【令和8年度版】サイバーセキュリティ対策チェックリストの変更点｜医療機関・薬局

厚生労働省は、医療機関と薬局に「サイバーセキュリティ対策チェックリスト」を示し、立入検査でその記入状況を確認しています。令和8年6月29日の通知で、令和8年度版のチェックリストとマニュアルが示されました。

通知には「一部項目の見直しを行う」とありますが、どの項目をどう変えたかの対照表はありません。また、2026年10月17日時点で、厚生労働省の医療分野のサイバーセキュリティ対策のページは令和7年度版の掲載のままです。この記事では、令和7年度版（医療機関確認用）と令和8年度版（医療機関・薬局確認用）の原本を1項目ずつ見比べて、変わった点をまとめます。厚生労働省が公表した変更点の一覧ではなく、giverthが見比べた結果です。

令和8年度版で変わった点（令和7年度版との比較）

チェック項目の行数は、どちらも19です。中身が変わったのは次の項目です。番号は令和8年度版のものです。

安全管理責任者（1-①）、アクセス権限（2-④）、不要なアカウント（2-⑤）、セキュリティパッチ（2-⑥）、パスワードの使い回し（2-⑧）、USB等の接続制限（2-⑨）、連絡体制図（3-①）、規程類（4-①）の文言は変わっていません。アクセスログと接続元制限は、番号が2-⑬・2-⑭に移りました。

パスワード：記号と定期変更がなくなり、二要素認証までは13桁

令和7年度版は「英数字、記号が混在した8文字以上」で「定期的に変更」を求め、二要素認証か13文字以上なら定期的な変更は不要としていました。令和8年度版は「英数字の混在した8桁以上」で、二要素認証を採用するまでの期間は13桁以上です。記号の混在と定期的な変更は、項目の文言から外れました。

マニュアルでは「強固なパスワード」を、次のどちらかとしています（マニュアル p.10）。

• 英数字を混在させた13桁以上の推定困難な文字列
• 二要素以上の認証の場合、英数字を混在させた8文字以上の推定困難な文字列

つまり、二要素認証をまだ入れていない端末やサーバでは、8桁のパスワードのままでは「はい」にできません。出荷時のパスワードから変えること、モニターに付箋で貼らないことも求められています。サーバやネットワーク機器のパスワードを事業者が管理している場合は、事業者確認用のチェックリストで確認します。

二要素認証：端末とサーバの2項目に分かれた

令和7年度版の「二要素認証を実装している。または令和9年度までに実装予定である。」は、令和8年度版で次の2つに分かれました。

• 端末：アプリケーションログイン時の二要素認証（2-⑪）
• サーバ：OSログイン時の二要素認証（2-⑫）

どちらも、まだ実装していなくても「令和９年度以降初回のシステム更改時に実装予定」であれば「はい」にできる書き方です。マニュアルは、医療情報システムの安全管理に関するガイドライン5.1版以降、令和9年度時点で稼働していることが想定されるシステムを新規導入・更新するときに二要素認証の採用を求めていると説明し、計画的なシステム更新を勧めています（p.12〜13）。

• サーバについては、別ドメインの踏み台端末からの接続に限るなどの条件を満たせば、二要素認証を実装できているものとみなす「みなし措置」も示されています（p.13）
• 医療機器への二要素認証は、ガイドライン第7.0版への改定で見送られ、現時点では必須ではありません（p.12）

医療機関用と薬局用の統合

令和7年度は「医療機関確認用」と「薬局確認用」が別々でした。令和8年度版は、項目が共通であることから統合され、「医療機関・薬局確認用」になりました。マニュアルも「医療機関・薬局・事業者向け」になっています。通知は、医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月29日）の策定を踏まえた見直しとしています。

令和8年度中に「すべて『はい』」——立入検査で確認されること

医療機関・薬局確認用の冒頭には「立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」とあります。「いいえ」の項目は、令和8年度中の対応目標日を記入します。

マニュアルによると、立入検査では次のことが確認されます（p.4）。

• 医療機関・薬局確認用と事業者確認用のすべての項目に、確認日と回答が記入されていること
• 次の4つは現物を確認するので、立入検査までに作っておく

このほか、アクセスログは立入検査の際に直接確認する可能性があるとされています。少なくとも、利用者のログイン時刻・アクセス時間・操作内容が特定できるように記録します（p.14）。チェックリストを使った点検は、少なくとも年に1回行います（p.4）。

事業者確認用（15項目）も回収する

• 電子カルテなどのシステムを提供・保守している事業者ごとに「事業者確認用」を送り、回収します（p.3）
• 事業者確認用には「対象外」という選択肢があり、「対象外」の項目は保守契約の範囲外として医療機関・薬局側が責任を負います（p.3）
• 売買契約だけで保守の契約がないシステムは、事業者確認用による確認は不要です。その場合、2-②・2-③の確認も求められませんが、保守管理の責任は医療機関・薬局が負います（p.3・p.4）

よくある質問

令和8年度版のサイバーセキュリティ対策チェックリストは、令和7年度版から何が変わりましたか？

医療機関用と薬局用が1つに統合され、医療機関・薬局確認用になりました。項目では、パスワードが「英数字の混在した8桁以上。二要素認証を採用するまでの期間は13桁以上」に変わり、記号の混在と定期的な変更は求められなくなりました。二要素認証は、端末のアプリケーションログインとサーバのOSログインの2項目に分かれました。チェック項目の行数は、令和7年度版と同じ19です。通知に新旧の対照表はないため、これは令和7年度版と令和8年度版の原本を見比べた結果です。

パスワードは何桁にすればよいですか？

令和8年度版のチェックリストは「パスワードは英数字の混在した8桁以上としている。※二要素認証を採用するまでの期間は13桁以上としている」です。マニュアルでは、強固なパスワードを、英数字を混在させた13桁以上の推定困難な文字列、または二要素以上の認証の場合は英数字を混在させた8文字以上の推定困難な文字列としています。

立入検査では何を確認されますか？

マニュアルによると、医療機関・薬局確認用と事業者確認用のすべての項目に確認日と回答が記入されていることが確認されます。このうち、サーバ・端末・ネットワーク機器の台帳、インシデント発生時の連絡体制図、事業継続計画（BCP）、規程類は現物を確認するとされています。アクセスログも直接確認する可能性があるとされています。

令和8年度版のチェックリストはどこで入手できますか？

令和8年6月29日付の通知（医政参発0629第1号・医薬総発0629第1号）の別添1・別添2です。2026年10月17日時点では、厚生労働省の医療分野のサイバーセキュリティ対策のページは令和7年度版の掲載のままで、令和8年度版は都道府県のページに通知とあわせて掲載されています。