【連載第9回】医療情報システムの安全管理に関するガイドライン第7.0版「保守委託機関編」｜小規模医療機関は何をすればよいのか

医療情報

「医療情報システムの安全管理に関するガイドライン第7.0版」を読み解く全12回連載。

第1回ではガイドライン全体の構成と読み方、第2回では経営管理編、第3回から第5回では企画管理編、第6回から第8回ではシステム運用編を取り上げてきました。

今回の第9回は、当初の連載計画に沿って「保守委託機関編｜小規模医療機関は何をすればよいのか」を解説します。

保守委託機関編は、専任のシステム担当者がいない診療所や小規模医療機関などを主な対象として、第7.0版から新たに設けられたものです。

ただし、医療情報システムの保守を事業者へ依頼しているだけで、すべての小規模医療機関が保守委託機関編の対象になるわけではありません。

対象となるかどうかを判断するためには、SaaSの利用状況だけでなく、契約書、利用約款、SLA、責任分界、MDS/SDSなどを確認する必要があります。

この記事で分かること

この記事では、次の内容を分かりやすく解説します。

保守委託機関編の対象となる医療機関
SaaSを利用していれば対象になるのか
保守委託後も医療機関に残る責任
事業者との責任分界で確認すべき事項
MDS/SDSの役割と確認方法
令和8年度サイバーセキュリティ対策チェックリストとの関係
小規模医療機関が実際に進めるべき手順

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

先に結論｜保守委託機関編の対象になる条件とは

保守委託機関編の対象となるのは、原則として、すべてのサーバのセキュリティアップデート責任を事業者に委託している医療機関です。

さらに、その責任が契約書、利用約款、サービスレベル合意書などに明記されていなければなりません。

単に「保守契約を結んでいる」「クラウド型電子カルテを使用している」というだけでは、保守委託機関編の対象とは判断できません。

また、対象となった場合でも、医療機関の管理責任まで事業者に移るわけではありません。

医療機関には引き続き、責任者の設置、規程類の整備、職員教育、端末管理、アカウント管理、BCPの策定、事業者の監督などが求められます。

つまり、保守委託機関編とは「何もしなくてよい医療機関のための簡易版」ではなく、技術的な保守を事業者へ委託しながら、医療機関が管理・監督を行うための実務的なガイドラインです。

保守委託機関編の主なポイント

確認する項目	主な内容
対象の判定	すべてのサーバのセキュリティアップデート責任を事業者に委託しているか
契約内容	責任の所在が契約書、約款、SLAなどに記載されているか
責任分界	医療機関、保守事業者、再委託先などの役割を明確にしているか
MDS/SDS	システムごとに提出を受け、必要な安全管理対策を確認しているか
医療機関内の管理	責任者、規程、台帳、教育、アカウント管理などを実施しているか
非常時対応	BCP、連絡体制、バックアップ、復旧手順を整備しているか
定期点検	チェックリストなどを用いて定期的に確認・改善しているか

1．保守委託機関編とは

保守委託機関編は、主に次のような医療機関を想定しています。

専任のシステム運用担当者がいない
小規模で、経営管理と企画管理の部門が分かれていない
セキュリティアップデートを含むシステム保守を事業者に委託している
SaaS型の電子カルテやクラウドサービスを活用している
院内の限られた人員で医療情報システムを管理している

従来のガイドラインでは、こうした小規模医療機関であっても、経営管理編、企画管理編、システム運用編に示された多くの事項を理解し、対応する必要がありました。

しかし、専任担当者がいない医療機関にとって、専門性の高いシステム運用編の内容をすべて理解し、技術的な対策を自ら実施することは容易ではありません。

そこで第7.0版では、すべてのサーバ保守を事業者へ委託している医療機関について、概説編と保守委託機関編の遵守事項に対応することで、ガイドラインを遵守しているものとみなす仕組みが設けられました。

ただし、適用範囲を誤って判断すると、本来医療機関が実施すべき技術的対策が抜け落ちる可能性があります。

そのため、最初に自院が本当に保守委託機関編の対象となるのかを確認することが重要です。

2．自院が保守委託機関編の対象か確認する

保守委託機関編の判断基準は、医療機関の規模そのものではありません。

重要なのは、次の質問に明確に「はい」と答えられるかどうかです。

すべてのサーバのセキュリティアップデート責任を事業者に委託していますか。

ここでいう「サーバ」には、電子カルテサーバだけでなく、医療情報の保存や主要な処理を行う機器が含まれます。

例えば、次のようなシステムが対象になり得ます。

電子カルテ
レセプトコンピュータ
部門システム
画像管理システム
検査システム
薬剤関連システム
バックアップサーバ
医療情報連携用のサーバ
院内に設置された各種管理サーバ

原則として、一般的なクライアント端末は「サーバ」に含まれません。

ただし、端末に電子カルテなどのアプリケーションをインストールし、その端末上で主要な処理が完結する場合には、PCやタブレットもサーバとして扱われる可能性があります。

対象判断の考え方

状況	判断
すべてのサーバについて、事業者がアップデート責任を負うことが契約書等に明記されている	保守委託機関編の対象となり得る
一部のサーバだけ保守契約がない	原則として対象外
電子カルテはSaaSだが、部門システムは医療機関が管理している	原則として対象外
保守契約はあるが、アップデート責任の記載がない	事業者への確認が必要
契約内容を確認しても責任の所在が分からない	「はい」とは判断できない
オンプレミス型だが、全サーバのアップデートを事業者が担当している	対象となる可能性がある

保守委託機関編の図1では、事業者がセキュリティアップデート責任を負うことが、契約書、約款、SLAなどに記載されている場合にのみ「YES」を選択できるとされています。

記載がない場合や内容が不明確な場合には、医療機関側に責任が残っている可能性があるため、必ず事業者へ確認しなければなりません。

3．SaaSを利用していれば対象になるのか

SaaS型の電子カルテやクラウドサービスは、保守委託機関編との親和性が高いサービスです。

一般的なSaaSでは、アプリケーションやサーバの更新、基盤の管理などをサービス事業者が実施します。そのため、医療機関が自らサーバのセキュリティアップデートを行う必要がない場合があります。

しかし、SaaSを利用していることと、保守委託機関編の対象になることは同じではありません。

例えば、電子カルテがSaaSであっても、院内に次のようなシステムが残っている場合があります。

オンプレミス型の画像管理システム
検査部門のサーバ
バックアップ機器
医療機器に接続された管理端末
保守契約が終了した古いシステム
医療機関が独自に導入したソフトウェア

これらのいずれかについて、セキュリティアップデート責任が医療機関側に残っていれば、すべてのサーバ保守を委託していることにはなりません。

一方で、オンプレミス型であっても、契約によって全サーバのセキュリティアップデート責任を事業者が負っている場合は、保守委託機関編の対象となる可能性があります。

したがって、判断基準は「クラウドかオンプレミスか」ではありません。

「誰が、どの機器について、どこまで責任を負っているか」が重要です。

4．保守を委託しても医療機関に残る責任

保守委託機関編の対象となった場合でも、医療情報システムに関する責任がすべて事業者へ移るわけではありません。

医療機関には、医療情報システムを適切に管理し、事業者を監督する責任が残ります。

4-1．安全管理体制の整備

医療機関は、医療情報システム安全管理責任者を設置しなければなりません。

また、次のような方針や規程を整備します。

情報セキュリティ方針
医療情報の取扱いや保護に関する方針
医療情報システムの安全管理に関する方針
医療情報の持ち出しに関する規程
外部からのアクセスに関する規程
医療情報の破棄に関する手順
記録媒体や情報機器の取扱いルール
インシデント発生時の対応手順

保守委託機関編に掲載されている遵守項目は、医療機関が運用管理規程などを作成する際に含めるべき内容として整理されています。

4-2．職員教育と人的管理

システムの技術的な保守を委託しても、医療情報を実際に取り扱うのは医療機関の職員です。

そのため、次のような人的対策は医療機関側で行う必要があります。

採用時と定期的な情報セキュリティ教育
守秘義務や非開示義務の明確化
退職者アカウントの削除・無効化
管理者権限を付与する職員の限定
USBメモリなどの外部記録媒体の管理
離席時の画面ロック
個人所有端末を利用する場合のルール整備

4-3．機器・アカウントの台帳管理

医療機関は、自院で使用しているサーバ、端末、ネットワーク機器などを把握しなければなりません。

最低限、次のような情報を台帳で管理します。

機器名
メーカー
OS
ソフトウェアとバージョン
IPアドレス
設置場所
利用者
保守事業者
保守契約の有無
リモートメンテナンスの有無
稼働・停止・廃棄などの状態

また、利用者IDについても、所属、氏名、ユーザーID、権限、利用状態などを一覧化することが望まれます。

4-4．BCPとインシデント対応

医療機関は、サイバー攻撃やシステム障害が発生した場合に備え、BCPを整備する必要があります。

特に、次の事項を事前に決めておかなければなりません。

システムを停止する判断基準
ネットワークを切断する判断と手順
感染が疑われる機器の隔離方法
紙運用などへの切替手順
診療継続に必要な情報
バックアップからの復旧手順
事業者への連絡方法
厚生労働省、警察、所管官庁などへの連絡方法
患者や関係機関への説明体制

システムの復旧作業を事業者が担当する場合でも、診療を継続するか、どの業務を縮退するか、患者へどのように説明するかといった判断は、医療機関側に残ります。

5．事業者との責任分界で確認すべきこと

保守委託機関編で最も重要なポイントの一つが、医療機関と事業者との責任分界です。

契約書に「保守を行う」と記載されていても、その保守にセキュリティアップデート、障害対応、バックアップ、ログ調査などが含まれているとは限りません。

少なくとも、次の事項を確認する必要があります。

確認項目	具体的な確認内容
サーバの更新	OS、ミドルウェア、アプリケーションの更新を誰が行うか
端末の更新	PCのOSやソフトウェア更新を誰が行うか
ネットワーク機器	ルータ、UTM、無線LANなどの更新責任は誰にあるか
リモート保守	接続方式、接続元制限、利用時間、記録の管理方法
バックアップ	対象データ、保存先、世代数、オフライン保管の有無
復旧対応	障害や攻撃発生時に誰が復旧し、どこまで支援するか
ログ	取得するログ、保存期間、調査時の提供方法
再委託	再委託先の有無と、事前通知・承認の方法
契約終了	医療情報の返却、移行、削除方法
連絡体制	通常時・非常時の連絡先と対応時間
SLA	稼働率、障害通知、復旧目標、死活監視などの条件

保守委託機関編では、外部保存の契約に、サーバのセキュリティアップデートを含む保守責任が事業者にあることや、PC・ネットワーク機器などの保守責任がどちらにあるかを含めるよう求めています。

また、再委託、契約終了時の情報返却、目的外利用の禁止などについても確認が必要です。

複数の事業者が関係している場合には、事業者間の役割分担にも注意しなければなりません。

電子カルテ事業者、ネットワーク事業者、保守会社、クラウド事業者の間に対応の空白が生じると、障害やインシデント発生時に「当社の担当ではない」という状態になりかねません。

6．MDS/SDSとは何か

MDS/SDSは、製造業者・サービス事業者による医療情報セキュリティ開示書です。

医療情報システムやサービスについて、事業者がどのようなセキュリティ機能や対策を提供しているのかを、一定の書式で確認するために使用します。

MDS/SDSを確認することで、例えば次のような事項を把握できます。

認証やアクセス制御の機能
ログの取得・保存
マルウェア対策
脆弱性やセキュリティパッチへの対応
バックアップ機能
通信の暗号化
リモートメンテナンス
システム停止時の対応
データの保存・削除
事業者が対応する範囲

保守委託機関編では、事業者から提出されたMDS/SDSや約款などを、同編末尾の別紙と照合し、必要な項目が「はい」または「対象外」になっていることを確認するよう示しています。

MDS/SDSは受け取るだけでは不十分

医療機関では、MDS/SDSを事業者から受け取っただけで保管し、内容を確認していないことがあります。

しかし、MDS/SDSの目的は資料を集めることではありません。

医療機関側が実施しなければならない対策と、事業者が実施する対策を確認することが重要です。

実務では、次の流れで確認します。

使用しているシステムと契約事業者を一覧化する
システムごとにMDS/SDSの提出を依頼する
回答内容を保守委託機関編の別紙と照合する
「対象外」や未対応となった項目を確認する
医療機関側で対応するのか、別の事業者へ委託するのかを決める
未対応項目について改善期限を設定する
システム更新や契約更新時に再確認する

特に注意が必要なのが「対象外」です。

対象外は「対応しなくてもよい」という意味ではありません。

事業者の契約範囲外であり、原則として医療機関側に責任が残る項目を意味します。

7．令和8年度サイバーセキュリティ対策チェックリストとの関係

令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」では、医療機関確認用と事業者確認用の2種類が用意されています。

医療機関側では、次の事項を確認します。

医療情報システム安全管理責任者を設置している
サーバ、端末、ネットワーク機器を台帳管理している
リモートメンテナンスを利用している機器を把握している
事業者からMDS/SDSを提出してもらっている
アクセス権限を適切に設定している
不要なアカウントを削除・無効化している
セキュリティパッチを適用している
外部記録媒体の接続を制限している
アクセスログを管理している
BCPや連絡体制を整備している
具体的な実施方法を規程類に定めている

また、医療機関は契約している事業者ごとに、事業者確認用チェックリストの提出を求めます。

事業者確認用で「対象外」と回答された項目については、医療機関側が責任を負うことになります。責任分界に認識のずれがないか、双方で確認する必要があります。

チェックリストマニュアルでは、少なくとも年1回はチェックリストを用いた点検を行うよう示されています。

さらに、立入検査ではチェックリストの記入状況だけでなく、機器台帳、連絡体制図、BCP、規程類などの現物が確認されます。

保守委託機関編とチェックリストは別々に対応するものではありません。

保守委託機関編に基づいて、契約、責任分界、MDS/SDS、内部管理体制を整え、その実施状況をチェックリストで確認するという関係になります。

8．小規模医療機関が実際に進める手順

保守委託機関編への対応は、次の6段階で進めると整理しやすくなります。

ステップ1｜システムと事業者を一覧化する

最初に、医療情報を扱うシステムをすべて洗い出します。

電子カルテだけでなく、部門システム、バックアップ、医療機器に付随するシステムなども対象に含めます。

システムごとに、事業者名、契約内容、保守範囲、リモート接続の有無を整理します。

ステップ2｜保守委託機関編の対象か判断する

すべてのサーバについて、セキュリティアップデート責任を事業者に委託しているか確認します。

口頭確認だけではなく、契約書、利用約款、SLAなどの文書で確認します。

不明確な場合には、事業者から書面で回答を受けることが望まれます。

ステップ3｜MDS/SDSとチェックリストを回収する

契約している事業者ごとに、次の資料を依頼します。

MDS/SDS
事業者確認用チェックリスト
サービス仕様書
SLA
リモートメンテナンスに関する資料
バックアップや復旧に関する資料

ステップ4｜責任分界表を作成する

システムごとに、医療機関と事業者の役割を表にします。

対応項目	医療機関	事業者
サーバのアップデート	確認・監督	実施
端末のアップデート	実施または委託	契約範囲に応じて実施
アカウント管理	実施	機能提供・支援
バックアップ	状況確認	契約に基づき実施
インシデント初動	判断・連絡・診療継続	技術調査・復旧支援
職員教育	実施	必要に応じて情報提供

この表により、誰も対応していない項目を発見しやすくなります。

ステップ5｜医療機関側の文書と運用を整備する

次の資料を整備します。

医療情報システム安全管理責任者の任命記録
情報セキュリティ方針
運用管理規程
機器台帳
利用者ID台帳
システム・ネットワーク構成図
事業者・関係者一覧
インシデント連絡体制図
サイバー攻撃を想定したBCP
教育記録
自己点検記録

ステップ6｜定期的に見直す

契約更新、システム更新、事業者変更、機器追加などがあった場合は、対象判定と責任分界を見直します。

少なくとも年1回は、サイバーセキュリティ対策チェックリストを使用して、対応状況を確認します。

9．よくある不備・誤解

「クラウドだから何もしなくてよい」

クラウド事業者が管理する範囲と、医療機関が管理する範囲は異なります。

アカウント、端末、院内ネットワーク、職員教育、情報の持ち出し、インシデント時の診療継続などは、医療機関側の対応が必要です。

「保守契約があるので対象になる」

保守契約という名称だけでは判断できません。

セキュリティアップデートが契約範囲に含まれているか、すべてのサーバが対象になっているかを確認する必要があります。

電子カルテだけを確認している

電子カルテ以外の部門システムや管理サーバに、保守されていない機器が残っている場合があります。

対象判定は医療情報システム全体で行います。

MDS/SDSを受け取っただけになっている

内容を確認せず保管しているだけでは、医療機関と事業者の役割を把握できません。

「対象外」「未対応」「条件付き対応」の項目を確認することが重要です。

「対象外」を対策不要と考えている

事業者確認用チェックリストの対象外は、原則として医療機関側に責任が残ることを意味します。

別の事業者が対応しているのか、医療機関が対応するのかを明確にする必要があります。

複数事業者の間に対応の空白がある

ネットワーク障害、クラウド障害、端末障害などが発生した際に、どの事業者も対応しない範囲が生じることがあります。

平常時に、問い合わせ先と切り分け手順を整理しておくことが重要です。

10．保守委託機関向け簡易チェックリスト

次の項目を確認してみてください。

自院で使用している医療情報システムをすべて把握している
すべてのサーバと保守事業者を一覧化している
サーバのアップデート責任が契約書等に明記されている
端末とネットワーク機器の保守責任を確認している
リモートメンテナンスを利用する機器を把握している
システムごとにMDS/SDSを回収している
事業者確認用チェックリストを事業者ごとに回収している
「対象外」とされた項目の対応者を決めている
医療情報システム安全管理責任者を設置している
機器台帳と利用者ID台帳を作成している
退職者や不要なアカウントを削除している
インシデント連絡体制図を作成している
サイバー攻撃を想定したBCPを策定している
バックアップと復旧手順を確認している
職員教育と自己点検を定期的に実施している

一つでも確認できない項目がある場合は、契約、規程、台帳、運用のいずれかに不足がある可能性があります。

よくある質問

Q1．小規模な診療所であれば、自動的に保守委託機関編の対象になりますか

いいえ。

医療機関の規模ではなく、すべてのサーバのセキュリティアップデート責任を事業者に委託しているかどうかで判断します。

Q2．クラウド型電子カルテを使用していれば対象になりますか

クラウド型電子カルテだけでは判断できません。

電子カルテ以外の医療情報システムや院内サーバを含め、すべてのサーバの保守状況を確認する必要があります。

Q3．オンプレミス型のシステムでも対象になりますか

対象となる可能性があります。

オンプレミス型であっても、すべてのサーバのセキュリティアップデート責任が契約上事業者にある場合は、保守委託機関編の対象となり得ます。

Q4．保守を委託すれば、医療機関側の責任はなくなりますか

なくなりません。

医療機関には、適切な事業者を選定し、契約内容や実施状況を確認・監督する責任があります。

また、職員教育、アカウント管理、端末利用、BCP、診療継続などは医療機関側で対応します。

Q5．MDS/SDSを提出してもらえない場合はどうすればよいですか

まず、事業者にMDS/SDSの有無を確認します。

提出できない場合には、同等の内容を確認できるサービス仕様書、セキュリティ資料、契約書などの提出を求め、事業者が対応する範囲を明確にする必要があります。

Q6．保守契約のないシステムが一つだけあります

そのシステムについて医療機関が保守管理責任を負うことになります。

汎用的な医療情報システムを保守委託せずに利用する場合は、そのシステムについてシステム運用編の遵守事項への対応が必要です。

まとめ｜委託するのは作業であり、管理責任ではない

保守委託機関編は、専任のシステム担当者がいない小規模医療機関にとって、ガイドライン第7.0版へ対応するための重要な仕組みです。

ただし、保守委託機関編を適用するためには、すべてのサーバのセキュリティアップデート責任を事業者に委託していることを、契約書等で確認しなければなりません。

重要なポイントは次のとおりです。

SaaSを利用しているだけでは対象と判断できない
すべてのサーバについて保守範囲を確認する
契約書、約款、SLAで責任の所在を明確にする
MDS/SDSと事業者確認用チェックリストを回収する
「対象外」とされた項目は医療機関側で対応する
責任者、規程、台帳、教育、BCPなどは医療機関が整備する
定期的に事業者の対応状況を確認する

保守を事業者に委託することは、医療機関の負担を軽減する有効な方法です。

一方で、委託できるのは具体的な作業や技術的対応であり、医療機関としての管理責任そのものではありません。

「事業者に任せているから大丈夫」ではなく、「何を任せ、何を自院で行うのか」を文書で明確にすることが、保守委託機関編への対応の出発点です。

医療機関のガイドライン対応を支援します

株式会社クロイツでは、医療機関を対象に、医療情報システムの安全管理に関するガイドラインやサイバーセキュリティ対策チェックリストへの対応を支援しています。

保守委託機関編の対象判定
医療情報システムと保守契約の棚卸し
事業者との責任分界の整理
MDS/SDSの確認
サイバーセキュリティ対策チェックリストへの対応
運用管理規程や台帳の整備
サイバー攻撃を想定したBCPの策定
インシデント対応訓練
立入検査に向けた確認

「保守事業者へ任せているが、契約範囲が分からない」「自院が保守委託機関編の対象になるのか判断できない」といった場合は、現在のシステム構成と契約内容を整理するところから始めることが重要です。

お問い合わせ