医療機関を狙うランサムウェア攻撃が相次ぎ、電子カルテが止まって診療そのものが立ち行かなくなる被害が全国で報告されています。患者の生命と機微な個人情報を預かる医療機関にとって、情報システムのセキュリティはもはや「余裕があれば取り組む課題」ではなくなりました。
こうした状況のなかで、国が医療機関に向けて示しているのが「医療情報システムの安全管理に関するガイドライン」です。厚生労働省が策定し、2026年6月には最新の第7.0版が公表されました。二要素認証の扱いやパスワードの運用など、現場に直接関わる見直しが複数含まれています。
一方で、ガイドラインは各編に分かれた大部の文書で、「結局、自院は何を・いつまでにやればよいのか」がつかみにくいという声も少なくありません。専任のIT担当者を置けない診療所や薬局では、読み解くだけでも大きな負担になります。
本記事では、ガイドラインの正式名称や所管・対象といった基本から、第7.0版の改定ポイント、求められる安全管理対策の全体像、そして自院が何から着手すればよいかの進め方までを解説します。あわせて、求められる対策を実現する手段として利用できるサービスも紹介します。
目次
一括ダウンロードする
医療情報システムの安全管理に関するガイドラインとは
はじめに、ガイドラインの正体を押さえます。正式名称・所管・対象、そして「法令ではないのに、なぜ守る必要があるのか」という疑問から解消していきます。
正式名称・所管・対象（病院・診療所・歯科・薬局など）
「医療情報システムの安全管理に関するガイドライン」は、厚生労働省が策定している医療機関向けのセキュリティ指針です。初版は2005年（平成17年）3月に公表され、技術や制度の変化にあわせて改定が重ねられてきました。現行は第7.0版で、2026年（令和8年）6月29日付の通知で策定されています。1つ前の版は第6.0版（2023年5月）でした。
対象となるのは、病院や診療所だけではありません。ガイドラインの概説編は、対象とする「医療機関等」の範囲を次のように示しています。
医療機関等とは、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワーク運営事業者等を想定する。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 概説編｜厚生労働省
このように、病院・診療所・歯科・薬局に加えて、訪問看護ステーションや介護事業者なども含まれます。そして、これらの施設において医療情報システムの導入・運用・利用・保守・廃棄に関わるすべての人が、ガイドラインの対象として位置づけられています。
ガイドラインは1冊の文書ではなく、役割ごとに分かれた編で構成されています。全体像を示す概説編、経営層向けの経営管理編、システムの企画・管理を扱う企画管理編、日々の運用を扱うシステム運用編、そして小規模医療機関向けの保守委託機関編の5編です。以降では、この編を挙げながら求められる内容を見ていきます。
なぜ遵守が求められるのか（法令ではないが実質的に遵守が求められる理由）
ガイドライン自体は法律ではありません。それでも実質的に遵守が求められるのは、複数の法令や制度と結びついているためです。概説編は、ガイドラインの直接の目的を次のように説明しています。
本ガイドラインの直接の目的は個人情報保護法と e-文書法への対応であるが、加えて、本ガイドラインはサイバーセキュリティ基本法に基づく「重要インフラのサイバーセキュリティに係る安全基準等策定指針」を参照して作成されている。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 概説編｜厚生労働省
さらに、医療機関の管理者には医療法によってサイバーセキュリティ確保の措置が義務づけられています。医療法施行規則第14条第2項は、病院・診療所・助産所の管理者が「サイバーセキュリティを確保するために必要な措置を講じなければならない」と定めています。これは努力義務ではなく、措置を講じること自体を求める義務規定です。
出典・参考資料（1件）
加えて、診療報酬の面でも関連の要件が設けられています。令和6年度の診療報酬改定では、診療録管理体制加算の施設基準に、ガイドラインを踏まえた非常時の体制整備（事業継続計画の策定と訓練）や職員への情報セキュリティ研修などが組み込まれました。一定規模の病院には、専任の医療情報システム安全管理責任者の配置も求められます。安全管理への取り組みは、報酬上の評価とも結びついています。
出典・参考資料（1件）
医療機関向けと事業者向け（2省ガイドライン）はどう違うか
医療情報システムのセキュリティに関する国の指針は、実は1つではありません。読者が迷いやすいのが、自院が従うべきなのはどちらか、という点です。概説編は役割分担を次のように整理しています。
医療情報システムの安全管理については、医療機関等向けには本ガイドライン、医療情報に関するシステム・サービスを提供する事業者向けには、総務省・経済産業省により 2 省ガイドラインが定められている。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 概説編｜厚生労働省
病院や診療所などの医療機関が従うのが厚生労働省のガイドラインです。一方、電子カルテやクラウドなどのシステム・サービスを提供する事業者が従うのが、経済産業省・総務省による「2省ガイドライン」です。両者の違いを整理すると、次のようになります。
| 区分 | 医療機関向け | 事業者向け（2省ガイドライン） |
|---|---|---|
| 対象 | 医療機関等（病院・診療所・歯科・薬局・訪問看護・介護事業者など） | 医療情報を取り扱うシステム・サービスの提供事業者（クラウド事業者など） |
| 所管 | 厚生労働省 | 経済産業省・総務省 |
| 正式名称 | 医療情報システムの安全管理に関するガイドライン（第7.0版） | 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（第2.0版） |
| 守る立場 | 自院のシステム・情報を安全に管理する | 医療機関に提供するシステム・サービスの安全を担保する |
厚生労働省・経済産業省・総務省の各ガイドラインをもとに作成
自院でシステムを選び運用する医療機関は、厚生労働省のガイドラインを基準に据えます。そのうえで、利用するクラウドや電子カルテの提供元が2省ガイドラインに沿っているかを確認する、という役割分担になります。
第7.0版（令和8年6月）の改定ポイント
ここからは、第7.0版で何が変わったのかを見ていきます。現場の運用に直結する見直しが中心で、なかでも二要素認証の扱いは、対応時期が定められた点が大きな変更です。主な変更点は次のとおりです。
| 版 | 第6.0版まで | 第7.0版（主な変更） |
|---|---|---|
| 二要素認証 | 対象が明確に示されていなかった | クライアント端末とサーバで採用（令和9年（2027年）4月1日が基準、困難時は緩和措置） |
| パスワードの定期変更 | 定期的な変更を求める | 定期変更の要件を削除 |
| パスワードの運用 | 使い回し禁止・ロックは明示なし | 使い回しの禁止・アカウントロックを追記 |
| 全体の構成 | 4編（概説・経営管理・企画管理・システム運用） | 保守委託機関編を加えた5編 |
| 外部委託・クラウド | 限定的な記載 | サプライチェーンリスクを追記、クラウド活用を推進 |
厚生労働省「第7.0版の策定について（改定概要）」をもとに作成
二要素認証の遵守事項化（対応時期・対象・緩和措置）
第7.0版の変更のうち、現場への影響が大きいのが二要素認証の扱いです。ガイドラインのシステム運用編は、二要素認証の採用を【遵守事項】として次のように定めました。
令和９年度（令和9年4月1日時点）時点で稼働していることが想定される医療情報システムを、今後、新規導入又は機器の入替等を伴うシステム更改をするに際しては、二要素認証を採用、又はこれに相当する対応を行うこと。なお技術的な理由等により令和９年度までの対応が困難な場合には、令和９年度以降、直近の次期の医療情報システムの更新までを期限とする。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編｜厚生労働省
かみ砕くと、次に医療情報システムを新規導入・更改するときに二要素認証を取り入れればよい、というのが基本の考え方です。基準となるのは令和9年（2027年）4月です。
注意したいのは、ガイドラインの表現が「義務化」ではなく「遵守事項」「採用すること」である点です。基準となるのは令和9年（2027年）4月1日時点で稼働が想定されるシステムで、それを新規に導入したり更改したりする際に二要素認証を採用することが求められます。技術的な事情で対応が難しい場合には、次期のシステム更新までを期限とする緩和措置が設けられています。
対象はクライアント端末とサーバの両方です。システム運用編は、クライアント端末では電子カルテなどのアプリケーションのログイン時に、サーバではOSでの二要素認証を実装するよう求めています。利用する端末だけでなく、その先のサーバまで含めて見直す必要があります。
当面システムを入れ替える予定がない医療機関は、ただちに切り替える義務はありません。ただし次の更新時に確実に対応できるよう、今のうちから導入計画に織り込んでおくと、あわてずに済みます。
そもそも二要素認証（多要素認証）とは何を組み合わせる仕組みなのか、よく似た「二段階認証」とは何が違うのかを基礎から確認しておきたい場合は、次の記事がわかりやすく整理しています。
パスワードルールの変更（定期変更の廃止・使い回し禁止・アカウントロック）
パスワードの運用方針も見直されました。第7.0版の発出通知に添えられた改定概要は、変更点を次のように説明しています。
パスワードルールに関して、使い回しの禁止、アカウントロックの導入について追記する一方で、セキュリティ面の強化につながらないとされる「定期的な変更」の要件を削除。
出典：「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について（改定概要）｜厚生労働省
長年の慣行だった「パスワードの定期変更」は、かえってセキュリティを弱めるという国際的な知見を受けて要件から外されました。代わりに重視されるのが、異なるシステム間でのパスワードの使い回しを避けることと、一定回数ログインに失敗したらアカウントをロックする仕組みです。運用ルールの見直しが必要になります。
保守委託機関編の新設（専任担当のいない小規模医療機関向け）
第7.0版では、新たに「保守委託機関編」が加わりました。これにより、ガイドラインは概説編・経営管理編・企画管理編・システム運用編の4編に、保守委託機関編を加えた5編構成になっています。専任のシステム担当者を置けない小規模な医療機関を念頭に置いた編です。改定概要は、その趣旨を次のように説明しています。
保守委託機関編においては、専門人材が不足している小規模医療機関を想定し、すべてのサーバ（※）におけるセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等においては、保守委託機関編を遵守することで、その他の編の項目も遵守できているものとみなす旨を追記。
出典：「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について（改定概要）｜厚生労働省
システム保守を事業者に十分に委託している小規模医療機関であれば、保守委託機関編を守ることで、ほかの編の項目も満たしているとみなされます。自前ですべてを管理するのが難しい診療所や薬局にとって、現実的な選択肢が示されたかたちです。
クラウド・外部委託・サプライチェーンリスクへの対応
システムの外部委託やクラウド利用が広がったことを受けて、第7.0版はこれらへの対応も追記しました。改定概要は、関連する見直しを次のように挙げています。
重要インフラのサイバーセキュリティに係る安全基準等策定指針への対応として、ガイドラインに関連する法令にサイバーセキュリティ基本法を追加するとともに、サプライチェーンリスクについて追記。
出典：「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について（改定概要）｜厚生労働省
委託先やその先の取引先を経由して攻撃が及ぶサプライチェーンリスクへの備えが、新たに盛り込まれました。あわせて、改定概要はクラウドサービスの積極的な活用を推進する旨も追記しています。自院だけで抱え込まず、信頼できる外部の仕組みを活用する方向が後押しされています。委託先の選定や監督の考え方は、企画管理編が詳しく扱っています。
ガイドラインが求める対策（組織的・物理的・技術的・人的の安全管理）
改定ポイントを押さえたところで、ガイドラインが求める対策の全体像を整理します。個人情報保護法の安全管理措置で用いられる「組織的・物理的・技術的・人的」という4つの視点を手がかりにすると、自院で点検すべき項目を漏れなく拾いやすくなります。それぞれに、ガイドライン各編が求める事項を当てはめて見ていきます。
組織的安全管理（管理体制・規程・経営層の関与・外部委託先の監督）
組織的安全管理は、情報を守るための体制とルールを整えることです。ガイドラインは、安全管理に関する方針や計画の策定、組織体制の整備、規程類の整備と運用を求めています。
経営管理編は、こうした取り組みに経営層が責任を持って関与することを位置づけており、サイバー攻撃を想定した事業継続計画（BCP）の整備もこの流れに含まれます。システムを外部に委託する場合は、委託先を適切に選び、監督することも組織的安全管理の一部です。
物理的安全管理（サーバ室・端末・記録媒体の管理）
物理的安全管理は、機器やデータを物理的に守る対策です。システム運用編は、サーバを設置する区画の入退室管理や、端末・記録媒体の適切な管理を求めています。許可のない人がサーバや端末に触れられないようにし、USBメモリなどの記録媒体の持ち出しや廃棄のルールを定めることが含まれます。
技術的安全管理（認証・アクセス管理・ログ管理・ネットワーク・暗号化・バックアップ）
技術的安全管理は、システムの仕組みで情報を守る対策で、求められる項目が最も多い領域です。システム運用編は、利用者の識別と認証、権限に応じたアクセス管理、操作や通信のログの記録と点検、ネットワークに関する安全管理、外部からの攻撃への備え、障害や被害に備えたバックアップを求めています。
マイナンバーなどを含む通信の暗号化も、この領域に位置づけられます。前の章で見た二要素認証やパスワードの運用も、技術的安全管理の具体策にあたります。
人的安全管理（従業者の教育・訓練）
人的安全管理は、情報を扱う職員に関する対策です。企画管理編は、従業者に守秘義務を課し、違反時の取り扱いを定めることや、情報セキュリティに関する教育・訓練を継続的に行うことを求めています。どれほど仕組みを整えても、職員が不審なメールを開けば被害は起こります。日々の運用を担う人への教育は、技術的な対策と同じくらい重要です。
出典・参考資料（2件）
自院は何から着手すればよいか
対策の全体像がわかっても、いきなりすべてに取りかかるのは現実的ではありません。ここからは、限られた人手でも進められる着手の手順を整理します。
- IT資産の棚卸し：院内にあるサーバ・端末・ネットワーク機器・利用中のクラウドサービスを洗い出し、どこに何の情報があるかを把握します。
- リスクの分析・評価：洗い出した資産ごとに、どのような脅威があり、被害を受けたときの影響はどの程度かを見極めます。
- 優先度づけ：影響が大きく、対応が遅れている項目から優先順位をつけます。二要素認証のように対応時期が定められた項目は、早めに計画へ組み込みます。
- 対策の実施と見直し：優先度の高いものから対策を講じ、運用しながら定期的に点検・改善していきます。
この手順をすべて自力で回すのが難しい場合は、まず厚生労働省が公表しているチェックリストを上から確認するところから始めれば十分です。第7.0版と同時期に示された「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」で、自院の対応状況を項目ごとに点検できます。
サイバー攻撃を想定した事業継続計画（BCP）のひな形も公開されており、非常時の体制づくりに活用できます。自院でサーバを持たず、クラウドや保守事業者に委託している場合は、対応範囲を後述の保守委託機関編が押さえる部分に絞り込めます。
専任担当がいない場合の現実的な進め方（外部委託・クラウド・支援の活用）
専任のIT担当者がいない医療機関では、すべてを自前でまかなうのは困難です。その場合は、前述の保守委託機関編が示すように、システム保守を信頼できる事業者に委託する方法が現実的です。セキュリティアップデートの適用を含めて委託していれば、保守委託機関編を守ることでガイドラインの遵守とみなされます。
職員教育についても、厚生労働省は医療機関向けのセキュリティ教育支援ポータル（MIST）を通じて、経営者向けや管理者向けなど階層別の学習教材を提供しています。外部のサービスや公的な支援を組み合わせれば、人手が足りなくても一定の水準を保てます。
出典・参考資料（1件）
一括ダウンロードする
対策を実現するサービス・ソリューション
ここからは、ガイドラインが求める対策を実現する手段となるサービスを紹介します。二要素認証やアクセス管理、操作ログの記録、ネットワークの監視、バックアップ、端末のデータ保護など、要求される領域ごとに利用できる選択肢があります。いずれもガイドラインの要求に応えるための一手段であり、自院の課題に合うものを資料で見比べてください。
ここで取り上げるのは医療機関の課題に合わせて絞り込んだ一部です。認証・アクセス管理・ログ管理・ネットワーク監視・バックアップといった社内セキュリティ全般について、守る対象別のタイプや選び方を横断で比較したい場合は、次のまとめ記事が参考になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
| サービス名 | CloudGate UNO | YubiKey as a Service | Network Blackbox | KATABAMI | Shadow Desktop | DZ Pass | Acronis Cyber Protect Cloud |
|---|---|---|---|---|---|---|---|
| 提供会社 | 株式会社インターナショナルシステムリサーチ | 株式会社インターナショナルシステムリサーチ | 株式会社クワッドマイナージャパン | 株式会社SYNCHRO | アップデータ株式会社 | 株式会社AnchorZ | Acronis International GmbH |
| 主な役割 | SSO・多要素認証・アクセス管理のクラウドID基盤（IDaaS） | 物理セキュリティキーによる多要素認証（サブスク提供） | 全パケットを記録・分析するネットワーク監視（NDR） | 脆弱性診断とイミュータブルバックアップ（伴走支援付き） | 端末にデータを残さないデータレスクライアント | 継続認証によるパスワードレスログイン・不正利用対策 | バックアップ・復旧とマルウェア対策（EDR/XDR）を統合 |
| 二要素認証・アクセス管理 | ◎ | ● | × | × | × | ● | × |
| ネットワーク監視・ログ | △認証・操作ログ | × | ◎ | × | × | × | × |
| バックアップ・復旧 | × | × | × | ◎ | △オプションで世代管理・復旧 | × | ◎ |
| 端末のデータ保護 | × | × | × | × | ◎ | △離席・のぞき見対策 | × |
| 料金の目安 | Standard Plus 月額440円〜／ユーザー（税込、別途初期費用） | 要問い合わせ（最低200ユーザー、3年／5年契約） | 要問い合わせ | 年額90万円〜150万円が目安（100ノード以下） | 要問い合わせ（Standard／Premiumの2プラン制） | 月額500円〜／ライセンスが目安（オープンプライス） | 要問い合わせ（従量制、MSP・代理店経由） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | オンライン相談を予約 | オンライン相談を予約 | サービス詳細を見る |
◎＝対応・網羅／●＝特化して対応／△＝一部・オプションで対応／×＝非対応。料金は2026年11月時点の各社公表情報にもとづく目安です。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、シングルサインオン（SSO）・多要素認証・アクセス制限を1つにまとめた国産のクラウド型ID基盤です。株式会社インターナショナルシステムリサーチが提供しており、パスキーに対応した多要素認証が全プランに標準で含まれます。二要素認証の採用と、権限に応じたアクセス管理という技術的安全管理の中心を、まとめて整える手段になります。
料金は月額制で、基本となるStandard Plusは1ユーザーあたり月額400円（税込440円、2026年11月時点）から利用できます。ユーザー単位の課金のため、職員数に応じて導入規模を調整しやすいのも特徴です。接続元のIPアドレスや端末を条件にアクセスを制限でき、院外からの不正なログインを防ぐ用途にも使えます。
ガイドラインが求める二要素認証には、SMSやワンタイムパスワード、パスキーなど複数の方式があり、方式によって攻撃への耐性は異なります。提供元の株式会社インターナショナルシステムリサーチは、方式ごとの違いを次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Serviceは、Yubico社のセキュリティキー「YubiKey」を株式会社インターナショナルシステムリサーチが法人向けにサブスクリプション形式で提供するサービスです。パスワードに依存しない物理的なキーで二要素認証を実現します。キーを端末に挿すか、かざすだけで本人確認ができ、フィッシングでパスワードを盗まれても不正ログインを防ぎやすくなります。
提供は最低200ユーザーからで、契約期間は3年または5年です。料金は導入規模や条件に応じた個別見積もりが基本となります。初期費用を抑えてセキュリティキーを導入できる点を掲げており、職員全員の認証を一段引き上げたい医療機関に適しています。
二要素認証を全職員に広げようとすると、認証アプリやSMSは個人のスマートフォンを前提とするため、端末を支給しきれない現場では導入の壁になりやすいところです。提供元の株式会社インターナショナルシステムリサーチは、相談が寄せられる背景を次のように述べています。
最も多いのは、全社員へのスマートフォン支給が困難なケースです。派遣社員や協力会社のスタッフがシステムにアクセスする際の認証手段として活用されています。また、店舗やコールセンターなどのシフト制の現場において、IDとパスワードの管理負担を軽減しつつ、確実な本人認証を実現する手段としても選ばれています。
3. Network Blackbox（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンのNetwork Blackboxは、ネットワークに関する安全管理とログの記録を担うNDR（Network Detection and Response）です。社内ネットワークを流れる通信をすべて記録・分析し、不審な動きを検知します。
フルパケットキャプチャに対応し、記録した通信をさかのぼって調べられるため、インシデントが起きた際の原因追跡にも役立ちます。
端末にソフトを入れにくい医療機器なども含めて、ネットワーク全体の通信から異常を見つけられる点が特徴です。料金は公式には非公開で、要問い合わせとなります。攻撃の兆候を早期に捉えたい医療機関にとって、ネットワーク監視の選択肢になります。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROのKATABAMIは、脆弱性の診断と、被害を受けた際の復旧の備えを1つにまとめたパッケージです。遠隔からネットワーク内部の機器まで脆弱性を診断し、ホワイトハッカーによる攻撃テストで弱点を洗い出したうえで、対策の進め方まで案内します。あわせて、書き換えられないイミュータブルなバックアップを備え、ランサムウェアに感染してもデータを取り戻せる構成を取ります。
料金は診断する端末数（ノード数）と診断の頻度で変わり、100ノード以下の場合は年額90万円から150万円が目安です（2026年11月時点）。専任の担当者がいない中小規模の医療機関でも、診断から対策・復旧の備えまで一括で相談できる点が特徴です。
ランサムウェア対策としてバックアップを用意しても、そのバックアップ自体が破壊されてしまえば復旧はできません。提供元の株式会社SYNCHROは、バックアップをめぐる現状を次のように説明しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
5. Shadow Desktop（アップデータ株式会社）
アップデータ株式会社のShadow Desktopは、公式が「データレスクライアント」と称する製品です。PC内のデータをクラウドなどの外部に分離し、端末をデータのない状態で使えるようにすることで、情報漏洩を防ぎます。PCを紛失・盗難しても、端末内に業務データが残らないため漏洩のリスクを下げられます。
公式は、持ち出しPCの情報漏洩対策に加えて、ランサムウェア・BCP対策やリモートワイプ、バックアップを導入メリットとして掲げています。基本機能のStandardと、全オプションを使えるPremiumの2プランが用意されています。院外に端末を持ち出す機会がある医療機関の、端末データ保護の選択肢になります。
6. DZ Pass（株式会社AnchorZ）
株式会社AnchorZのDZ Passは、ログイン時だけでなく利用中も継続的に本人確認を続ける認証製品です。独自の「バックグラウンド認証」により、PCの利用者が本人かどうかを使っている間ずっと確認し続けます。医療現場で起こりがちな、ログインしたまま端末から離れた隙の不正利用や、のぞき見・なりすましへの対策として機能します。
料金は年間のライセンス制で、目安は1ライセンスあたり月額500円・年6,000円です（オープンプライスのため個別見積もり、利用量が増えるほど単価が下がるボリュームディスカウントあり）。共有端末が多い医療機関で、認証を一時点の確認で終わらせたくない場合に向きます。
7. Acronis Cyber Protect Cloud（Acronis International GmbH）
Acronis Cyber Protect Cloudは、データのバックアップと復旧に、サイバー攻撃からの保護機能を組み合わせたAcronis社のサービスです。ランサムウェアで暗号化されても速やかに復旧できる体制を整えられます。障害や被害に備えたバックアップという技術的安全管理の要求に応える手段です。
提供はMSP（マネージドサービスプロバイダー）や代理店を経由する形が基本で、料金は保護対象や容量に応じた従量制が中心です。具体的な金額は要問い合わせとなります。バックアップと復旧の備えを重視する医療機関にとって、選択肢の1つになります。
まとめ
医療情報システムの安全管理に関するガイドラインは、厚生労働省が医療機関に向けて示すセキュリティの指針です。法律そのものではありませんが、医療法施行規則や個人情報保護法、診療報酬の要件と結びついており、実質的に遵守が求められます。
最新の第7.0版（令和8年6月）では、二要素認証の遵守事項化やパスワードルールの見直し、小規模医療機関向けの保守委託機関編の新設など、現場に直結する改定が加わりました。求められる対策は、組織・物理・技術・人の各面にわたります。
まずはIT資産の棚卸しとリスク評価から着手し、人手が足りない部分は外部委託やクラウド、各種サービスを組み合わせて補うのが現実的な進め方です。自院に合う手段を、資料で具体的に見比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 医療情報システムの安全管理に関するガイドラインとは何ですか？
A. 医療情報システムの安全管理に関するガイドラインとは、厚生労働省が医療機関等に向けて策定している、医療情報システムを安全に管理するためのセキュリティ指針です。病院・診療所・歯科・薬局に加えて、訪問看護ステーションや介護事業者なども対象に含まれます。
2005年（平成17年）の初版以降、技術や制度の変化にあわせて改定が重ねられ、現行は2026年（令和8年）6月に公表された第7.0版です。法律そのものではありませんが、医療法施行規則や個人情報保護法と結びついており、実質的に遵守が求められます。
Q. ガイドラインに違反すると、罰則や診療報酬上の不利益はありますか？
A. ガイドライン自体に直接の罰則規定はありませんが、関連する法令や診療報酬の要件を通じて、実質的な責任や不利益が生じる可能性があります。ガイドラインは医療法施行規則第14条第2項（病院・診療所・助産所の管理者にサイバーセキュリティ確保の措置を求める義務規定）や個人情報保護法と結びついており、情報漏洩などが起きれば個人情報保護法に基づく対応を受けることがあります。
また令和6年度の診療報酬改定では、診療録管理体制加算の施設基準に、ガイドラインを踏まえた非常時の体制整備や職員への情報セキュリティ研修などが組み込まれており、体制が整っていないと報酬上の評価に影響します。
Q. 二要素認証はいつまでに導入する必要がありますか。既存の電子カルテもすぐに切り替えるべきですか？
A. 二要素認証は、令和9年（2027年）4月1日時点で稼働が想定される医療情報システムを新規導入またはシステム更改する際に採用することが、第7.0版で遵守事項とされています。稼働中のシステムをその日までに一斉に切り替える「義務化」ではなく、新規導入や機器の入替えを伴う更改のタイミングで採用する扱いです。
技術的な理由などで令和9年度までの対応が難しい場合は、次期のシステム更新までを期限とする緩和措置が設けられています。対象はクライアント端末とサーバの両方で、端末だけでなくサーバまで含めて見直す必要があります。
Q. 第7.0版では、パスワードの定期変更はしなくてよくなったのですか？
A. 第7.0版では、パスワードの「定期的な変更」を求める要件が削除され、定期変更を一律に行う必要はなくなりました。定期変更はかえってセキュリティを弱めるという国際的な知見を踏まえた見直しです。
ただし「変更しなくてよい」だけで終わりではなく、代わりに、異なるシステム間でのパスワードの使い回しの禁止と、一定回数ログインに失敗した際にアカウントをロックする仕組みが新たに求められています。運用ルールの入れ替えが必要です。
Q. 小規模な診療所や薬局でも、ガイドラインのすべての項目に対応しなければなりませんか？
A. 専任のシステム担当者がおらず、すべてのサーバのセキュリティアップデートを事業者に委託（クラウド利用を含む）している小規模な医療機関は、第7.0版で新設された「保守委託機関編」を遵守することで、ほかの編の項目も遵守しているとみなされます。すべての項目を自前で満たす必要はなく、信頼できる事業者への委託を前提に、対応範囲を現実的に絞り込める仕組みです。
自院の状況が保守委託機関編の想定（システム運用担当者が不在、小規模、システム保守を十分に事業者へ委託）に当てはまるかを確認したうえで活用してください。
Q. ガイドラインに沿った対策には、どのくらいの費用がかかりますか？
A. 対策費用は、何を・どの手段で満たすかによって幅があり、一律の金額は決まっていません。厚生労働省が公表しているサイバーセキュリティ対策チェックリストやBCPのひな形、職員教育の支援ポータル（MIST）は無償で利用できます。
一方、二要素認証やネットワーク監視、バックアップなどをサービスで実現する場合は、ユーザー数や規模、診断の頻度などに応じた料金がかかります。自前ですべてを抱えるより、保守委託やクラウドサービスを活用して費用を平準化する方法もあります。具体的な費用感は、本記事で紹介した各サービスの資料で見比べてみてください。
Q. 第7.0版は、旧版（第5.2版・第6.0版）と何が違いますか？
A. 第7.0版は、二要素認証の対象（クライアント端末とサーバ）と緩和措置の明確化、パスワードルールの見直し、保守委託機関編の新設などが、直前の第6.0版（令和5年5月）から加わった点が主な違いです。保守委託機関編が加わったことで、ガイドラインは従来の4編構成から5編構成になりました。
あわせて、関連法令にサイバーセキュリティ基本法が追加され、サプライチェーンリスクへの対応やクラウドサービスの積極活用も盛り込まれています。第5.2版（令和4年3月）はさらに古い構成のため、検索などで旧版を参照してしまわないよう、現行の第7.0版を基準に確認することが大切です。
Q. 自院が従うのは、厚生労働省のガイドラインと2省ガイドラインのどちらですか？
A. 病院・診療所・歯科・薬局などの医療機関が従うのは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」です。「2省ガイドライン」（医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン）は、経済産業省・総務省が電子カルテやクラウドなどを提供する事業者向けに定めたもので、医療機関が直接従う指針ではありません。
医療機関は自院のガイドラインを基準にしつつ、利用するクラウドや電子カルテの提供元が2省ガイドラインに沿っているかを確認する立場になります。
社内セキュリティソリューションの資料を一括チェック
MCB FinTechカタログでは、医療情報システムの安全管理に役立つ認証・アクセス管理・ネットワーク監視・バックアップなどのサービス資料を無料で一括請求できます。対応する対策領域や料金・サポート体制を各社の資料で見比べて、自院に合う手段を効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
