医療情報システムの安全管理に関するガイドラインとは

「医療情報システムの安全管理に関するガイドライン」は、医療情報システムを安全かつ適切に運用するための指針を示したガイドラインです。

医療情報システムの普及とともに、患者やスタッフの個人情報、医療用データが多く取り扱われるようになり、システムの安全性への要求が高まりました。また、医療情報システムに侵入してデータを暗号化し、復旧を条件に身代金を要求するランサムウェア攻撃も増加しています。

より巧妙かつ高度になっているサイバー攻撃に対して、医療情報システムを取り扱う医療機関と事業者に向けて制定され、現状に合わせて改訂されているのが「医療情報システムの安全管理に関するガイドライン」です。

3省2ガイドラインについて

「医療情報システムの安全管理に関するガイドライン」は、3省2ガイドラインと呼ばれているガイドラインのうちの一つです。3省2ガイドラインは、医療機関や医療事業者が電子的な医療情報システムを取り扱う際、情報保護のために従うべき指針で、厚生労働省・総務省・経済産業省が定めています。

具体的には以下の2つになります。

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、主に医療機関に向けたものです。総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」は、システムのクラウド化の広がりなどを踏まえ、医療機関などに医療情報システムを提供している事業者を対象としています。

3省2ガイドラインの主な対象者

ガイドライン	主な対象者
【厚生労働省】 医療情報システムの安全管理に関するガイドライン	医療情報を実際に保有し、利用する医療機関 （病院、クリニック、歯科医院、薬局など）
【総務省・経済産業省】 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン	医療情報を取り扱うシステムやクラウドサービスを提供する事業者 ※患者等の指示に基づいて医療機関から医療情報を受領する事業者も含まれる

現在のガイドラインになるまでの流れ

それまでは厚生労働省・総務省・経済産業省がそれぞれにガイドラインを制定し「3省3ガイドライン」としていましたが、2021年8月に経済産業省と総務省の2つのガイドラインが統合され、「3省2ガイドライン」となりました。

ガイドラインの統合

3省3ガイドライン		3省2ガイドライン
【厚生労働省】 医療情報システムの安全管理に関するガイドライン	バージョンアップ	【厚生労働省】 医療情報システムの安全管理に関するガイドライン第5.2版（2022年3月）
【総務省】 クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン	統合	【総務省・経済産業省】 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
【経済産業省】 医療情報を受託管理する情報処理事業者における安全管理ガイドライン

ガイドラインが整理・統合されたことにより、医療機関や情報システム提供事業者の負担が軽減されました。

医療情報システムのガイドラインを遵守すべき3つの理由

厚生労働省「医療情報システムの安全管理に関するガイドライン」の遵守すべき内容について確認します。主に医療機関が遵守すべき理由として、以下の3つが挙げられています。

1. 患者の個人情報の保護
2. 医療情報システムの共有・連携
3. 医療情報システムの安全管理

1. 患者の個人情報の保護

医療情報システムで扱う情報には、患者の病歴等の機微な個人情報が含まれており、より慎重に取り扱う必要があります。適切な管理がされなければ、患者の生命に直接影響をおよぼす可能性さえあると考えられており、個人情報は漏えいなどないよう厳密に保護されなければなりません。

2. 医療情報システムの共有・連携

医療情報システムは、効率的で正確な医療行為を行う上で重要な役割を果たしています。医療情報を電子化して取り扱い、医療機関等の間で継続して正確な情報を共有・連携することで、より質の高い医療の提供につながります。

3. 医療情報システムの安全管理

機微かつ重要な医療情報を扱うシステムに求められる安全管理体制は、一般的な情報システムに求められるものよりも高い水準である必要があります。

なお、医療情報システムやそのシステム上で扱う情報に関しては、個人情報保護法やe-文書法に加えて、厚生労働省が定める医療法施行規則や法令に関連した通知などにも準拠し、対応する必要があります。

医療情報安全管理ガイドライン 第7版の改定ポイント

「医療情報システムの安全管理に関するガイドライン」はたびたび見直され、令和8年（2026年）6月改定の第7.0版が最新のバージョンです（2026年9月時点）。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン　第7.0版（令和8年6月）」

ガイドラインの改定は医療機関におけるサイバーセキュリティ対策を強化し、より実効性を高めることが目的です。ここからは第7.0版の改定ポイントについて解説します。なお、第7.0版では、経営層からシステム運用担当者まで、それぞれの立場に応じて対応する全5つの冊子に分けて整理しています。本記事ではその中でも、医療機関のシステム運用や外部事業者との連携に関わる「システム運用編」「保守委託機関編」に着目し、現場の担当者視点で押さえておきたいポイントを解説します。

1.小規模医療機関でも実践可能な運用整理

これまで何度も改定されてきたガイドラインですが、今回の改定では実践的な内容へのアップデートや、小規模医療機関（診療所、助産所、訪問看護ステーションなどの小さい施設）に対する配慮が見受けられるものになっています。

実際に、2026年5月29日に開催された医療関係の検討会においても、当時公表前の「医療情報システムの安全管理に関するガイドライン第7.0版（案）」について以下のような意見交換がなされていました。

1. ITリソースがひっ迫している医療機関において、専門的な内容を含むガイドラインを読破・対応するのは現実的ではない
2. 人的および体制的な制約のある小規模医療機関でも実践しやすくするためのガイドラインを反映するべき

セキュリティ対策が十分に実施できないという医療機関の慢性的な課題は、医政局ひいては厚生労働省においても認識されていました。今回のガイドライン改定はその課題への対策の一つと想定できるでしょう。

2. 第6版の構成から「保守委託機関編」が新規追加、実践を強く要求

今回の改定は、ガイドラインを実践的な内容にする点を意識して構成が見直されました。ガイドラインは読者の属性ごとに分冊されており、以下のように概説編、経営管理編、企画管理編、システム運用編、保守委託機関編に分かれています。

出典： 医療情報システムの安全管理に関するガイドライン　第 7.0 版　概説編(PDF)

各編の中でも第7版で追加されたのが「保守委託機関編」です。主に専任のシステム担当者が配置されておらず、従来のガイドライン対応が難しい医療機関などを対象として、事業者に保守などを委託する場合に求められる考え方を記載しています。

「保守委託機関編」の新設は、一般病院や診療所などにおけるITリソースの不足という深刻な実情を踏まえたものです。厚生労働省では、院内だけで技術的な対応を完結させることが難しい医療機関に対して、外部事業者との適切な連携を前提とした安全管理が重要視されていることが想定されます。

3. クラウド型電子カルテなど外部委託を前提とした運用への対応

ガイドラインの「保守委託機関編」では、電子カルテなどクラウド上の情報管理などが難しい小規模医療機関などに向けて、SaaSなどのクラウドサービスの利用によって院内の管理負荷の軽減を求めています。

保守管理をアウトソースして、院内のITリソースのひっ迫を軽減することはたしかに重要です。一方で、医療情報システムの保守作業では外部から医療情報システムへアクセスする機会が生じるため、通信経路やアクセス権限、作業内容などを適切に管理することが必要になります。リスク低減の施策としてアクセス時の通信経路の整備や作業範囲の制御、さらにはログ監視などを実施し、医療DX時代に対応するセキュリティ体制を構築することが重要です。

4.医療情報システムへの二要素認証を強化

「システム運用編」「保守委託機関編」を中心に、クライアント端末のアプリケーションに加えて、アプリケーションを介さずアクセス可能な医療情報システムのサーバなど、あらゆる範囲での二要素認証導入を推奨しています。

なお、ガイドラインでは二要素認証に加えて、特権ID管理・アクセス経路の制限・セッションタイムアウトなど複数の仕組みで外部事業者のリモートアクセスを管理することの重要性が述べられています。「システム運用編」内の表にある通り、攻撃者にとって「正規のルートを装って侵入できる絶好の裏口」になりうるリモートメンテナンスのアクセスを、認証や通信経路、権限、セッションなど複数の観点から管理する必要があるでしょう。

出典： 医療情報システムの安全管理に関するガイドライン　第 7.0 版　システム運用編

第7版の改定を踏まえて取り組みたい2つのアクション

第7版の改定ポイントに対応するには、自院の現状を把握して優先順位を整理することや、外部事業者によるアクセスを適切に管理することが重要です。ここからは、現場で特に関係の深い「システム運用編」「保守委託機関編」を中心に、「経営管理編」「企画管理編」などの考え方も取り入れつつ、医療現場の運用と病院経営を両立させる、2つの解決策を提案します。

アクションA.自院のリスクを把握し、対策の優先順位を整理する

前述した改定ポイントのうち、

1. 小規模医療機関でも実践可能な運用整理
2. 第6版の構成から「保守委託機関編」が新規追加、実践を強く要求

に対応するためには、自院のIT資産を棚卸しして、どのようなリスクが存在するのかを客観的に調査・評価することが有効です。「企画管理編」においても、情報資産の把握を起点としたリスク分析・評価の重要性が示されており、ガイドライン全体を実践するうえでも重要なアクションといえるでしょう。

「サイバーセキュリティ対策チェックリスト」と客観的な調査を併用する

サイバーセキュリティ対策チェックリストは、厚生労働省が提供する「ガイドライン遵守のために活用するツール」の一つです。チェックリストを用いることで、医療機関の担当者自身がIT資産の現状をセルフチェックできます。

出典： 令和8年度版　医療機関・薬局におけるサイバーセキュリティ対策チェックリスト

チェックリストはガイドライン実践に役立つツールですが、ガイドラインの実践をより確実にするためには、技術的・客観的にIT資産のセキュリティ状態やリスクを調査することも大切です。専門的なセキュリティ調査を通して、脆弱性の有無や設定上の問題などを検出できます。また、客観的な調査結果を記録として残しておくことで、リスク把握や改善状況を整理しやすくなり、立入検査や監査時に自院の対応状況を説明する材料となります。

限られたITリソースでは対策の優先順位を付ける

ガイドラインの「経営管理編」において、安全管理施策は質の高い医療行為のために必要な「投資」と位置付けられています。組織として必要となる「資源（予算・人材）」の確保が求められますが、小規模医療機関などでセキュリティ施策に割くリソースは限られているのが現状です。セキュリティベンダーなどに客観的な調査を依頼して、自院のセキュリティ状況や課題を把握し、優先順位を付けて対策を進めることが重要です。

客観的な調査には「ASM（Attack Surface Management）」や「脆弱性診断」などがあり、調査範囲・担当者の工数負担・費用などを基準として、自院に適した方法を検討します。調査結果を踏まえたアナリストによる解説ミーティングがオプションとして利用できる調査サービスであれば、調査結果を施策へと落とし込み、専門的視点から具体的な次のアクションを策定できます。各調査の詳細な役割や選定基準などについては、下記のコンテンツを併せてご確認ください。

アクションB.外部事業者によるアクセス・保守を安全に管理する

改定ポイントのうち「クラウド型電子カルテなど外部委託を前提とした運用への対応」「医療情報システムへの二要素認証を強化」に関しては、外部事業者のアクセス制御・管理を改善することで対応できます。ユースケースとしては下記が想定されます。

外部事業者によるリモートアクセスの制御がセキュリティ課題として顕在化している場合に、アクションBを実施することで課題を解消できるでしょう。

機能や役割、ユースケースを比較したうえで導入を検討する

ガイドラインが要求している二要素認証や特権ID管理、アクセス経路の制限、ログ監視などは、実装する場合は複数のセキュリティ領域にまたがります。一般的には各ベンダーが提供するソリューションを比較検討し、セキュリティ体制を構築する必要があります。ITリソースの限られる医療機関においては、導入・運用に際する工数負荷や費用負担が可能な限り軽いセキュリティ構成を考えることが重要です。

当サイトでは今回の改定ポイントに関するセキュリティ施策別の解説記事を掲載しています。各仕組みの役割やユースケース、疑問点はぜひこちらのコンテンツもあわせてご覧ください 。

外部ユーザの認証やアクセス管理に関しては以下のコンテンツを参照ください。二要素認証（MFAなど）や特権ID管理などの側面から外部ユーザ管理についてアプローチしています。

また、通信経路や接続方式に起因するリスクに関しては以下のコンテンツを参照ください。以前から様々な業界で議論されている「ZTNAとVPN」に関する基本知識と、リモートアクセスが増加している業界に向けた新たな選択肢を提案しています。

医療情報システムのガイドラインを実践するために検討したいこと

今回は医療情報システムのガイドラインの解説と、ガイドラインを実践するために必要な考え方やアクション2つを紹介しました。ここまでの解説を踏まえて、最後にIIJで提供している2つのサービスを提案します。

IIJ Safous Security Assessment アタックサーフェス診断

IIJが提供するIIJ Safous Security Assessment アタックサーフェス診断の特徴は短期間・低コストで外部からの攻撃リスクを可視化することであり、前述のアクションAの実践に役立ちます。これまで医療機関をはじめとした様々な企業でセキュリティ対策の第一歩として検討・活用されてきました。主な特徴は以下です。

1. 10個の評価項目ごとに、100点満点から減点方式のスコアリングとランク付けを実施
2. 診断レポートはお申し込みから最大5営業日でご提供
3. 継続的な監視と評価を毎月実施する年間契約と、ワンタイム契約から選べる
4. セキュリティアナリストミーティングも実施可能（オプションメニュー）

アクションAの骨子である「経営層にも納得感ある形で、院内全体として効率的にセキュリティ対策に望むための客観的調査分析・ネクストアクションを整理する」ということを、短期間で実施できます。下記では本サービスのサービスページを公開、紹介資料を無料配布しています。ガイドラインへの対応を検討中の医療関係者の方はぜひご確認ください。

【公式】IIJ Safous Security Assessment アタックサーフェス診断

IIJ Safous 特権リモートアクセス

IIJ Safous 特権リモートアクセスはアクションBに対応するサービスです。ガイドラインで求められている二要素認証や特権ID管理、ログ監視、リモートアクセス用ゲートウェイなどは本来異なる領域です。一般的には「ZTNA」「PAM」など複数のソリューションを組み合わせて構築する方法もありますが、その場合はソリューション毎に運用管理する手間が発生します。

しかし、IIJが提供中のIIJ Safous 特権リモートアクセスは、以下のようなセキュアなリモートアクセスに特化した機能を揃えており、現場の導入時および運用時の負担を、最小限に抑える設計となっています。

1. VPNに依存しないSafousのセキュアなアクセス基盤を経由した通信経路を構築し、アクセス時には二要素認証を実施
2. 医療情報システム内の作業（作業の内容・時間など）は特権ID管理
3. ログ追跡やセッション録画によって作業内容を記録し、インシデント発生時の迅速な原因追跡が可能

つまりアクションBで重要な「医療情報システムに誰がどのようにアクセスし、どのような作業をするのか」を、MFA・特権ID管理・通信経路の制御・ログ監視によりIIJ Safous 特権リモートアクセスなら一気通貫で管理可能です。ガイドラインで求められている外部からのリモートメンテナンス対応の選択肢の一つとして「IIJ Safous 特権リモートアクセス」を一度ご検討ください。

【公式】IIJ Safous 特権リモートアクセス