【令和8年度版】医療機関・薬局のサイバーセキュリティ対策チェックリスト｜立入検査で確認される全項目と対応

医療機関・薬局では、立入検査で「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」への対応状況が確認されます。この確認は以前から続いており、令和8年度（2026年4月〜2027年3月）は、従来の「医療機関用」と「薬局用」を一本化し、パスワードや二要素認証の要件を見直した令和8年度版が対象です。

改定を受けて自治体や医師会から通知が届き、何から手を付けるべきか整理したい担当者も多いはずです。

立入検査が近づくほど、まず知りたいのは対策論よりも「結局、全項目は何なのか」「令和7年度版から何が変わったのか」という具体です。チェックリストには確認日や回答を記入する欄があり、一部の項目は書類の現物まで確認されます。自院・自局の状況を項目ごとに「はい」「いいえ」で判断できる状態にしておくことが、準備の出発点になります。

本記事では、令和8年度版チェックリストの全項目を原文のまま一覧で示し、令和7年度版からの主な変更点、立入検査で確認される内容、そして各項目を「はい」に変えるための具体的な対応を整理します。

あわせて、二要素認証やアクセスログの管理、隔離したバックアップなど、自前で整えにくい技術的な項目については、それを満たす手段となるサービスも紹介します。立入検査までに「いいえ」を減らす実務の見取り図として活用してください。

令和8年度版「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」とは

医療機関・薬局におけるサイバーセキュリティ対策チェックリストは、厚生労働省が公表する、医療情報システムの安全管理のために確認すべき項目をまとめた様式です。令和8年度版は「医療機関・薬局確認用」と「事業者確認用」の2種類で構成され、医療機関・薬局が自院・自局の対応状況を、システムを提供する事業者が自社の対応状況を、それぞれ確認します。

ここからは、チェックリストの全体の構成と、立入検査での位置づけを確認します。

チェックリストの構成（4区分）と「医療機関・薬局確認用」「事業者確認用」の違い

「医療機関・薬局確認用」のチェック項目は、「1 体制構築」「2 医療情報システムの管理・運用」「3 インシデント発生に備えた対応」「4 規程類の整備」の4区分に分かれ、全部で19項目あります。各項目には「はい・いいえ」の回答欄と、確認日・目標日・備考の欄が付いています。

一方の「事業者確認用」は、医療情報システムを提供する事業者が、保守契約の範囲で対応できているかを確認するための様式です。医療機関・薬局は、委託先の事業者からこの「事業者確認用」を回収し、自院・自局とシステム事業者の双方で対策を進めることが想定されています。両者の役割分担は、本記事の「立入検査で確認されること」であらためて整理します。

立入検査での確認と「令和8年度中にすべて『はい』」という前提

このチェックリストは、医療機関・薬局が自主的に使うだけの資料ではなく、立入検査で確認される対象です。チェックリストの冒頭には、次のように明記されています。

*立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で「はい」にマルが付くよう取り組んでください。
*「いいえ」の場合、令和8年度中の対応目標日を記入してください。

出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（医療機関・薬局確認用）｜厚生労働省

令和8年度版は、令和8年度中にすべての項目を「はい」にすることを目指すという前提で作られています。現時点で「いいえ」の項目があっても、ただちに不適合となるわけではなく、対応目標日を記入して計画的に進める形が示されています。確認日・回答や目標日の記入といった立入検査での具体的な確認内容は、「立入検査で確認されること」で詳しく整理します。

チェックリストが立入検査で確認される背景には、医療法施行規則の改正があります。令和5年3月10日に公布され、同年4月1日に施行された改正省令により、病院・診療所・助産所の管理者が遵守すべき事項として、サイバーセキュリティを確保するために必要な措置を講じることが追加されました。この措置の履行状況を確認する手段として、チェックリストが立入検査で用いられています。

出典・参考資料（2件）

• 出典：医療法施行規則の一部を改正する省令について（令和5年3月10日公布・令和5年4月1日施行）｜厚生労働省
• 参考資料：医療分野のサイバーセキュリティ対策について｜厚生労働省

令和8年度版チェックリストの全項目一覧（4区分・全19項目）

ここからは、令和8年度版「医療機関・薬局確認用」の全項目を、原文のまま区分ごとに掲載します。項目番号は厚生労働省のチェックリスト原本に沿っており、各番号はチェックリストマニュアルの該当箇所に対応しています。自院・自局の状況を、項目ごとに「はい」「いいえ」で確認してください。

記入用のExcel様式（医療機関・薬局確認用／事業者確認用）やチェックリストの原本は、厚生労働省や各自治体のサイトで配布されています。実際に「はい」「いいえ」や確認日を記入する際は、最新の令和8年度版の様式を入手して使ってください。

1 体制構築

番号	チェック項目
①	医療情報システム安全管理責任者を設置している。

2 医療情報システムの管理・運用

この区分は14項目と最も多く、アカウント管理・パスワード・パッチ適用・外部媒体の制限・二要素認証・ログ管理・接続元制限など、日々の運用に関わる項目が並びます。原本では⑪⑫が「端末」「サーバ」、⑭が「ネットワーク機器」というくくりで整理されているため、項目末尾に対象を補記しています。

番号	チェック項目
①	サーバ、端末、ネットワーク機器の台帳管理を行っている。
②	リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した。
③	事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。
④	利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している。※管理者権限対象者の明確化を行っている
⑤	退職者や使用していないアカウント等、不要なアカウントを削除または無効化している。
⑥	セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。
⑦	パスワードは英数字の混在した8桁以上としている。※二要素認証を採用するまでの期間は13桁以上としている
⑧	パスワードの使い回しを禁止している。
⑨	USBストレージ等の外部記録媒体や情報機器に対して接続を制限している。
⑩	バックグラウンドで動作している不要なソフトウェア及びサービスを停止している。
⑪	アプリケーションログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。〔端末〕
⑫	OSログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。〔サーバ〕
⑬	アクセスログを管理している。
⑭	接続元制限を実施している。〔ネットワーク機器〕

3 インシデント発生に備えた対応

番号	チェック項目
①	インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある。
②	インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している。
③	サイバー攻撃の想定を含む事業継続計画（BCP）を策定している。

4 規程類の整備

番号	チェック項目
①	上記1-3のすべての項目について、具体的な実施方法を運用管理規程等に定めている。

各項目の考え方や確認方法の詳細は、厚生労働省が公表するチェックリストマニュアルに記載されています。チェック項目の番号は、マニュアルのアウトライン番号に対応しています。

出典・参考資料（2件）

• 出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（医療機関・薬局確認用）｜厚生労働省
• 参考資料：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・薬局・事業者向け～｜厚生労働省（岡山県による別添2再配布）

令和7年度版からの主な変更点

令和8年度版への改定について、厚生労働省の改定通知を受けた自治体は、主な変更点を次の2点として案内しています。

• 項目の統合：共通の内容であることを踏まえ、従来の「医療機関用」と「薬局用」を一本化しました。
• 内容の見直し：「医療情報システムの安全管理に関するガイドライン第7.0版」の策定に伴い、一部項目を更新しました。

出典：令和8年度版「医療機関におけるサイバーセキュリティ対策チェックリスト」及びマニュアルについて｜岡山県

このうち「一部項目を更新」について、令和7年度版からの実務に影響の大きい変更として、次の点が挙げられます。

医療機関用と薬局用の一本化

令和7年度版は「医療機関確認用」など医療機関と薬局で別々の様式が用意されていましたが、令和8年度版では内容が共通することを踏まえ、「医療機関・薬局確認用」として一本化されました。医療機関も薬局も、同じチェックリストで確認する形になっています。

パスワード要件の見直し

パスワードの要件は、令和7年度版の「英数字、記号が混在した8文字以上とし、定期的に変更している」から、令和8年度版では「英数字の混在した8桁以上」に整理されました。記号の混在や定期的な変更の要件が外れ、二要素認証を採用するまでの経過的な要件として「13桁以上」が位置づけられています（⑦）。あわせて、パスワードの使い回しの禁止（⑧）が独立した項目として明記されています。

二要素認証の対象の明確化

令和7年度版では二要素認証が1つの項目にまとめられていましたが、令和8年度版では「アプリケーションログイン時の二要素認証（端末）」（⑪）と「OSログイン時の二要素認証（サーバ）」（⑫）の2項目に分かれ、どこで二要素認証が求められるのかが明確になりました。実装の猶予についても、「令和9年度以降初回のシステム更改時に実装予定である」場合は「はい」として扱える形になっています。

事業者確認用に「対象外」が追加

令和8年度版では、事業者確認用の回答区分に「対象外」が新設されました。これは、保守契約の範囲外で、その項目の責任を医療機関・薬局が負うことを表します。事業者確認用には、回答区分が次のように定義されています。

• 「はい」:医療機関・薬局との保守契約範囲に含まれる項目であり、事業者側の責任で対応できていることを指します。
• 「いいえ」:医療機関・薬局との保守契約範囲に含まれる項目であるが、事業者側が対応できていない項目となります。事業者としての令和8年度中の対応目標日を記入してください。
• 「対象外」:医療機関・薬局との保守契約範囲外となり、当該項目の責任を医療機関・薬局が負います。医療機関・薬局に対して、責任分界の認識齟齬がないか、事業者側から必ず確認して下さい。

出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（事業者確認用）｜厚生労働省

この「対象外」は令和8年度版で新たに設けられた区分で、保守契約の範囲外の項目を事業者が明示できるようにするものです。各項目の責任の所在を、医療機関・薬局と事業者の間で明確にする狙いがあります。

出典・参考資料（3件）

• 出典：令和7年度版 医療機関におけるサイバーセキュリティ対策チェックリスト（医療機関確認用）｜厚生労働省
• 出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト｜厚生労働省
• 参考資料：医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）関係資料一式｜厚生労働省

立入検査で確認されること（現物確認される準備物）

立入検査では、チェックリストの全項目に確認日と回答が記入されているかに加え、一部の項目については書類の現物が確認されます。ここからは、立入検査で何が確認されるのかと、そのために用意しておくべき準備物を整理します。

全項目の確認日・回答の記入（「いいえ」は対応目標日を記入）

チェックリストマニュアルには、立入検査で確認される内容が次のように示されています。

医療法第25条第1項に基づく立入検査では、病院、診療所及び助産所においてサイバーセキュリティ確保のために必要な取組を行っているかを確認することとしています。また、薬機法に基づく立入検査では、薬局においてサイバーセキュリティ確保のために必要な取組を行っているかを確認することとしています。

立入検査では「医療機関・薬局確認用」、「事業者確認用」のすべての項目について、確認日と回答等が記入されていることを確認します（※）。このうち、２-①の台帳、３-①の連絡体制図、３-③の事業継続計画（BCP）、４-①の規程類は現物を確認しますので、立入検査までに作成してください。

出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・薬局・事業者向け～｜厚生労働省（岡山県による別添2再配布）

立入検査の根拠は、病院・診療所・助産所については医療法第25条第1項、薬局については薬機法（医薬品医療機器等法）に基づく立入検査です。まず押さえておきたいのは、すべての項目に確認日と回答が記入されている状態が求められる点です。

「いいえ」の項目は、空欄のままにせず、令和8年度中の対応目標日を記入しておきます。日頃からチェックリストを使って状況を確認し、立入検査前にあらためて見直すことが示されています。委託先の事業者から「事業者確認用」を回収しておくことも、あわせて求められています。

現物確認される4点（2-①台帳・3-①連絡体制図・3-③BCP・4-①運用管理規程）

記入の確認に加えて、次の4つの書類は立入検査で現物が確認されます。回答欄に「はい」と記入するだけでなく、実際に作成しておく必要があるため、優先して準備しておきたい項目です。

番号	現物確認される書類	内容
2-①	台帳	サーバ、端末、ネットワーク機器の台帳。どの機器が社内ネットワークにつながっているかを把握するための一覧
3-①	連絡体制図	インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図
3-③	事業継続計画（BCP）	サイバー攻撃の想定を含む事業継続計画
4-①	運用管理規程等	1〜3のすべての項目について、具体的な実施方法を定めた規程類

これら4点をどのように作成し運用するかは、後述の「『いいえ』を『はい』に変える対応と手段」で整理します。ここでは、立入検査で現物まで確認されるのがこの4点である、という点を押さえておいてください。

医療機関と事業者の役割分担（事業者確認用との関係）

医療情報システムの対策は、医療機関・薬局だけで完結するものではなく、システムを提供する事業者との分担で進めます。立入検査でも「医療機関・薬局確認用」と「事業者確認用」の両方が確認の対象です。

医療機関・薬局は、委託先の事業者に「事業者確認用」を渡して回答を回収します。事業者側が保守契約の範囲で対応している項目は「はい」、対応できていない項目は「いいえ」、保守契約の範囲外で医療機関・薬局が自ら責任を負う項目は「対象外」として回答します。「対象外」とされた項目は自院・自局で対応する必要があるため、どこまでが委託の範囲なのかを、事業者との間であらかじめ確認しておくことが欠かせません。

「いいえ」を「はい」に変える対応と手段

ここからは、各項目を「はい」にするための具体的な対応を整理します。チェックリストの項目は、自院・自局で書類を整えれば対応できるものと、二要素認証やログ管理のように仕組みを導入しないと満たしにくいものに分かれます。前者から順に見ていきます。以下の対応はチェックリストやマニュアルの考え方に沿った満たし方の一例であり、実際の運用は自院・自局の環境に合わせて判断してください。

まず自施設で整える項目の整え方（責任者・台帳・連絡体制図・規程）

体制面や書類の整備は、ツールの導入を伴わずに着手できる項目です。立入検査で現物が確認される台帳・連絡体制図・BCP・運用管理規程も、ここに含まれます。

• 医療情報システム安全管理責任者の設置（1-①）：医療情報システムの安全管理を担う責任者を決め、役割を明確にします。
• 機器の台帳管理（2-①）：サーバ・端末・ネットワーク機器に加え、複合機などネットワークにつながる機器を洗い出し、一覧として管理します。どの機器があるかを把握することが、他の対策の前提になります。
• 連絡体制図の作成（3-①）：インシデントが起きた際に、組織内と、事業者・厚生労働省・警察などの外部関係機関へ連絡する体制を図にまとめます。報告先は厚生労働省のポータルでも案内されています。
• 事業継続計画（BCP）の策定（3-③）：サイバー攻撃で医療情報システムが使えなくなった場合に、診療をどう継続するかを計画としてまとめます。バックアップからの復旧手順（3-②）とあわせて検討します。
• 運用管理規程等の整備（4-①）：1〜3の各項目について、具体的な実施方法を規程として定めます。他の項目の対応内容を文書に落とし込む位置づけです。

これらは外部のサービスがなくても着手できますが、何をどこまで書けばよいかはマニュアルの各項目解説が参考になります。

このほか、リモートメンテナンスを利用している機器の有無の確認（2-②）や、事業者による医療情報セキュリティ開示書（MDS/SDS）の提出（2-③）は、委託先の事業者とのやり取りで確認・入手します。使っていない不要なソフトウェアやサービスの停止（2-⑩）は、各端末で設定を見直して対応します。

二要素認証・アクセス権限・退職者アカウントを満たす手段（ID基盤）

アカウントや認証に関わる項目は、利用者ごとのログイン情報を一元的に管理する仕組み（ID基盤）を使うと、まとめて対応しやすくなります。該当するのは、職種・担当業務別のアクセス権限の設定（④）、退職者や不要なアカウントの削除・無効化（⑤）、パスワードの要件（⑦⑧）、そして端末・サーバそれぞれの二要素認証（⑪⑫）です。

ID基盤は、複数のシステムへのログインを一つの認証でまとめ、多要素認証（二要素認証）やアクセス制限、アカウントの作成・削除の管理を一元化する仕組みです。利用者ごとの権限を設定し、退職時にアカウントをまとめて無効化できるため、④⑤のような「人の入れ替わりに伴う抜け漏れ」を防ぎやすくなります。認証方式を多要素にすれば⑪⑫にも対応できます。

二要素認証を含む多要素認証の仕組みや、二段階認証との違いについては『MFA（多要素認証）とは？仕組み・3要素と二段階認証との違いをわかりやすく解説』で詳しく整理しています。

アクセスログ・外部媒体の制限を満たす手段（ログ管理）

アクセスログの管理（⑬）やUSBなど外部記録媒体の接続制限（⑨）は、端末の操作を記録・制御する仕組みで対応できます。誰がいつどの操作をしたかを記録しておくと、立入検査で確認される可能性があるアクセスログ（⑬）に備えられるほか、インシデント発生時の調査にも役立ちます。

操作ログで具体的にどのような情報が取得でき、どう確認するのかは『PC操作ログとは？取得できる情報・確認方法・運用の注意点をまとめて解説』で整理しています。外部媒体の利用を制限・記録できるものであれば、USB経由の情報持ち出しや持ち込みの対策（⑨）にもつながります。機器の構成情報を自動で収集できるタイプであれば、台帳管理（2-①）の手間を軽くする効果も期待できます。

接続元制限・通信の監視を満たす手段

ネットワーク機器の接続元制限（⑭）は、アクセスできる端末やIPアドレスを限定する設定が中心で、ファイアウォールやネットワーク機器側での対応が基本になります。これに加えて、社内ネットワークを流れる通信を監視し、不審な動きを検知する仕組みを組み合わせると、設定で防ぎきれなかった侵入後の動きにも気づきやすくなります。自院・自局のネットワーク構成に応じて、どこまでの監視が必要かを検討してください。

バックアップ・復旧・脆弱性の点検を満たす手段（隔離バックアップ）

インシデント発生時の復旧（3-②）やBCP（3-③）に備えるには、ランサムウェアに書き換えられないよう隔離したバックアップが有効です。攻撃者から見えない経路にバックアップを保管できれば、本体が暗号化されてもデータを戻せる可能性が高まります。

バックアップだけでなく、予防・感染時対応まで含めたランサムウェア対策の全体像は『ランサムウェア対策とは？予防・バックアップ・感染時対応の基本と進め方』で解説しています。あわせて、セキュリティパッチの適用状況（⑥）やアカウント・権限の設定（④⑦⑧）を定期的に点検し、「いいえ」になっている項目を洗い出す脆弱性診断を組み合わせると、対応の抜けを継続的に見つけられます。

チェックリスト項目に対応するサービス

ここまで整理した「自前で整えにくい技術的な項目」を満たす手段として、ID基盤・ログ管理・隔離バックアップに対応するサービスを紹介します。まず、それぞれが対応するチェックリスト項目を比較表で整理します。

3つのサービスは対応する項目が異なり、1つですべての項目を満たすものではありません。自院・自局で「いいえ」が多い区分（認証系・ログ系・復旧系）から優先して選ぶと、不足する領域を補いやすくなります。いずれも医療機関・薬局に特化した製品ではなく、一般の法人向けに提供されている手段です。

※2026年11月時点の各社公式情報等にもとづきます。各項目への対応（●／△／×）は本記事の整理によるもので、機能・料金の詳細は各社の公式資料でご確認ください。

チェックリストの項目を満たす手段は、ここで挙げた3つのサービスのほかにも、守る対象（端末・サーバ・ネットワーク・IDなど）に応じてさまざまな種類があります。自院・自局に必要なソリューションを対象別に比較・検討したい場合は、以下の記事もあわせてご覧ください。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

株式会社インターナショナルシステムリサーチが自社開発するCloudGate UNO（クラウドゲートウノ）は、シングルサインオン・多要素認証・アクセス制限・ID管理をまとめたクラウド型のID基盤です。一度の認証で複数のクラウドサービスにログインでき、二要素認証やアクセス制限を組み合わせて利用できます。

チェックリストのアクセス権限の設定（④）、不要なアカウントの削除・無効化（⑤）、端末・サーバの二要素認証（⑪⑫）に関わる項目を、一つの管理画面で扱える点が特徴です。

認証方式は、パスキー（FIDO2）によるパスワードレス認証や、Windows Hello・Touch IDなどの生体認証、ワンタイムパスワードに対応します。アクセス制限はIPアドレス・端末・国や地域・時間帯などの条件で設定でき、接続元を限定する運用にも使えます。

アカウントの作成・更新・削除を自動化するID管理機能も備え、人の入れ替わりに伴うアカウント管理の手間を抑えられます。料金は、月額400円〜600円/ユーザー（税抜。プランにより異なる）で、30日間の無料体験が用意されています（2026年11月時点の公式情報）。

チェックリストが求める二要素認証を、どの認証方式で満たすかについて、提供元のインターナショナルシステムリサーチは次のように述べています。

Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）

PCの操作ログを記録・可視化するクラウド型サービスが、株式会社フーバーブレインのEye”247″ Work Smart Cloudです。1分間隔でPCの操作内容を記録し、WEB閲覧・ファイル操作・印刷・USB使用などの履歴を取得します。アクセスログの管理（⑬）や、USBなど外部記録媒体の接続制限（⑨）に関わる項目に対応しやすいサービスです。

外部メディアの制限では、USB操作の監視・使用禁止や、書き込み時のパスワード保護などを設定できます。IT資産管理の機能として、クライアント端末のOS・ソフトウェア構成など40項目以上の情報を自動で収集でき、機器の台帳管理（2-①）の手間を軽くする使い方もできます。

初期費用は0円、月額は契約台数に応じた1台あたりの従量制（税別で100台以上の場合400円/台など）で、14日間の無料トライアルが用意されています（2026年11月時点の公式情報）。

KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージは、脆弱性診断（予防）・バックアップ（復旧）・サイバー保険（補償）を1つにまとめた国産のパッケージ型サービスです。インシデント発生時の復旧（3-②）やBCP（3-③）の備えと、セキュリティパッチの適用状況（⑥）などの定期的な点検を、あわせて進めたい医療機関・薬局に向きます。

復旧の面では、隔離した通信経路を通じてデータを自動バックアップし、攻撃者から見えない経路に保管する仕組みを採ります。予防の面では、ネットワークの内部から月次で脆弱性を診断し、検出した問題点と対策案をレポートします。サーバ・ネットワーク機器・複合機など、見落とされがちな機器の設定の不備も点検の対象です。

診断で見つかった問題は、対応方法の説明を受けながら自院・自局で進める形が基本となります。月額は1台1,250円〜（公式情報。初期費用は要問い合わせ）で、導入前の無料相談が用意されています（2026年10月時点の公式情報）。

隔離したバックアップがなぜ必要になるのかについて、提供元のSYNCHROはランサムウェア被害の実態を次のように説明しています。

まとめ

令和8年度版「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、医療機関用と薬局用が一本化され、パスワードや二要素認証の要件も見直されました。立入検査では、全19項目に確認日と回答が記入されているかに加え、台帳・連絡体制図・BCP・運用管理規程の4点は現物まで確認されます。

まずは全項目を自院・自局で「はい」「いいえ」に仕分け、「いいえ」の項目には対応目標日を記入するところから始めてください。

体制や書類の整備は自院・自局で着手できますが、二要素認証・アクセスログ・隔離バックアップのように仕組みが必要な項目は、対応する手段を導入すると「いいえ」を減らしやすくなります。各サービスの資料を取り寄せ、自院・自局の環境に合うものを比較して、立入検査までの対応を具体化してください。

よくある質問（FAQ）

Q. 医療機関・薬局におけるサイバーセキュリティ対策チェックリストとは何ですか？

A. 医療機関・薬局におけるサイバーセキュリティ対策チェックリストとは、厚生労働省が公表する、医療情報システムの安全管理のために確認すべき項目をまとめた様式です。令和8年度版は「体制構築」「医療情報システムの管理・運用」「インシデント発生に備えた対応」「規程類の整備」の4区分・全19項目で構成され、医療法・薬機法に基づく立入検査で対応状況が確認されます。

「医療機関・薬局確認用」と「事業者確認用」の2種類があり、自院・自局とシステム事業者の双方で対策を進める前提の様式です。

Q. サイバーセキュリティ対策チェックリストは薬局も対象ですか？

A. サイバーセキュリティ対策チェックリストは、医療機関だけでなく薬局も対象です。 令和8年度版では、従来の「医療機関用」と「薬局用」が内容の共通を踏まえて「医療機関・薬局確認用」に一本化され、医療機関も薬局も同じチェックリストで確認する形になりました。薬局については、薬機法（医薬品医療機器等法）に基づく立入検査で対応状況が確認されます。

Q. チェックリストに「いいえ」の項目があっても問題ありませんか？

A. 現時点で「いいえ」の項目があっても、ただちに不適合となるわけではありません。 令和8年度版は「令和8年度中にすべての項目で『はい』にする」ことを目指す前提で作られており、「いいえ」の項目には令和8年度中の対応目標日を記入して計画的に進める形が示されています。空欄のままにせず目標日を記入しておくことが、立入検査への備えになります。

Q. 二要素認証はどの範囲で必要ですか？

A. 令和8年度版チェックリストでは、端末のアプリケーションログイン時（項目⑪）と、サーバのOSログイン時（項目⑫）の2か所で二要素認証が求められます。 令和7年度版では二要素認証が1項目にまとめられていましたが、どこで必要かを明確にする形で2項目に分かれました。いずれも「令和9年度以降初回のシステム更改時に実装予定である」場合は「はい」として扱えます。

Q. 「事業者確認用」や回答区分の「対象外」とは何ですか？

A. 「事業者確認用」は医療情報システムを提供する事業者が保守契約の範囲で対応できているかを確認する様式で、「対象外」は保守契約の範囲外で、その項目の責任を医療機関・薬局が負うことを表します。 医療機関・薬局は委託先の事業者から事業者確認用を回収し、「対象外」とされた項目は自院・自局で対応する必要があります。どこまでが委託の範囲なのかを、事業者との間であらかじめ確認しておくことが重要です。

Q. 立入検査で現物まで確認される書類はどれですか？

A. 立入検査で現物が確認されるのは、2-①の台帳、3-①の連絡体制図、3-③の事業継続計画（BCP）、4-①の運用管理規程等の4点です。 これらは回答欄に「はい」と記入するだけでなく、実際に書類を作成しておく必要があります。あわせて、すべての項目について確認日と回答が記入されていることも立入検査で確認されます。

Q. チェックリストの様式（Excel）や原本はどこで入手できますか？

A. チェックリストの原本（PDF）・マニュアル・記入用のExcel（医療機関・薬局確認用／事業者確認用）は、厚生労働省や各自治体のサイトで公表されています。 厚生労働省「医療分野のサイバーセキュリティ対策について」のページや、改定を通知した自治体（岡山県など）のページから入手できます。年度版が毎年改定されるため、最新の令和8年度版かどうかを確認して利用してください。

医療機関・薬局のセキュリティ対策サービスの資料を一括チェック

MCB FinTechカタログでは、二要素認証やログ管理、隔離バックアップなど、サイバーセキュリティ対策チェックリストの項目を満たす法人向けサービスの資料を無料で一括請求できます。機能や料金を比べて、立入検査までの対応に役立ててください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。