医療従事者、事務職員、医療機器担当者、委託先事業者などが、それぞれの役割を理解し、継続して管理する仕組みが必要です。

この記事で分かること

第4回で扱う主な要求事項

今回取り上げる内容は、企画管理編のうち、主に次の章に対応します。

企画管理編では、医療情報システムの安全管理を担当する者の位置付け、業務範囲、権限を明確にし、経営層の承認を得ることが求められています。

また、委託先を含む体制、教育・訓練、監査、患者からの相談窓口なども含め、安全管理体制全体を可視化することが示されています。

前回までの連載記事

• 【連載第1回】医療情報システム安全管理ガイドライン第7.0版「概説編」を読み解く
• 【連載第2回】医療情報システム安全管理ガイドライン第7.0版を読み解く｜「経営管理編」―経営層に求められる責任と実務
• 【連載第3回】医療情報システム安全管理ガイドライン第7.0版を読み解く｜「企画管理編①」を解説―管理体系・方針・責任分界

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

• 厚生労働省｜ガイドライン第7.0版・関連資料一覧
• 医療情報システムの安全管理に関するガイドライン第7.0版「概説編」
• 医療情報システムの安全管理に関するガイドライン 第7.0版 「経営管理編」
• 医療情報システムの安全管理に関するガイドライン 第7.0版 「企画管理編」
• 令和8年度サイバーセキュリティ対策チェックリスト
• 令和8年度チェックリストマニュアル
• 経済産業省｜医療情報システムの契約における役割分担等の確認表

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

1．企画管理編②の結論｜「誰が管理するか」と「何を管理するか」を明確にする

企画管理編②の要点は、次の一文に集約できます。

医療情報システムを安全に利用するため、責任者・職員・委託先・情報機器を組織として管理すること。

情報セキュリティ方針や運用管理規程を作成しても、実際に管理する人や対象が明確でなければ、対策は機能しません。

例えば、次のような状態では、十分な管理体制とはいえません。

• 医療情報システム安全管理責任者の名前だけが決まっている
• 責任者に必要な権限や予算が与えられていない
• 職員教育を一度実施しただけで、その後の記録がない
• 委託先の契約内容を確認していない
• 再委託先やクラウド基盤が分からない
• 院内に何台の端末やサーバがあるか把握していない
• 古い機器やサポート終了製品が台帳に反映されていない

企画管理者には、こうした状態を整理し、経営層へ報告し、必要な改善を進める役割があります。

2．医療情報システムの安全管理体制を構築する

2-1．医療情報システム安全管理責任者を設置する

令和8年度のサイバーセキュリティ対策チェックリストでは、最初の確認項目として、次の事項が示されています。

医療情報システム安全管理責任者を設置している。

医療情報システム安全管理責任者は、医療機関における情報セキュリティ対策を推進し、管理状況を把握する中心的な役割を担います。

単に役職名を付けるだけではなく、少なくとも次の内容を明確にする必要があります。

チェックリストマニュアルでは、医療情報システム安全管理責任者の職務として、情報セキュリティ方針の策定や教育・訓練を含む対策の推進が挙げられています。

組織の規模によっては、企画管理者が兼務することも想定されています。

2-2．企画管理者とは何をする人なのか

企画管理編における「企画管理者」とは、医療情報システムの安全管理に必要な運用管理の責任者です。

ここでいう運用管理には、組織的な対応と技術的な対応の双方が含まれます。

企画管理者は、自らすべてのシステム設定を行う担当者ではありません。

主な役割は、次のとおりです。

• 経営層の方針を具体的な管理施策へ落とし込む
• 運用管理規程や各種手順を整備する
• システム運用担当者へ必要な対応を指示する
• 委託先事業者との調整を行う
• 教育・訓練を計画する
• 資産管理や点検結果を確認する
• 管理状況や課題を経営層へ報告する

つまり、企画管理者は、経営層と現場、情報システム担当者、委託先事業者をつなぐ役割を担います。

2-3．システム運用担当者の業務と権限を明確にする

医療情報システムの技術的な対応を行う担当者についても、任命するだけでは不十分です。

次の事項を明確にする必要があります。

• 担当するシステム
• 実施する業務
• 変更できる設定
• 使用できる管理者権限
• 委託先へ依頼できる範囲
• 障害時に判断できる範囲
• 企画管理者へ報告する事項
• 担当者不在時の代行者

特に、管理者権限を持つ担当者については、権限を必要最小限に限定し、通常利用するアカウントと管理用アカウントを分けることが重要です。

2-4．情報システム管理委員会は必要か

一定規模以上の医療機関では、医療情報システムの安全管理を一人の担当者だけで判断することは困難です。

そのため、次の関係者を含む情報システム管理委員会等を設置する方法が考えられます。

• 経営層
• 企画管理者
• システム運用担当者
• 医療安全管理部門
• 個人情報保護担当者
• 医療機器安全管理責任者
• 看護部門
• 診療部門
• 事務部門

委員会では、例えば次の事項を審議します。

• 新規システムやクラウドサービスの導入
• セキュリティ対策の優先順位
• 委託先事業者の選定
• 機器更新やサポート終了への対応
• 教育・訓練計画
• 点検・監査結果
• インシデントや障害への対応
• 予算が必要な改善項目

小規模医療機関で独立した委員会の設置が難しい場合でも、既存の会議体で定期的に審議し、議事録を残す方法が考えられます。

2-5．非常時の体制も通常時から決めておく

サイバー攻撃やシステム障害が発生した後に、対応メンバーを集めようとしても迅速には動けません。

企画管理編では、非常時の対応体制を通常時から検討し、必要な措置を講じることが求められています。

特にサイバー攻撃では、初動対応に専門的な判断が必要になることから、CSIRT等の機能を持つ体制の整備が示されています。

必ずしも大規模な専門部署を新設する必要はありません。

院内の担当者と外部事業者を組み合わせ、次の役割を決めておくことが重要です。

3．職員の人的管理を行う

医療情報システムの安全管理では、機器やソフトウェアだけでなく、それを利用する職員の管理が重要です。

企画管理編では、職員の採用、在職中、異動、退職までを通じた人的管理を求めています。

3-1．採用時から退職後までの守秘義務を定める

医療情報を取り扱う職員を採用する際は、雇用契約等に、雇用中だけでなく退職後も含む守秘・非開示に関する条項を設ける必要があります。

対象は医師や看護師だけではありません。

• 医療従事者
• 医療事務職員
• 情報システム担当者
• 派遣職員
• パート・アルバイト
• 委託業務の従事者
• 実習生や研修者

など、医療情報へアクセスする可能性のある者を幅広く対象として考える必要があります。

企画管理編では、雇用中と退職後の守秘・非開示を契約へ含めることが遵守事項として示されています。

3-2．異動・退職時の権限変更を確実に行う

職員が異動または退職した場合には、速やかに利用権限を変更・停止する必要があります。

確認すべき対象は、電子カルテのIDだけではありません。

• 電子カルテ
• 部門システム
• 医事会計システム
• グループウェア
• メール
• VPN
• クラウドサービス
• ファイルサーバ
• リモートアクセス
• サーバ管理用アカウント
• 物理鍵や入退室カード

人事部門と情報システム担当者の連携が不十分な場合、退職者のアカウントが長期間残ることがあります。

そのため、異動・退職時の連絡からアカウント停止までを、手順として定めることが重要です。

4．職員教育・訓練を継続して実施する

4-1．教育は採用時と定期的に行う

企画管理編では、個人情報の安全管理に関する教育・訓練を、採用時と定期的に実施することが求められています。

また、実施状況を定期的に経営層へ報告する必要があります。

教育は、一度受講したら終わりではありません。

攻撃手法、システム構成、院内ルール、法令、ガイドラインが変化するため、定期的な更新が必要です。

4-2．教育は就業時間内に実施する

企画管理編では、職員への教育・訓練を定期的に行い、就業時間内に実施することが示されています。

教育を業務外の自己学習だけに任せるのではなく、組織として必要な業務に位置付けることが重要です。

4-3．どのような教育を行うべきか

医療機関の職員教育では、少なくとも次の内容が考えられます。

職種によって必要な内容は異なります。

全職員向けの共通教育に加え、システム管理者、管理職、受付職員、医療機器担当者など、役割別の教育を組み合わせることが効果的です。

4-4．教育の記録を残す

教育を実施していても、記録がなければ、組織として実施状況を説明できません。

次の記録を残しておくことが望まれます。

• 実施日
• 対象者
• 参加者名
• 教育内容
• 使用した資料
• 講師
• 理解度確認の結果
• 欠席者への再教育状況
• 経営層への報告記録

研修資料と参加者一覧だけでなく、研修後にどのような改善を行ったのかまで記録できると、教育の実効性を示しやすくなります。

5．委託先事業者を適切に管理する

医療情報システムの導入、運用、保守、クラウド保存などを外部事業者へ委託しても、医療機関の管理責任がなくなるわけではありません。

医療機関には、適切な委託先を選定し、契約内容を確認し、継続して監督する責任があります。

5-1．委託先は価格や機能だけで選ばない

委託先の選定では、製品の機能や価格に加え、情報セキュリティを継続して管理できる事業者かどうかを確認します。

主な確認項目は次のとおりです。

認証を取得していることだけで安全性が保証されるわけではありませんが、事業者の管理能力を確認する一つの資料になります。

5-2．委託契約に含めるべき事項

医療情報の取扱いを外部へ委託する場合には、少なくとも次の内容を契約書やSLA等で明確にします。

• 委託する業務の範囲
• 医療情報を取り扱う目的
• 目的外利用の禁止
• 守秘義務
• 安全管理措置
• アクセスできる担当者
• 再委託の条件
• インシデント発生時の連絡
• ログや証跡の保存
• 医療機関による確認・監査
• バックアップと復旧
• 契約終了時のデータ返却
• 契約終了時のデータ消去
• データ消去を確認する方法
• 損害や契約違反への対応

また、委託先事業者の就業規則等に、守秘義務や教育・訓練に関する対応を含めるよう求めることも示されています。

5-3．再委託先まで把握する

電子カルテやクラウドサービスを提供している事業者が、すべての業務を自社だけで行っているとは限りません。

次のような再委託が考えられます。

• データセンター運営
• クラウド基盤
• システム監視
• コールセンター
• 保守対応
• ソフトウェア開発
• バックアップ管理
• 障害対応

再委託先の安全管理が不十分であれば、そこを起点として情報漏えいやサイバー攻撃が発生する可能性があります。

そのため、再委託については、次の事項を確認します。

• 再委託の有無
• 再委託する業務
• 再委託先の名称と所在地
• 医療情報へのアクセスの有無
• 再委託先の安全管理措置
• 海外事業者の利用有無
• 再委託先変更時の通知
• 医療機関の事前承認が必要か

医療情報を取り扱う再委託については、事前に情報提供を受け、医療機関が実施の可否を判断できる契約としておくことが重要です。

6．医療情報を外部保存する場合の確認事項

6-1．外部保存とは何か

外部保存とは、医療機関の施設外にあるサーバやクラウドサービス等へ医療情報を保存することです。

代表例には、次のものがあります。

• クラウド型電子カルテ
• クラウド型画像保存サービス
• 外部データセンター
• オンラインバックアップ
• 地域医療連携サービス
• 外部事業者が管理するサーバ

クラウドサービスを利用すること自体が問題なのではありません。

重要なのは、保存場所、管理方法、責任分界、契約終了時の取扱いなどを把握した上で利用することです。

6-2．外部保存事業者を選定する際の確認項目

外部保存の委託先を選定する場合には、少なくとも次の事項を確認します。

• 医療情報の安全管理に関する方針
• 安全管理体制
• バックアップの取得・管理状況
• 個人データの安全管理に関する実績
• 経営の健全性
• ISMSやプライバシーマーク等の認証
• サービス仕様適合開示書
• 保存場所
• 適用される法律
• インシデント対応体制
• 再委託先の管理状況

企画管理編では、保存された情報を格納する機器等が、国内法の適用・執行の及ぶ範囲にあることを確実にするよう求めています。

6-3．外部保存契約で特に確認すべきこと

外部保存では、通常の保守契約以上に詳細な確認が必要です。

また、委託先事業者に対して、安全管理ガイドラインや総務省・経済産業省の事業者向けガイドラインを遵守することを、契約等で明確に定める必要があります。

6-4．契約終了時のデータ返却・消去を忘れない

クラウドサービスや外部保存の契約が終了した場合、次の対応が必要になります。

• データをどの形式で返却するか
• 他のシステムへ移行できるか
• バックアップデータも返却または消去されるか
• ログや一時ファイルが残らないか
• 再委託先のデータも消去されるか
• 消去完了の証明を受けられるか
• 法定保存期間を満たせるか

契約開始時に終了時の条件を決めていなければ、データ移行や消去を巡って問題が生じる可能性があります。

「サービスを契約する時点で、終了方法まで決める」ことが重要です。

7．医療情報システムの機器台帳を整備する

7-1．なぜ機器台帳が必要なのか

セキュリティ対策を行うためには、まず何を管理しているのかを把握しなければなりません。

把握していない端末やネットワーク機器には、パッチ適用、脆弱性対応、廃棄管理などを行うことができません。

令和8年度チェックリストでも、次の項目が確認されます。

サーバ、端末、ネットワーク機器の台帳管理を行っている。

チェックリストマニュアルでは、医療機関が保有する情報機器について機器台帳を作成し、所在や利用状態を確認できるようにすることが示されています。

7-2．台帳に記載する項目

機器台帳には、少なくとも次の項目を記録します。

台帳の項目を増やしすぎると更新できなくなるため、自院で継続して管理できる内容に整理することも重要です。

7-3．台帳は作成後の更新が重要

機器台帳でよくある問題は、作成した時点では正確でも、その後更新されなくなることです。

次のタイミングで台帳を更新する仕組みを作ります。

• 新規機器の購入
• システム導入
• 設置場所の変更
• 利用者の変更
• OSやソフトウェアの更新
• 保守契約の変更
• 機器の故障
• 機器の廃止・廃棄
• リモート保守の追加
• IPアドレス等の変更

また、少なくとも年1回は、実物と台帳を照合する棚卸しを行うことが望まれます。

7-4．医療機器も関係部門と連携して管理する

検査装置、画像診断装置、調剤機器などには、Windows等のOSを搭載した制御端末が含まれている場合があります。

医療機器は情報システム部門ではなく、医療機器管理部門や各診療部門が管理していることも少なくありません。

そのため、企画管理者は、医療機器安全管理責任者等と連携し、次の事項を確認する必要があります。

• ネットワークへ接続しているか
• 保存している情報の種類
• OSやソフトウェアのバージョン
• セキュリティパッチの適用可否
• リモート保守の有無
• 保守事業者
• サポート終了時期
• 更新できない場合の代替策

8．サプライチェーン管理とは何か

8-1．医療情報システムにおけるサプライチェーン

医療機関が契約している事業者の先には、さらに複数の事業者が関係している可能性があります。

例えば、クラウド型電子カルテでは、次のような構造が考えられます。

医療機関
↓
電子カルテ事業者
↓
クラウドサービス事業者
↓
データセンター事業者
↓
監視・保守事業者

このうち、どこか一つでインシデントが発生すると、医療機関の診療や医療情報に影響する可能性があります。

サプライチェーン管理とは、直接契約している事業者だけでなく、その先にある再委託先、クラウド基盤、ソフトウェア、保守体制まで含めてリスクを管理することです。

8-2．サプライチェーン管理で確認する事項

8-3．MDS/SDSを活用する

医療情報システムの安全性を確認する際には、事業者からMDS/SDSを提出してもらうことが有効です。

MDS/SDSは、製造業者やサービス事業者が、自社の製品・サービスに備わっているセキュリティ機能等を開示するための資料です。

令和8年度チェックリストでも、次の事項が確認項目となっています。

事業者から製造業者／サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。

ただし、MDS/SDSを受領するだけでは対応完了ではありません。

• 自院側で設定が必要な項目
• 事業者側が実施する項目
• 対応されていない項目
• 契約範囲外の項目
• 今後の更新で対応する項目

を確認し、責任分界や改善計画へ反映する必要があります。

9．資産の安全性を定期的に確認し、経営層へ報告する

資産管理は、台帳を作ることだけが目的ではありません。

台帳に基づき、各機器やサービスが安全に利用できる状態かを確認する必要があります。

主な確認事項は次のとおりです。

• サポートが継続しているか
• OSやソフトウェアが更新されているか
• 重大な脆弱性が公表されていないか
• 保守契約が有効か
• バックアップが取得されているか
• 管理責任者が明確か
• 不要な機器が接続されていないか
• 利用していないサービスが残っていないか
• リモート保守接続が管理されているか
• 更新・廃棄の計画があるか

企画管理者は、これらの管理状況を経営層へ報告します。

特に、サポート終了機器、更新できない医療機器、契約内容が不明確なシステムなど、予算や経営判断が必要な課題は、早期に報告することが重要です。

10．令和8年度サイバーセキュリティ対策チェックリストとの関係

今回取り上げた企画管理編②の内容は、令和8年度チェックリストの次の項目と特に関係します。

チェックリストは、立入検査へ対応するためだけの書類ではありません。

誰が、何を、どこまで管理しているかを整理するための入口として活用することが重要です。

なお、チェックリストだけですべてのガイドライン対応が完了するわけではありません。

11．医療機関が実務で進める順番

企画管理編②への対応は、次の順番で進めると整理しやすくなります。

ステップ1　責任者と担当者を決める

• 医療情報システム安全管理責任者
• 企画管理者
• システム運用担当者
• 各部門の担当者
• 不在時の代行者

を決定し、業務範囲と権限を明文化します。

ステップ2　体制図を作成する

通常時と非常時について、院内関係者と外部事業者を含めた体制図を作成します。

ステップ3　職員教育の状況を確認する

採用時教育、定期教育、役割別教育の実施状況と記録を確認します。

ステップ4　委託先一覧を作成する

システム名、事業者名、契約内容、再委託、保存場所、緊急連絡先等を整理します。

ステップ5　契約内容を確認する

守秘義務、再委託、インシデント報告、バックアップ、返却・消去等が契約に含まれているか確認します。

ステップ6　機器台帳を整備する

サーバ、端末、ネットワーク機器、医療機器等を一覧化します。

ステップ7　事業者から資料を収集する

MDS/SDS、サービス仕様書、SLA、第三者認証、バックアップ資料等を回収します。

ステップ8　不足事項を経営層へ報告する

すぐに改善できる項目と、予算化やシステム更新が必要な項目を分けて報告します。

12．よくある不備

責任者の名前だけが決まっている

責任者を設置していても、業務範囲、権限、報告先が不明確であれば、実際には機能しません。

教育は行っているが記録がない

実施日、対象者、内容、参加者、欠席者対応等を記録する必要があります。

委託先を一社しか把握していない

直接契約先の先にある再委託先やクラウド事業者も確認する必要があります。

契約書がサービス料金と保守時間しか定めていない

インシデント対応、再委託、バックアップ、データ返却・消去等が不足している可能性があります。

機器台帳が購入台帳になっている

購入価格や購入日だけでは、セキュリティ管理には利用できません。OS、設置場所、利用者、保守、サポート期限等も必要です。

台帳と実際の機器が一致していない

年1回以上の棚卸しや、変更時に台帳を更新する仕組みが必要です。

MDS/SDSを受け取っただけで確認していない

自院側に残る対応、契約範囲外、未対応項目を整理しなければ、責任分界の確認にはなりません。

よくある質問

医療情報システム安全管理責任者と企画管理者は同じ人でもよいですか？

医療機関の規模や体制によっては、同じ者が兼務することも考えられます。

ただし、肩書だけを兼務するのではなく、業務範囲、権限、報告経路、代行者を明確にし、必要な時間と支援を確保する必要があります。

小規模な診療所でも委員会を設置する必要がありますか？

必ずしも独立した委員会を新設しなければならないわけではありません。

既存の管理会議等で定期的に審議し、責任者、参加者、検討事項、決定内容を記録する方法も考えられます。

重要なのは、必要な事項が組織として検討され、経営判断につながる仕組みがあることです。

職員教育は年1回で十分ですか？

少なくとも定期的な実施が必要ですが、年1回実施すれば必ず十分とは限りません。

新入職員の採用時、システム変更時、重大な脆弱性や攻撃事例が公表された場合、院内ルールを変更した場合などにも、必要な教育を追加することが望まれます。

ISMS認証を取得している事業者なら安全ですか？

認証は事業者選定の有力な確認材料ですが、認証だけで個別サービスの安全性が保証されるわけではありません。

利用するサービスの範囲、保存場所、バックアップ、再委託、インシデント対応、契約終了時の取扱いなどを個別に確認する必要があります。

クラウドサービスなら機器台帳に載せなくてもよいですか？

院内に物理機器がない場合でも、利用するクラウドサービス自体を管理対象として把握する必要があります。

サービス名、事業者、契約期間、管理者、保存情報、保存場所、認証方法、緊急連絡先、再委託等をサービス台帳として管理する方法が考えられます。

MDS/SDSが事業者から提出されない場合はどうすればよいですか？

まずは事業者へ作成・提供の有無を確認します。

提供されない場合には、同等の情報をサービス仕様書、セキュリティ説明資料、質問票等で確認し、確認できない事項をリスクとして記録する必要があります。

まとめ｜安全管理は「人・事業者・機器」を継続して管理する仕組み

企画管理編②で求められるのは、責任者を一人決めることや、機器台帳を一度作成することだけではありません。

重要なのは、次の一連の管理を継続することです。

責任者を決める
↓
役割と権限を明確にする
↓
職員を教育する
↓
委託先を選定・監督する
↓
契約と外部保存を管理する
↓
機器・サービスを台帳化する
↓
サプライチェーンを確認する
↓
経営層へ報告し、改善する

特に、委託先事業者へ任せている業務ほど、医療機関側が実施状況を把握できていないことがあります。

「契約しているから対応されているはず」ではなく、契約書、MDS/SDS、事業者確認用チェックリスト、実施報告等によって、対応範囲を確認することが重要です。

医療機関が最初に取り組むべき事項は、次の4点です。

1. 責任者と担当者の業務範囲を明確にする
2. 委託先・再委託先・外部保存の状況を整理する
3. サーバ、端末、ネットワーク機器等の台帳を作成する
4. 教育・契約・台帳の更新を継続する仕組みを作る

医療情報システムの体制・委託先・資産管理に不安がある医療機関の方へ

株式会社クロイツでは、医療機関を対象に、医療情報システムの安全管理体制の整備を支援しています。

• 医療情報システム安全管理責任者の業務整理
• 通常時・非常時の体制図作成
• 職員向けセキュリティ教育
• 委託先事業者・再委託先の整理
• 契約書・SLA・責任分界の確認
• MDS/SDSの確認支援
• 機器台帳・サービス台帳の整備
• 外部接続・リモート保守の整理
• 令和8年度チェックリストへの対応
• 立入検査に向けた規程・証跡の確認

委託先ごとの役割や機器の管理状況を整理することで、「何ができていて、何が不足しているのか」を明確にできます。