【連載第11回】医療情報システム安全管理ガイドライン第7.0版「チェックリスト実践①」｜日常のシステム管理をどう進めるか

医療情報

2026年6月、厚生労働省は「医療情報システムの安全管理に関するガイドライン第7.0版」と「令和8年度版医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」を公表しました。

本連載では、医療機関の経営層、事務長、医療情報システム安全管理責任者、システム担当者に向けて、ガイドライン第7.0版の内容を全12回で解説しています。

これまでの連載では、概説編、経営管理編、企画管理編、システム運用編、保守委託機関編、自己点検と改善計画について取り上げてきました。

今回の第11回からは、令和8年度版サイバーセキュリティ対策チェックリストを、医療機関が実際にどのように確認し、日常業務に落とし込めばよいのかを解説します。

第11回のテーマは、当初の連載計画に沿って「チェックリスト実践①｜日常のシステム管理」です。

機器台帳、アカウント管理、セキュリティパッチ、パスワード、USBストレージ、二要素認証、アクセスログなど、日常的な管理・運用に関する項目を中心に整理します。

この記事で分かること

この記事では、次の内容を解説します。

令和8年度版サイバーセキュリティ対策チェックリストの基本的な使い方
サーバ、端末、ネットワーク機器の台帳管理
リモートメンテナンスとMDS／SDSの確認
利用者アカウントと管理者権限の管理
セキュリティパッチと不要なソフトウェアの管理
パスワードと二要素認証への対応
USBストレージなど外部記録媒体の管理
アクセスログと接続元制限の確認
日常管理を継続するための実務的な進め方

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

結論｜チェックリストは「一度回答する書類」ではなく「日常管理の仕組み」である

令和8年度版サイバーセキュリティ対策チェックリストへの対応で最も重要なのは、すべての項目を一度だけ「はい」にすることではありません。

求められているのは、次の状態を継続することです。

何を管理しているのか分かる
誰が管理するのか決まっている
どのような方法で管理するのか文書化されている
定期的に確認している
問題があれば改善している
実施したことを記録として説明できる

令和8年度版チェックリストでは、医療機関・薬局確認用について、令和8年度中にすべての項目で「はい」と回答できるよう取り組むことが求められています。また、立入検査では回答だけでなく、確認日や関連する台帳、規程、BCPなどの現物も確認されます。

つまり、チェックリスト対応とは、日常のシステム管理を見える形に整える作業といえます。

1．令和8年度版チェックリストの日常管理項目

令和8年度版チェックリストのうち、今回取り上げる主な項目は、「1．体制構築」と「2．医療情報システムの管理・運用」です。

日常管理に関係する主なチェック項目

分類	確認する内容
体制構築	医療情報システム安全管理責任者を設置しているか
資産管理	サーバ、端末、ネットワーク機器を台帳管理しているか
保守管理	リモートメンテナンスを利用する機器を把握しているか
事業者管理	事業者からMDS／SDSを回収しているか
権限管理	職種・担当業務に応じたアクセス権限を設定しているか
アカウント管理	退職者や不要なアカウントを削除・無効化しているか
脆弱性管理	セキュリティパッチを適用しているか
パスワード管理	パスワードの強度と使い回し禁止を管理しているか
外部記録媒体	USBストレージ等の接続を制限しているか
システム設定	不要なソフトウェアやサービスを停止しているか
認証管理	アプリケーション、サーバOSで二要素認証に対応しているか
ログ管理	アクセスログを記録・管理しているか
ネットワーク管理	接続元制限を実施しているか

これらは個別の対策に見えますが、実際には相互に関係しています。

例えば、機器台帳がなければ、どの端末にパッチが適用されているか確認できません。利用者ID台帳がなければ、退職者のアカウントが残っているか確認できません。

最初に「何があるのか」を整理し、その上で設定、運用、点検を行うことが基本です。

2．最初に整備するべきものは機器台帳

機器台帳とは

機器台帳は、医療機関が保有・利用しているサーバ、端末、ネットワーク機器などを一覧化したものです。

令和8年度版チェックリストでは、医療機関が保有するすべての医療情報システムについて、台帳管理を行っていることが求められています。

医療情報システムには、電子カルテやレセプトコンピュータだけでなく、医療情報を取り扱う部門システム、サーバ、業務端末、ルータ、無線LAN機器なども含まれます。

機器台帳に記載する項目

最低限、次の情報を整理します。

項目	記載例
管理番号	PC-001、SV-001
機器種別	サーバ、端末、ルータ、無線LAN
メーカー・型番	メーカー名、製品名
OS	Windows 11、Windows Serverなど
ソフトウェア	電子カルテ、部門システム
バージョン	OS、アプリケーション、ファームウェア
IPアドレス	固定IP、管理用IP
コンピュータ名	端末名、ホスト名
設置場所	診察室、受付、サーバ室
利用者・管理部署	医事課、放射線科、情報システム担当
保守事業者	電子カルテ事業者、ネットワーク事業者
保守期限	契約終了日、保証期限
稼働状態	稼働中、停止中、予備、廃棄予定
更新状況	パッチ適用日、最終確認日

台帳を作成しただけでは不十分

よくある問題は、導入時に台帳を作成したものの、その後更新されていないケースです。

端末の入替え、修理、廃棄、設置場所の変更、利用者の変更があった場合には、台帳も更新しなければなりません。

機器の導入、移動、停止、廃棄を行う際に、台帳更新を必須とする運用を定めておく必要があります。

3．リモートメンテナンスの接続先を把握する

医療情報システムでは、事業者が院外から接続し、保守作業を行うリモートメンテナンスが広く利用されています。

一方で、医療機関側が外部接続点を把握していないことが、サイバー攻撃の被害を拡大させる要因になります。

令和8年度版チェックリストでは、リモートメンテナンスを利用している機器の有無を事業者に確認することが求められています。

事業者に確認する内容

単に「リモート保守を利用していますか」と聞くだけでは不十分です。

次の内容を確認します。

対象となるシステム・機器
接続元となる事業者
接続方法
VPNの利用状況
接続可能な時間帯
接続時の認証方法
二要素認証の有無
接続元制限の有無
作業ログの保存状況
緊急時の接続停止方法
再委託先からの接続の有無

複数の事業者が関係する場合は、電子カルテ、医事会計、検査、画像、ネットワークなど、事業者ごとに確認する必要があります。

4．MDS／SDSを事業者から回収する

MDS／SDSとは、製造業者またはサービス事業者が、医療情報システムのセキュリティ機能や対応状況を開示するための資料です。

医療機関がシステムの安全性を評価する際には、事業者から説明を受けるだけでなく、MDS／SDSなどの文書を回収して確認することが重要です。

ガイドライン第7.0版でも、事業者から技術的対策に関する情報を収集し、責任分界やリスク管理に活用することが求められています。

MDS／SDSを回収した後に確認すること

資料を受け取るだけで対応完了とはなりません。

次の点を確認します。

対象製品・サービスが自院のものと一致しているか
現在利用しているバージョンに対応しているか
認証・アクセス制御機能が記載されているか
ログの取得範囲が記載されているか
バックアップや復旧方法が記載されているか
セキュリティアップデートの対応範囲が明確か
医療機関側で設定・運用する項目が明確か
対応できていない項目がないか

MDS／SDSは、事業者にすべて任せるための資料ではありません。

医療機関と事業者のどちらが何を担当するのかを整理するための資料です。

5．利用者アカウントとアクセス権限を管理する

全員に同じ権限を付与しない

医療情報システムの利用権限は、職種、所属部署、担当業務、取り扱う情報に応じて設定する必要があります。

例えば、医師、看護師、薬剤師、医事課職員、システム管理者では、必要となる操作範囲が異なります。

令和8年度版チェックリストでは、利用者の職種・担当業務別にアクセス権限を設定し、特に管理者権限を付与する対象者を明確にすることが求められています。

管理者権限は最低限にする

管理者権限を持つアカウントが攻撃者に利用されると、セキュリティソフトの停止、設定変更、他の端末への侵入など、被害が拡大する可能性があります。

管理者権限は、必要な担当者だけに限定します。

通常業務では一般利用者アカウントを使用し、管理作業を行う場合だけ管理者アカウントを使用する運用が基本です。

利用者ID台帳を作成する

利用者アカウントについても、台帳を作成して管理します。

項目	内容
所属部署	診療科、看護部、医事課など
氏名	利用者氏名
ユーザーID	システム上のID
対象システム	電子カルテ、部門システムなど
権限	一般、承認、管理者など
登録日	アカウント発行日
有効期限	非常勤、派遣、委託職員等
状態	使用中、停止、削除予定
最終確認日	権限を確認した日

6．退職者・異動者・休職者のアカウントを放置しない

不要なアカウントは、不正アクセスに利用される可能性があります。

特に注意が必要なのは、次のようなアカウントです。

退職者のアカウント
異動前の権限が残っているアカウント
長期間使用されていないアカウント
短期雇用者や派遣職員のアカウント
保守作業用として一時的に作成したアカウント
用途が分からない共用アカウント

人事異動や退職の情報が、システム担当者に共有されない医療機関も少なくありません。

人事部門、総務部門、所属部署、システム担当者が連携し、入職、異動、休職、退職時にアカウントを変更・停止する流れを定める必要があります。

少なくとも年1回ではなく、人事異動や退職が発生した都度対応することが重要です。

7．セキュリティパッチの適用状況を管理する

セキュリティパッチとは、OS、アプリケーション、ネットワーク機器などで発見された脆弱性を修正する更新プログラムです。

ウイルス対策ソフトを導入していても、OSやソフトウェアに脆弱性が残っていれば、攻撃を防げるとは限りません。

令和8年度版チェックリストマニュアルでは、端末、サーバ、ネットワーク機器等へのセキュリティパッチ適用に加え、パターンファイルの更新や、古いOSを使用している機器の確認が重要とされています。

パッチ管理で確認すること

対象機器を把握しているか
現在のOS・ソフトウェアのバージョンを把握しているか
更新プログラムの提供状況を確認しているか
誰がパッチを適用するのか決まっているか
事業者が適用する範囲が契約で明確か
適用前に影響を確認しているか
適用後にシステムの稼働確認をしているか
適用できない機器について代替対策を講じているか
サポートが終了したOSや機器が残っていないか

医療情報システムでは、パッチ適用による動作不良を懸念し、更新が長期間見送られることがあります。

しかし、「動作に影響する可能性があるから更新しない」という判断だけでは十分ではありません。

適用できない理由、対象機器、想定されるリスク、代替対策、更新予定時期を記録し、経営層や安全管理責任者が把握できる状態にする必要があります。

8．不要なソフトウェアとサービスを停止する

サーバや端末で使用していないソフトウェアやサービスが動作していると、攻撃を受ける入口が増える可能性があります。

チェックリストでは、バックグラウンドで動作している不要なソフトウェアやサービスを停止することが求められています。

確認対象には、次のようなものがあります。

使用していないリモート接続ソフト
過去に導入した保守ツール
不要なファイル共有機能
使用していない通信サービス
サポートが終了したソフトウェア
用途が確認できない常駐プログラム
一時的に導入したまま残っているツール

ただし、医療機器や医療情報システムでは、安易にサービスを停止するとシステムが正常に動作しなくなる可能性があります。

用途が不明なソフトウェアを担当者の判断だけで削除せず、事業者に確認した上で対応する必要があります。

9．パスワードは長さだけでなく運用方法を確認する

令和8年度版チェックリストでは、パスワードについて次の基準が示されています。

二要素認証を利用する場合は、英数字を混在させた8文字以上
二要素認証を採用するまでの期間は、英数字を混在させた13文字以上
複数の機器やサービスでパスワードを使い回さない

ただし、文字数の条件だけ満たしていても、次のような運用では安全とはいえません。

端末にパスワードを書いた付箋を貼っている
部署全員が同じIDとパスワードを使用している
初期パスワードを変更していない
組織名や電話番号など推測しやすい文字列を使用している
複数の医療機関で事業者が同じ保守用パスワードを使用している
退職者が知っているパスワードを変更していない

事業者が管理するサーバやネットワーク機器についても、医療機関は事業者確認用チェックリストを回収し、パスワードの設定・運用状況を確認する必要があります。

10．USBストレージなどの外部記録媒体を制限する

USBストレージなどの外部記録媒体には、主に二つのリスクがあります。

一つは、医療情報を保存したUSBの紛失・盗難による情報漏えいです。

もう一つは、外部の端末で使用したUSBを医療情報システムに接続することによる、マルウェア感染です。

チェックリストでは、USBストレージ等の外部記録媒体や情報機器について、接続を制限することが求められています。

USB管理で定める内容

使用できるUSBを限定する
私物USBの使用を禁止する
利用申請と承認の手順を定める
管理番号を付与する
貸出先、利用者、利用目的を記録する
利用前にマルウェアチェックを行う
保存する情報を限定する
持ち出し時の暗号化を行う
返却後に内容を確認する
不要となったデータを削除する
紛失時の報告手順を定める

「USBを原則禁止」と規程に書くだけで、実際には医師、医療機器担当者、事業者が自由に使用しているケースがあります。

禁止するのか、限定的に許可するのかを決め、実際の業務に合わせた例外手順まで整備することが重要です。

11．二要素認証はシステム更改計画に組み込む

二要素認証とは、次の三つの認証要素のうち、異なる二つを組み合わせる方法です。

知識情報：パスワード、暗証番号
所持情報：ICカード、セキュリティトークン
生体情報：指紋、顔、静脈など

代表的な組み合わせには、次のようなものがあります。

ICカードとパスワード
パスワードと指紋認証
ICカードと指紋認証

令和8年度版チェックリストでは、端末のアプリケーションログイン時と、サーバのOSログイン時について、二要素認証を実装しているか、令和9年度以降の初回システム更改時に実装予定であることを確認します。

今すぐ導入できない場合の対応

現在のシステムが二要素認証に対応していない場合でも、単に「未対応」とするのではなく、次の内容を整理します。

対象となるシステム
現在の認証方式
二要素認証への対応可否
改修費用
次回のシステム更新時期
導入予定年度
導入までの代替対策
事業者との協議記録

サーバOSの二要素認証については、踏み台端末を経由したアクセス制限など、一定の条件を満たす代替措置が示されています。

ただし、単に踏み台端末を設置すればよいわけではありません。アクセス経路の限定、踏み台端末の認証、EDR等による検知、VPN、管理者権限の制限、OSの更新、パスワードの分離など、複数の条件を確認する必要があります。

12．アクセスログは「保存」だけでなく「確認」する

アクセスログは、誰が、いつ、どのシステムにアクセスし、何を行ったのかを記録するものです。

令和8年度版チェックリストマニュアルでは、少なくとも次の内容を特定できるログが必要とされています。

利用者
ログイン時刻
アクセス時間
操作内容

アクセスログは、不正アクセスや情報漏えいが発生した際に、原因や影響範囲を確認するための重要な証跡になります。

ログ管理で確認すること

どのシステムでログを取得しているか
どのような操作が記録されるか
保存期間はどの程度か
誰がログを閲覧できるか
定期的にログを確認しているか
異常を発見した場合の報告先が決まっているか
ログの削除や改ざんを防止しているか
インシデント発生時に速やかに取り出せるか

「ログを取得できる機能がある」ことと、「ログを管理している」ことは異なります。

取得したログを一度も確認していなければ、不正利用を早期に発見することはできません。

まずは、管理者権限の使用、深夜・休日のアクセス、短時間の大量閲覧、退職者IDの利用など、確認するポイントを限定して始める方法が現実的です。

13．ネットワーク機器では接続元を制限する

チェックリストでは、ネットワーク機器について接続元制限を実施することが求められています。

接続元制限には、次のような方法があります。

IPアドレスによる制限
電子証明書による認証
VPN接続元の限定
特定端末からのみ管理画面への接続を許可
管理用ネットワークの分離
無線LANの利用者・端末の制限

MACアドレス制限も方法の一つですが、マニュアルでは、その効果は限定的であるため、追加の対策を確認する必要があるとされています。

特に、ルータ、VPN装置、ファイアウォール、無線LAN機器の管理画面を、院内のどの端末からでも操作できる状態にしないことが重要です。

14．医療機関と事業者の責任分界を明確にする

日常管理項目の中には、医療機関が直接対応する項目と、事業者が対応する項目が混在しています。

例えば、次のような項目です。

項目	主な確認先
端末の利用者アカウント	医療機関
職員の退職・異動対応	医療機関
サーバのパッチ適用	契約内容により医療機関または事業者
ネットワーク機器のパスワード	契約内容により医療機関または事業者
リモートメンテナンス	事業者
MDS／SDS	事業者
アクセスログの取得	システム仕様・契約内容による
ログの定期確認	原則として医療機関
二要素認証の実装	システム更新を含め事業者と協議

事業者確認用チェックリストで「対象外」と回答された項目は、対策が不要という意味ではありません。

保守契約の範囲外であり、医療機関側が責任を負う項目であることを意味します。

ガイドライン第7.0版でも、医療機関と事業者の間で、通常時と非常時の役割分担、技術的対応、責任分界を明確にすることが求められています。

15．日常管理を継続するための運用例

すべての項目を毎日確認する必要はありません。

確認の頻度を決め、定期的に実施する仕組みを作ることが重要です。

発生の都度行うこと

新規端末導入時の台帳登録
端末移動時の台帳更新
入職者のアカウント登録
異動者の権限変更
退職者のアカウント停止
USB利用時の申請・記録
セキュリティパッチ適用時の記録

毎月または四半期ごとに行うこと

不要なアカウントの確認
管理者権限アカウントの確認
パッチ適用状況の確認
ウイルス対策ソフトの更新状況確認
主要システムのアクセスログ確認
リモートメンテナンス接続状況の確認

年1回以上行うこと

機器台帳の現物照合
利用者ID台帳の一斉確認
事業者確認用チェックリストの回収
MDS／SDSの最新版確認
保守契約と責任分界の確認
二要素認証導入計画の見直し
令和8年度版チェックリストの再点検
運用管理規程の見直し

チェックリストマニュアルでも、少なくとも年1回はチェックリストを用いた点検を行うことが示されています。

16．よくある不十分な対応

台帳はあるが更新されていない

作成日から更新されておらず、既に廃棄した端末や、存在しないIPアドレスが記載されている状態です。

台帳の更新責任者と更新するタイミングを決める必要があります。

事業者が対応していると思い込んでいる

パッチ、バックアップ、ログ、リモート保守などについて、契約書に記載がないまま「事業者が対応しているはず」と認識しているケースです。

口頭説明ではなく、契約書、仕様書、SLA、MDS／SDS、事業者確認用チェックリストで確認します。

共用IDを使用している

複数の職員が同じIDを使用していると、誰が操作したのか確認できません。

真正性や証跡の確保という観点からも、原則として利用者ごとにIDを付与する必要があります。

ログを保存しているが確認していない

ログの保存だけでは、不正利用の早期発見にはつながりません。

確認頻度、確認者、異常と判断する基準、報告先を決める必要があります。

USBを禁止しているが例外運用が管理されていない

規程上は禁止されていても、実際には診療情報提供、医療機器のデータ出力、学会発表などで使用されていることがあります。

実態に合わない全面禁止ではなく、必要な場合の申請、承認、利用記録、返却、消去まで定めることが重要です。

二要素認証を「次回更新時」とだけ回答している

具体的な更新時期や導入計画がない状態では、実効性のある対応とはいえません。

対象システム、導入予定年度、費用、事業者との協議状況を記録します。

17．医療機関向け簡易チェックリスト

次の項目について、自院の状況を確認してみてください。

サーバ、端末、ネットワーク機器を一覧化している
機器台帳の最終更新日が分かる
リモートメンテナンスを利用する機器を把握している
事業者ごとに事業者確認用チェックリストを回収している
MDS／SDSを回収し、内容を確認している
利用者IDと権限を一覧化している
管理者権限を持つ利用者を把握している
退職者や不要なアカウントを停止している
パッチの適用責任者と適用状況が分かる
サポート終了OSの機器を把握している
パスワードの長さと使い回し禁止を規程に定めている
USBの利用申請と管理記録がある
二要素認証の導入状況または導入計画がある
アクセスログの保存期間と確認者が決まっている
ネットワーク機器への接続元を制限している
実施した確認結果を記録として残している

一つでも回答できない項目がある場合は、確認できる担当者、事業者、資料を特定するところから始めましょう。

よくある質問

Q1．機器台帳はExcelで作成してもよいですか？

はい。チェックリストでは特定のツールや製品の利用までは求められていません。

Excelなどを利用して、サーバ、端末、ネットワーク機器の所在、利用者、OS、ソフトウェア、バージョン、状態などを確認できれば対応可能です。

ただし、誰でも自由に変更できる状態にはせず、管理者、更新ルール、バックアップを定めておく必要があります。

Q2．電子カルテ事業者に任せていれば、パッチ管理は医療機関側で確認しなくてもよいですか？

いいえ。

事業者が実際の適用作業を担当する場合でも、対象範囲、適用頻度、適用状況、適用できない機器の有無を医療機関が把握する必要があります。

契約書や事業者確認用チェックリストで責任分界を確認してください。

Q3．退職者のアカウントは削除せず、無効化でもよいですか？

システムの仕様や記録保存の必要性によっては、削除ではなく無効化で対応することも考えられます。

重要なのは、退職者がログインできない状態にすることと、過去の操作記録を追跡できる状態を維持することです。

Q4．医療機関では共用IDを使用してはいけませんか？

原則として、利用者ごとの個別IDが望まれます。

共用IDでは、誰が情報を閲覧・変更したのか特定できず、アクセスログの証跡としての有効性が低下します。

業務上やむを得ない共用IDがある場合は、利用範囲、利用者、認証方法、利用記録などの追加管理が必要です。

Q5．すべてのシステムで今すぐ二要素認証を導入しなければなりませんか？

令和8年度版チェックリストでは、実装済みであること、または令和9年度以降の初回システム更改時に実装予定であることを確認します。

現在未対応の場合は、次回更改時期、導入方法、予算、事業者との協議状況を計画として整理しておく必要があります。

Q6．アクセスログはどの程度の頻度で確認すればよいですか？

すべての医療機関に共通する一律の頻度ではなく、システムの重要性、利用者数、取得できるログ、リスクに応じて決定します。

まずは月次や四半期ごとに、管理者権限の利用、休日・深夜のアクセス、大量閲覧、不要アカウントの利用などを確認する運用から始める方法があります。

まとめ｜日常管理は「台帳・ルール・記録」の三つで整える

令和8年度版サイバーセキュリティ対策チェックリストの日常管理項目は、特別なセキュリティ製品を導入することだけを求めているわけではありません。

重要なのは、次の三つです。

1．台帳
管理対象となる機器、アカウント、USB、事業者を把握する

2．ルール
登録、変更、利用、停止、確認の方法を運用管理規程等に定める

3．記録
パッチ適用、アカウント確認、ログ確認、事業者への確認など、実施結果を残す

医療情報システムの安全管理は、システム担当者だけで完結するものではありません。

人事異動を管理する総務部門、システムを利用する各部署、予算や方針を決定する経営層、保守を担当する事業者が連携して初めて、継続的な管理が可能になります。

まずは機器台帳と利用者ID台帳を整備し、事業者確認用チェックリストを回収するところから始めるとよいでしょう。

医療機関のチェックリスト対応を支援します

株式会社クロイツでは、医療機関・診療所・薬局を対象に、医療情報システムの安全管理に関する支援を行っています。

サイバーセキュリティ対策チェックリストの現状確認
機器台帳・利用者ID台帳の整備
事業者確認用チェックリストの回収・内容確認
医療機関と事業者の責任分界の整理
運用管理規程や各種手順書の整備
アカウント・アクセス権限管理の見直し
USBストレージ等の外部記録媒体管理
アクセスログの確認方法の整理
二要素認証導入に向けた計画作成
医療法に基づく立入検査への対応支援

「チェックリストには回答したものの、根拠となる資料が整っていない」「どこまで事業者に確認すればよいか分からない」といった場合は、お問い合わせください。

お問い合わせ