【第7.0版】医療情報システムの安全管理に関するガイドライン｜改定の5つのポイント

「医療情報システムの安全管理に関するガイドライン」は、厚生労働省が医療機関・薬局向けに示している、電子カルテなどの医療情報システムを安全に使うための指針です。経済産業省・総務省の事業者向けガイドラインとあわせて「3省2ガイドライン」と呼ばれます。

令和8年6月29日の通知で、第7.0版の策定が示されました。前の第6.0版は令和5年5月の策定です。通知は、改定の背景として、医療機関等を対象としたサイバー攻撃事案が続いていること、サイバー対処能力強化法の成立、事業者向けのガイドラインが第2.0版に改定されたことなどを挙げています。

この記事では、厚生労働省の策定通知と、令和8年9月に掲載されたQ&Aの原文をもとに、何が変わったかと、小さなクリニックで確かめておきたいことをまとめます。

第7.0版の構成

第7.0版は、次の5つの編で構成されています。厚生労働省のページでは編ごとにPDFが分かれています。

• 概説編
• 経営管理編
• 企画管理編
• システム運用編
• 保守委託機関編（第7.0版で新しく作られた編）

Q&A（令和8年9月）も、この5つの編ごとに問と答えが並んでいます。

改定の5つのポイント

策定通知の「改定の概要」に書かれている内容を、5つに分けて並べます。「第6.0版」の欄は、通知の書き方から読み取れる範囲だけを書いています。

ポイント	第6.0版	第7.0版
1. 全体の構成	保守委託機関編はない	保守委託機関編を追加
2. 関連する法令・リスク	—	関連する法令にサイバーセキュリティ基本法を追加。サプライチェーンリスクを追記
3. 事業者との関係・クラウド	—	医療機関等と事業者との役割分担やリスクコミュニケーションを追記。クラウドサービスの積極的な活用を推進する旨を追記
4. パスワード	「定期的な変更」が要件にあった	使い回しの禁止とアカウントロックを追記。「定期的な変更」の要件を削除
5. 二要素認証	対象が明確になっていなかった	クライアント端末とサーバで対応することを明確化。令和9年4月1日時点で対応が難しい医療機関等は、次期システム改修での対応を許容

パスワード：定期変更をやめ、使い回し禁止とアカウントロック

通知は「定期的な変更」を、セキュリティ面の強化につながらないとされる要件として削除したと説明しています。代わりに、同じパスワードを複数のシステムで使い回さないことと、何度も間違えたときにアカウントをロックすることが書き加えられました。

二要素認証：端末とサーバで

二要素認証は、医療情報システムのうちクライアント端末とサーバで対応することが明確になりました。これまで対象がはっきりしていなかったことも踏まえ、令和9年4月1日の時点で対応が難しい医療機関等には、次のシステム改修のときに対応することを認める緩和措置が設けられています。

この2点は、同じ日に通知された令和8年度版のサイバーセキュリティ対策チェックリストの項目にも反映されています（後述）。

小さなクリニックに一番関係するところ：保守委託機関編

新しく加わった保守委託機関編は、通知によると、専門人材が不足している小規模医療機関を想定したものです。

すべての編を読み込むのが難しい医療機関にとって、守る範囲がはっきりする仕組みです。ただし、次の3つの条件に注意が要ります。

1. 「サーバ」には、サーバの役割をしているパソコンも入る

通知は、ここでいうサーバに「CD-Rで電子カルテのアプリケーションをインストールして運用するなど、サーバ機能を果たすPC等の端末」も含むと書いています。受付の奥に置いたパソコンが電子カルテのデータを持っているなら、そのパソコンのセキュリティ更新も事業者に任せている必要があります。

2. 契約書・約款・SLA等に書かれていること

Q&Aの保守委託機関編Q3は、事業者がセキュリティアップデートをしているようでも、契約書に記載がない場合は「対象とは判断できません」と答えています。事業者が責任を負うことが契約書、約款、SLA等に明記されている必要があり、はっきりしない場合は事業者に確認して書面等で明確にするよう求めています。

また、同Q2は、対象かどうかは医療機関の規模だけでは判断しないとしています。

3. MDS/SDSの「別紙」の項目を確かめる

MDS/SDSは、医療情報システムやサービスのセキュリティ対応状況を事業者が開示するための資料です（保守委託機関編Q4）。Q&Aは次のように使うよう示しています。

• 事業者から提出してもらい、保守委託機関編の別紙に示された項目が「はい」または「対象外」になっているかを確かめる（Q5）
• 「いいえ」がある事業者を選ぶ場合は、不足する対策と代わりの措置を検討し、医療機関の責任でリスクを評価して導入を判断する（Q6）
• 導入時に一度確かめれば終わりではなく、製品の更新やサービス内容の変更、ガイドラインの更新に合わせて確かめ直す（Q7）

「ネットから切り離せば安全」とは言えない

Q&Aのシステム運用編Q16は、「マルウェア対策等が大変なので、外部と遮断した環境を設定する方が望ましいのか」という問いに、「外部との遮断だけでは不十分で、環境に応じた多層防御が必要です」と答えています。

理由として、閉域網の環境でもVPN装置の脆弱性を使ったサイバー攻撃が複数起きていること、持ち込まれる媒体、保守のための接続、内部不正、脆弱性のリスクが残ることを挙げ、更新・マルウェア対策・監視などを行うよう求めています。

giverthが提案している院内だけで動くAIも、考え方は同じです。外とつながらない構成にしても、保守の接続口や機器の更新、ログの確認は残ります。院内にAIを置く場合も、VPN機器や遠隔保守の回線など外部とつながる口を先に確かめ、更新と監視の手順をあわせて決めておく必要があります。

令和8年度版サイバーセキュリティ対策チェックリストとの関係

第7.0版の策定と同じ令和8年6月29日に、令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」も通知されています。チェックリストは医療法に基づく立入検査で確認され、令和8年度中にすべての項目で「はい」にすることが求められています。

パスワードの項目から「定期的に変更」が外れたこと、二要素認証の項目が端末とサーバの2つに分かれたことは、上で見た第7.0版の改定と対応しています。チェックリストの変わった点は、令和7年度版と1項目ずつ見比べた令和8年度版チェックリストの変更点にまとめています。

生成AIについて

第7.0版のQ&Aには、生成AIのサービスに医療情報を入力する場合の問が1つあります（企画管理編Q18）。入力した情報が保存されないことが契約等で担保されている場合のサーバの扱いについての問です。内容と、院内で先に決めておきたいことは、3省2ガイドラインと生成AI｜ChatGPTに患者の個人情報を入れてよいかで解説しています。

よくある質問

医療情報システムの安全管理に関するガイドラインの最新版は何版ですか？

第7.0版（令和8年6月）です。令和8年6月29日の通知（産情発0629第1号）で策定が示されました。前の第6.0版は令和5年5月の策定です。Q&Aは令和8年9月版が厚生労働省のページに掲載されています（2026年10月22日確認）。

第7.0版で何が変わりましたか？

策定通知が挙げる改定の概要は、保守委託機関編の追加、関連法令へのサイバーセキュリティ基本法の追加とサプライチェーンリスクの追記、事業者との役割分担・リスクコミュニケーションとクラウドサービスの積極的な活用の追記、パスワードの使い回し禁止・アカウントロックの追記と定期的な変更の要件の削除、二要素認証をクライアント端末とサーバで対応することの明確化と緩和措置です。

ガイドラインを守らないと罰則はありますか？

Q&A（経営管理編Q3）は、ガイドライン自体に独立した罰則はないとしています。ただし、ガイドラインに反する状態は、e-文書法、個人情報保護法、医療法その他の関係法令上の義務を満たしていないと評価される可能性があり、医療法に基づく立入検査の中でガイドラインに基づいた指摘を受ける可能性もあるとしています。

保守委託機関編はどの医療機関が対象ですか？

Q&A（保守委託機関編Q1〜Q3）によると、すべてのサーバのセキュリティアップデート責任を事業者に委託している医療機関等が対象です。規模だけでは判断しません。事業者が責任を負うことが契約書・約款・SLA等に明記されていない場合は、対象とは判断できないとしています。