【連載第10回】医療情報システム安全管理ガイドライン第7.0版への対応状況を確認する方法｜自己点検・ギャップ分析・改善計画

医療情報

「医療情報システムの安全管理に関するガイドライン第7.0版」を読み解く全12回連載です。

前回の第9回では、新たに設けられた「保守委託機関編」をもとに、専任のシステム担当者がいない小規模医療機関が取り組むべき安全管理について解説しました。

今回の第10回では、当初の連載計画に沿って、医療機関がガイドライン第7.0版への対応状況をどのように確認し、見つかった課題を実際の改善につなげるのかを解説します。

テーマは次のとおりです。

実務対応編①｜自己点検・ギャップ分析・改善計画

ガイドラインを読んだだけでは、院内の対策が十分かどうかは分かりません。

規程、台帳、システム設定、職員の運用、委託先事業者の対応などを一つずつ確認し、未対応事項を改善計画へ落とし込む必要があります。

この記事で分かること

この記事では、次の内容を解説します。

ガイドライン第7.0版への対応状況を確認する方法
令和8年度版サイバーセキュリティ対策チェックリストの使い方
自己点検と監査の違い
未対応事項を整理するギャップ分析の方法
改善項目の優先順位と実施期限の決め方
立入検査に向けて準備しておくべき資料

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

結論：チェックリストへの回答ではなく、改善まで管理する

ガイドライン第7.0版への対応確認は、チェックリストの「はい・いいえ」を埋めるだけでは完了しません。

重要なのは、次の流れを継続的に回すことです。

現在の規程や運用状況を確認する
実施していることを証跡で確認する
ガイドラインとの差を整理する
未対応事項のリスクを評価する
担当者、期限、予算を決める
経営層へ報告する
改善後に再確認する

医療情報システムの安全管理は、一度整備して終わるものではありません。

システム更改、職員の異動、委託先の変更、新たな脆弱性の発見などによって、医療機関のリスクは変化します。そのため、定期的な自己点検と改善が必要です。

経営管理編でも、経営層は管理状況の報告を定期的に受け、監査を実施するとともに、必要に応じて改善措置を指示することが求められています。

1．なぜ自己点検が必要なのか

規程があっても運用されているとは限らない

医療機関では、情報セキュリティに関する規程やマニュアルが整備されていても、実際の運用と一致していないことがあります。

例えば、規程に「退職者のアカウントを速やかに削除する」と書かれていても、実際には退職者のIDが残っているかもしれません。

また、「USBメモリの使用を制限する」と定めていても、技術的な接続制限が実装されておらず、職員の判断だけに任せているケースもあります。

自己点検では、文書の有無だけではなく、次の点を確認します。

確認対象	確認する内容
方針・規程	現在のシステムや業務に合っているか
手順書	担当者が実行できる内容になっているか
システム設定	規程に定めた対策が実装されているか
日常運用	職員がルールを守っているか
記録・証跡	対策を実施したことを説明できるか
委託先	契約範囲と実際の対応が一致しているか

経営管理編では、自己点検によって、規程類に基づく運用状況、システム機能の実装状況、利用者の遵守状況などを確認する必要があるとしています。

また、経営層は自己点検の結果を把握し、必要に応じて改善を指示することが求められます。

2．令和8年度版チェックリストを自己点検の入口にする

厚生労働省の「令和8年度版医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、医療機関が優先的に確認すべき事項を次の4区分に整理しています。

区分	主な確認内容
体制構築	医療情報システム安全管理責任者の設置
医療情報システムの管理・運用	台帳、保守、権限、パッチ、認証、ログ、接続制限など
インシデント発生に備えた対応	連絡体制、バックアップ、復旧手順、BCP
規程類の整備	各対策の具体的な実施方法の文書化

医療機関・薬局確認用では、これら4区分19項目について実施状況を確認します。

ただし、このチェックリストはガイドライン全体を置き換えるものではありません。

まず優先的に取り組むべき事項を確認するための入口として使用し、必要に応じてガイドライン第7.0版の各編へ戻って詳細を確認することが重要です。

「はい」と回答する前に証跡を確認する

チェックリストで「はい」と回答するためには、担当者の記憶や事業者からの口頭説明だけではなく、可能な限り客観的な証跡を確認します。

例えば、次のように確認します。

チェック項目	確認する証跡の例
安全管理責任者を設置している	任命書、組織図、会議記録
機器台帳を管理している	最新のサーバ・端末・ネットワーク機器台帳
不要なアカウントを削除している	利用者ID台帳、削除記録、システム画面
セキュリティパッチを適用している	更新履歴、バージョン情報、事業者報告書
アクセスログを管理している	ログ保存設定、実際のログ、確認記録
バックアップを確保している	バックアップ記録、復元試験記録
BCPを策定している	承認済みBCP、訓練記録、改定履歴
規程類を整備している	運用管理規程、関連手順書、承認記録

3．医療機関確認用と事業者確認用をセットで使用する

令和8年度版チェックリストには、次の2種類があります。

医療機関・薬局確認用
事業者確認用

医療機関は、自院の確認用チェックリストだけを作成するのではなく、保守契約を締結している事業者に対して事業者確認用を送付し、回答を回収します。

複数の医療情報システムを利用している場合は、原則としてシステムを提供している事業者ごとに確認する必要があります。

「対象外」は誰も対応しなくてよいという意味ではない

事業者確認用では、項目によって「対象外」と回答される場合があります。

ここで注意しなければならないのは、「対象外」はその対策が不要という意味ではないことです。

事業者の保守契約範囲外であり、医療機関側が責任を負う項目であることを意味します。

例えば、事業者がUSB接続制限を「対象外」と回答した場合、医療機関側で別途対策を実施しなければ、USB接続が管理されないまま残る可能性があります。

事業者から「対象外」と回答された項目は、医療機関側のチェックリストや改善管理表へ必ず転記し、誰が対応するのかを明確にしましょう。

4．自己点検の実施手順

ガイドラインとチェックリストを実務へ落とし込む際は、次の手順で進めると整理しやすくなります。

手順1　点検対象を決める

最初に、対象となる医療情報システムを洗い出します。

電子カルテやレセプトコンピュータだけでなく、次のようなシステムも確認対象となる可能性があります。

部門システム
画像管理システム
検査システム
調剤関連システム
予約システム
オンライン資格確認端末
医療情報を扱うクラウドサービス
医療機器と接続された端末
バックアップ装置
ネットワーク機器

ガイドラインの対象は、医療情報を保存するシステムだけではなく、医療情報を取り扱う情報システム全般です。

手順2　点検担当者を決める

自己点検は、情報システム担当者だけで完結させないことが重要です。

確認項目に応じて、次の関係者が参加します。

役割	主な確認内容
経営層	方針、予算、改善判断
企画管理者	規程、責任分界、全体管理
システム運用担当者	設定、ログ、バックアップ、パッチ
総務・人事	入退職、教育、誓約書
医療部門	現場の運用実態
委託先事業者	保守範囲、技術対策、障害対応

手順3　必要な資料を集める

点検を始める前に、次の資料を集めます。

運用管理規程
システム構成図
ネットワーク構成図
機器台帳
利用者ID台帳
委託先一覧
契約書、SLA、保守範囲資料
MDS/SDS
事業者確認用チェックリスト
バックアップ記録
パッチ適用記録
アクセスログ
教育記録
BCP
緊急連絡体制図
インシデント対応記録

手順4　チェック項目と実態を比較する

各項目について、文書、システム設定、運用実態、証跡の4つを確認します。

内部管理用の点検表では、公式チェックリストの「はい・いいえ」に加えて、次の状態を設定すると管理しやすくなります。

内部評価	状態
対応済み	要件を満たし、証跡も確認できる
一部対応	対策はあるが、範囲や運用が不十分
未対応	対策が実施されていない
未確認	担当者や事業者への確認が必要
対象外	対象外とする根拠が明確である

これは院内でギャップを管理するための区分です。厚生労働省の正式なチェックリストには、指定された回答方法に従って記入します。

手順5　ギャップを整理する

未対応事項を一覧化し、何が不足しているのかを具体的に記載します。

単に「パッチ未対応」と書くのではなく、次のように整理します。

電子カルテサーバのパッチ適用責任が契約書に明記されておらず、最終適用日も確認できない。

このように記載することで、必要な対応が見えやすくなります。

手順6　改善計画を作成する

改善計画には、少なくとも次の項目を記載します。

項目	記載内容
対象項目	チェックリストやガイドラインの項目
現状	現在の対策状況
課題	不足している点
改善内容	実施する対策
担当者	対応責任者
関係事業者	調整が必要な委託先
完了期限	対策を完了する日
必要予算	導入費、更新費、支援費など
確認方法	完了を確認する証跡
進捗	未着手、対応中、完了など

手順7　経営層へ報告する

安全管理責任者や企画管理者は、自己点検結果を経営層へ報告します。

報告では、項目数だけを伝えるのではなく、次の内容を整理します。

重大な未対応事項
医療継続に影響するリスク
法令や立入検査に関係する事項
事業者との責任分界が不明確な事項
必要となる予算と人員
改善期限
対応しない場合に残るリスク

経営層は、報告を受けて優先順位、予算、担当部署、期限を決定します。

5．改善項目の優先順位をどう決めるか

すべての未対応事項を同時に解消することが難しい医療機関もあります。

その場合は、リスクに基づいて優先順位を決めます。

優先度が高い項目

特に優先して確認したいのは、次のような項目です。

外部から接続可能な機器やリモート保守回線
サポートが終了したOSやソフトウェア
管理者権限の過剰付与
退職者や不要アカウントの残存
セキュリティパッチの未適用
バックアップからの復元手順が未確認
インシデント時の連絡体制がない
BCPがない、または現状と一致していない
委託先との責任分界が不明確
ログが保存されていない
USB等の外部記録媒体を制限していない

優先順位は、次の観点から判断します。

判断軸	確認内容
発生可能性	攻撃や事故が起きやすいか
影響度	診療停止や情報漏えいにつながるか
外部接続	インターネットや保守回線から到達できるか
患者影響	患者の生命・身体に影響するか
法令・検査	法令や立入検査の確認対象か
改善難易度	短期間・低コストで改善できるか

すぐに改善できる項目は先送りしない

不要アカウントの削除、管理者権限対象者の確認、緊急連絡先の更新など、比較的短期間で対応できる項目もあります。

大規模なシステム更改が必要な課題だけに注目せず、すぐに改善できる項目から着手することで、短期間でもリスクを低減できます。

6．「いいえ」の項目には具体的な目標日を設定する

令和8年度版チェックリストでは、「いいえ」と回答した場合、令和8年度中の対応目標日を記入することとされています。

また、医療機関・薬局確認用については、令和8年度中にすべての項目で「はい」となるよう、事業者と連携して取り組むことが示されています。

目標日は「年度内」「次回更新時」などの曖昧な表現ではなく、具体的な日付を設定します。

良くない例

次回システム更新時に対応する。

改善例

令和8年10月31日までに事業者から見積書を取得し、令和9年度以降の初回システム更改時に二要素認証を導入する。

すぐに完了できない項目であっても、調査、見積取得、予算申請、契約変更といった途中の工程に期限を設定することが重要です。

7．自己点検と監査は何が違うのか

自己点検と監査は、目的が異なります。

区分	自己点検	監査
主な実施者	担当部署、システム運用担当者	独立性を確保した院内担当者や外部専門家
目的	現在の運用状況を確認する	対策の妥当性・有効性を客観的に評価する
視点	自らの業務を確認する	第三者的な視点で評価する
結果	課題一覧、改善計画	監査報告書、改善勧告
頻度	定期的に実施	リスクや必要性に応じて実施

自己点検では見落としが生じる可能性があります。

特に、重要な医療情報を扱うシステム、外部接続が多い環境、過去にインシデントが発生した医療機関などでは、必要に応じて外部監査を検討することが有効です。

企画管理編では、運用に対する点検と監査をそれぞれ実施し、その結果を経営層へ報告して必要な改善につなげることが求められています。

8．立入検査に向けて準備しておくべき資料

令和8年度版チェックリストマニュアルでは、立入検査時に「医療機関・薬局確認用」と「事業者確認用」の回答、確認日などが記入されていることを確認するとしています。

さらに、次の資料は現物確認の対象として示されています。

サーバ、端末、ネットワーク機器の台帳
インシデント発生時の連絡体制図
サイバー攻撃を想定したBCP
チェック項目の実施方法を定めた規程類

また、医療機関は各事業者から事業者確認用チェックリストを回収しておく必要があります。

立入検査の直前に作成するのではなく、日常業務の中で更新・保管しておくことが重要です。

9．自己点検で起こりやすい失敗

失敗1　チェックリストだけを埋める

担当者への口頭確認だけで「はい」としてしまうと、実際には対策が実施されていない可能性があります。

回答の根拠となる文書、設定、記録を確認しましょう。

失敗2　事業者にすべて任せる

医療情報システムの保守を委託していても、医療機関の管理責任がなくなるわけではありません。

事業者の契約範囲、対応内容、報告方法を確認する必要があります。

失敗3　「対象外」をそのまま放置する

事業者側の対象外項目は、医療機関側の責任になる可能性があります。

医療機関、事業者、別の保守事業者のうち、誰が対応するのかを明確にしてください。

失敗4　改善期限を決めない

課題を一覧化しても、担当者と期限が決まっていなければ改善は進みません。

改善計画には、責任者、期限、確認方法を記載します。

失敗5　改善後の確認をしない

システム設定の変更や規程の改定だけで完了とせず、実際に対策が機能していることを確認します。

例えば、バックアップ設定を変更した場合は、バックアップの取得だけでなく、復元できるかどうかまで確認する必要があります。

10．医療機関向け実務チェックリスト

院内で自己点検を行う際は、次の項目を確認してください。

点検前の準備

点検責任者を決めている
対象システムを一覧化している
関係部署と事業者を特定している
ガイドラインと令和8年度版チェックリストを準備している
必要な台帳、規程、契約書、記録を収集している

点検の実施

規程の有無だけでなく運用実態を確認している
システム設定を実際の画面や資料で確認している
実施記録やログなどの証跡を確認している
事業者確認用チェックリストを回収している
MDS/SDSを回収・確認している
対象外項目の責任者を確認している

改善管理

未対応事項を一覧化している
リスクに応じて優先順位を決めている
各項目の担当者を決めている
具体的な完了期限を設定している
必要な予算を整理している
経営層へ結果を報告している
改善後の再確認を行っている

よくある質問

Q1．令和8年度版チェックリストだけ確認すれば十分ですか？

十分とは限りません。

チェックリストは、医療機関が優先的に取り組むべき事項を確認するためのものです。医療機関の規模、システム構成、外部接続、委託状況などに応じて、ガイドライン第7.0版の各編を確認する必要があります。

Q2．すべての項目をすぐに「はい」にできない場合はどうすればよいですか？

未対応事項を放置せず、目標日と改善方法を決めます。

令和8年度版チェックリストでは、「いいえ」の項目について令和8年度中の対応目標日を記入することが求められています。すぐに完了できない場合でも、調査、見積取得、予算化、契約変更などの工程を具体化してください。

Q3．保守事業者が対応していると言えば「はい」でよいですか？

口頭回答だけではなく、契約書、保守範囲資料、MDS/SDS、事業者確認用チェックリスト、作業報告書などで確認することが望まれます。

特に、セキュリティパッチ、アクセスログ、リモート保守、バックアップなどは、医療機関と事業者の責任分界を明確にしてください。

Q4．自己点検はどのくらいの頻度で行いますか？

令和8年度版チェックリストマニュアルでは、少なくとも年1回、チェックリストを用いた点検を実施することとしています。

そのほか、システム更改、委託先変更、重大な設定変更、インシデント発生後などにも再確認することが適切です。

Q5．外部監査は毎年必要ですか？

すべての医療機関で毎年必須とされているわけではありません。

医療機関の規模、取り扱う情報、システム構成、過去のインシデント、自己点検結果などを踏まえ、必要に応じて実施します。

まとめ

ガイドライン第7.0版への対応では、「規程を作った」「チェックリストに回答した」だけで終わらせないことが重要です。

自己点検では、規程、システム設定、実際の運用、証跡、委託先の対応を確認します。

そして、見つかった課題について、リスク、担当者、期限、予算、確認方法を整理し、経営層の判断につなげます。

今回のポイントは次のとおりです。

チェックリストは対応確認の入口として使用する
「はい」の根拠となる証跡を確認する
医療機関確認用と事業者確認用をセットで管理する
事業者の「対象外」は医療機関側の責任となり得る
未対応事項は改善計画へ落とし込む
経営層が優先順位、予算、期限を判断する
少なくとも年1回は自己点検を実施する
立入検査で確認される資料を日常的に更新する

自己点検は、立入検査のためだけに行うものではありません。

医療情報システムの停止や情報漏えいを防ぎ、非常時にも医療を継続するために、自院の弱点を見つけて改善するための取組です。

医療機関のガイドライン対応を支援します

医療情報システムの安全管理に関するガイドラインへの対応では、規程だけでなく、システム構成、委託契約、職員の運用、証跡管理まで確認する必要があります。

株式会社クロイツでは、医療機関の規模や現在の対策状況に応じて、次のような支援を行っています。

ガイドライン第7.0版への対応状況確認
令和8年度版チェックリストの確認支援
ギャップ分析と改善計画の作成
規程、台帳、連絡体制図などの整備
委託先事業者との責任分界確認
立入検査に向けた事前確認
サイバーBCPの策定・見直し
インシデント対応訓練

「どこまで対応できているのか分からない」「事業者に任せているが責任範囲が不明確」といった場合は、現状確認から段階的に進めることができます。

お問い合わせ