医療情報システムの安全管理ガイドライン第7.0版｜改定点と2027年4月の二要素認証対応

第7.0版で何が変わったか

第7.0版は、医療機関等を対象としたサイバー攻撃事案の発生が継続していること、サイバー対処能力強化法が成立したことなどを背景に改定されました。第6.0版からの変更点のうち、医療機関の実務に直接影響するものは次の4点です。

これらに共通するのは、「対策を入れたかどうか」ではなく「誰が責任を負い、どう維持しているかを説明できるか」を問う方向に軸足が移っている点です。機器やソフトを導入しただけでは、立入検査や監査の場で準拠を説明できません。

3省2ガイドラインにおける医療機関の立場

医療情報の取り扱いに関するガイドラインは「3省2ガイドライン」と総称されます。2つのガイドラインは対象が異なり、医療機関にとっての使い方も異なります。

事業者向けガイドラインは2025年3月28日に第2.0版へ改定されており、事業者側にも医療機関への開示が求められています。つまり開示書の提出要請は特定のベンダーを疑う行為ではなく、両ガイドラインが前提とする標準的な手続きです。既存ベンダーとの関係を気にして要請をためらう必要はありません。

第7.0版の分冊構成と読み手

第7.0版は5編構成です。院内で「誰がどの編を読むのか」を最初に割り当てておくと、以降の作業分担が明確になります。

二要素認証への対応と2027年4月1日の期限

第7.0版では、二要素認証の対象がクライアント端末およびサーバであることが明確化されました。病棟・外来の共用端末を含め、院内の端末が広く対象になります。期限は2027年4月1日ですが、その時点で対応が困難な場合には次期システム改修時での対応を許容する緩和措置が設けられています。

ここで実務上の判断が分かれます。電子カルテの全面更改が2027年4月より後に予定されている医療機関では、更改時にネイティブな二要素認証を実装する計画を立てておけば違反にはなりません。ただしそれまで何もしなくてよいという意味ではなく、過渡的措置としてネットワーク分離やアクセスログの保存・定期点検を強化し、運用規程・手順書として文書化しておく必要があります。「システム更改までは運用で補い、更改時にシステムで解決する」という計画を文書として示せる状態にしておくことが、監査での説明の前提になります。

認証方式は部門ごとに使い分ける

全院一律の方式は現場で破綻します。端末の使われ方が部門によって大きく異なるためです。

認証方式の選定と並行して、特権IDと共有IDの棚卸も必要です。共有IDが残っていると、二要素認証を導入しても「誰が操作したか」を追跡できず、ログ要件を満たせません。

委託先管理｜MDS/SDSの取得と責任分界の文書化

第7.0版が求める委託先管理の中心は、MDS/SDS（医療情報セキュリティ開示書）の取得と、責任分界の文書化です。電子カルテ・PACS・部門システム・保守事業者のすべてに開示書の提出を求め、内容を項目別に評価します。

この工程はプロジェクトのクリティカルパスになります。大手ベンダーは比較的スムーズに提出しますが、検査機器や部門システムを扱う中小ベンダーではフォーマットに不慣れで、回答までに数か月を要したり、明確な回答が得られないケースが少なくありません。開示書の内容を評価しなければ責任分界表を作れず、ネットワークやバックアップの設計にも着手できないため、着手直後に全ベンダーへ一斉に要請をかけます。未提出の事業者には確認リストを併用し、将来的な対応予定を確認して記録に残す代替アプローチをとります。

責任分界表の粒度

責任分界は、監査や立入検査でそのまま提示できる粒度まで具体化します。以下は責任分界表の例です（◎＝主担当、○＝支援・協力）。

契約・合意書に明記すべき事項

• サービス仕様適合開示書とSLA（稼働率・一次応答時間・復旧目標）
• アップデート・脆弱性対応の責任所在と実施頻度
• 非常時の連絡体制と24時間連絡先の有無
• 再委託の範囲・承認手続・再委託先の開示
• 契約終了時のデータ返却・消去の方法と証明

なお、電子カルテをクラウドへ移行すること自体はガイドライン上の問題になりません。第7.0版はクラウド利用を前提に責任分界の整理を求める構成であり、確認すべきはデータの保存場所と準拠法、事業者との責任分担、サービス仕様適合開示書とSLAの有無の3点です。オンプレミスかクラウドかという設置形態ではなく、どちらが何に責任を負うかが文書化されているかどうかが判断基準になります。

バックアップとサイバーセキュリティBCP

ランサムウェア被害が継続している状況を受け、第7.0版は診療停止リスクを前提とした復旧設計を求めています。バックアップは3-2-1原則で設計します。

そのうえで、システムごとに復旧目標を合意します。全システムを同じ水準で復旧させようとすると投資が過大になるため、診療への影響度で差をつけます。

サイバーセキュリティBCPには、診療継続の判断基準（どの状態でどこまで縮退するか）、検知から初動・封じ込め・復旧・事後対応までの手順と責任者、紙運用への切替手順（伝票様式・指示簿・処方の代替）、行政・関係機関への報告経路と様式、患者・家族への説明方針、年1回の訓練計画を含めます。要件は文書があることではなく、非常時に実際に動けることです。年1回の訓練で検証し、手順の不備を洗い出します。

準拠状態をつくる進め方

システム構築と規程整備を分けて進めると、準拠状態は維持できません。設計と同時に規程・責任分界・訓練までを組み立てます。標準的には6か月・4フェーズで進めます。

クリティカルパスは機器の調達リードタイムと開示書の回収です。ギャップ分析を最初に置き、是正範囲を確定してから設計に入ると手戻りを防げます。切替は診療への影響を避けるため、診療時間外での段階移行を原則とし、移行前に切り戻し手順を用意してパイロット部門で検証します。

準拠要件チェックリスト

ギャップ分析の際に確認する項目です。判定結果をそのまま是正計画と経営層への報告に接続できる形で記録します。

組織・体制

• ☐ 責任者・企画管理者・運用担当の任命
• ☐ 情報セキュリティ方針・規程の策定と承認
• ☐ 経営層によるリスク評価結果の承認
• ☐ 定期的な自己点検と経営層への報告
• ☐ 内部監査または外部監査の実施体制
• ☐ 職員教育の計画と実施記録
• ☐ 委託先・派遣職員を含む統制対象の明確化

技術的対策

• ☐ 診療系／情報系ネットワークの分離
• ☐ 端末・サーバへの二要素認証
• ☐ 特権ID・共有IDの棚卸と個別化
• ☐ 職種・部門別のロール設計
• ☐ 保存時・通信時の暗号化
• ☐ リモート保守経路の限定と接続記録の取得
• ☐ サポート期限切れ機器の棚卸と更改計画

委託先管理

• ☐ 全ベンダーからのMDS/SDS取得と評価
• ☐ 責任分界の文書化
• ☐ アップデート責任の契約への明記
• ☐ 再委託の承認プロセスと再委託先の開示
• ☐ 非常時の連絡体制・エスカレーション経路
• ☐ クラウド利用時の保存場所・準拠法の確認
• ☐ 契約終了時のデータ返却・消去の取り決め

よくある質問

第7.0版はいつ発出され、第6.0版から何が変わりましたか？

厚生労働省が2026年6月に発出しました。医療機関の実務に影響する主な変更は、保守を受託する事業者向けの「保守委託機関編」が新設されたこと、根拠法にサイバーセキュリティ基本法が追加されたこと、二要素認証の対象がクライアント端末およびサーバであると明確化されたこと、第6.0版で別立てだった小規模医療機関等向け・クラウドサービス利用機関向けの内容が分冊構成の再編により整理されたことの4点です。

二要素認証はいつまでに対応する必要がありますか？

2027年4月1日が期限です。ただし、その時点で対応が困難な場合には次期システム改修時での対応を許容する緩和措置が設けられています。電子カルテの全面更改が2027年4月より後に予定されている場合は、更改時にネイティブな二要素認証を実装する計画を文書化しておけば違反にはなりません。ただしそれまで何もしなくてよいわけではなく、過渡的措置としてネットワーク分離やアクセスログの保存・定期点検を強化し、運用規程として文書化しておく必要があります。

ガイドラインに対応しなかった場合、罰則はありますか？

ガイドライン自体に直接の罰金規定はありません。ただし、個人情報保護法上の安全管理措置義務や、医療法施行規則で病院等の管理者に求められるサイバーセキュリティ確保の措置を具体化したものと位置づけられています。第7.0版では根拠法にサイバーセキュリティ基本法が追加され、医療機関を重要インフラとして扱う前提が強まりました。立入検査や監査では対応状況を問われるため、罰則の有無ではなく、事故が起きた際に責任を問われる基準線として扱うことをおすすめします。

MDS/SDSとは何ですか。なぜ早期に取得する必要がありますか？

MDS/SDSは医療情報セキュリティ開示書で、医療情報システムやサービスを提供する事業者が自社の安全管理措置を医療機関に開示するための文書です。早期に取得すべき理由は、これがプロジェクトのクリティカルパスになるためです。電子カルテやPACSの大手ベンダーは比較的スムーズに提出しますが、検査機器や部門システムの中小ベンダーではフォーマットに不慣れで回答に数か月を要することがあります。開示書を評価しなければ責任分界表の作成やネットワーク設計に着手できないため、プロジェクト開始直後に全ベンダーへ要請します。

専任のシステム担当がいない医療機関でも対応できますか？

対応できます。第7.0版では、セキュリティ人材が不足する医療機関を想定して保守委託機関編が新設され、委託先に何を求めるかを明文化できるようになりました。専任者を新たに置かなくても、点検の実施・記録の作成・ベンダーとの調整は外部に委託する設計が可能です。ただし、自己点検結果の承認とセキュリティ方針の決定は医療機関側に残ります。ここを外部に委ねると、第7.0版が求める経営層の関与という要件を満たせなくなるためです。

まとめ

第7.0版が求めているのは、対策を導入することではなく、準拠している状態を運用し続け、監査で説明できることです。二要素認証は2027年4月1日が期限ですが緩和措置があり、期限までに間に合わない場合でも過渡的措置を文書化しておけば対応できます。むしろ着手が遅れて影響が出やすいのは、MDS/SDSの回収と責任分界の文書化です。ここは相手のあるプロセスで、回収に数か月を要することがあります。まず資産・契約の棚卸とギャップ分析から始め、是正範囲を確定してから設計に入ってください。

ガイドラインの全体像や基本的な安全管理措置については医療情報システムの安全管理ガイドライン解説を、ランサムウェア対策やクラウドを活用した実装例については医療機関のサイバーセキュリティ対策を併せてご覧ください。