薬局では、2023年（令和5年）4月に施行された医薬品医療機器等法（薬機法）施行規則の改正により、管理薬剤師（薬局の管理者）がサイバーセキュリティの確保に必要な措置を講じることが義務づけられました。これに伴い、保健所などによる薬局への立入検査では、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の記入状況が確認されます。
チェックリストは厚生労働省が毎年度更新しており、2026年度は「令和8年度版」が使われます。各項目は役所の言い回しで書かれているため、自局の状況が「はい」なのか「いいえ」なのかを判断しづらい、という声は少なくありません。
本記事では、令和8年度版チェックリストの全項目について、原文と「何をしていれば『はい』にできるか」の確認の観点を一覧で整理します。あわせて、立入検査で現物を確認される項目と年度内に整えること、令和7年度版からの主な変更点、「いいえ」が残りやすい項目の埋め方まで解説します。立入検査までに何から着手すればよいかの判断材料としてご活用ください。
立入検査までの対応は、大きく次の4ステップで進めます。本記事はこの流れに沿って解説します。
目次
一括ダウンロードする
薬局のサイバーセキュリティ対策チェックリストとは・なぜ対応が必要か
「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、厚生労働省が公表している自己点検用の様式です。病院・診療所と薬局が、情報システムの安全管理として最低限実施すべき対策を項目ごとに「はい・いいえ」で確認します。様式は年度ごとに更新され、2026年度は「令和8年度版」が対象になります。
薬局がこのチェックリストに取り組むのは、サイバーセキュリティの確保が法令上の義務だからです。薬機法施行規則（医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律施行規則）第11条第2項第1号は、薬局の管理者が遵守すべき事項として、次のとおり定めています。
その薬局の業務に係るサイバーセキュリティ（サイバーセキュリティ基本法（平成二十六年法律第百四号）第二条に規定するサイバーセキュリティをいう。）の確保のために必要な措置を講じ、その他その薬局の業務につき、必要な注意をすること。
出典：医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律施行規則 第十一条第二項第一号｜e-Gov法令検索
この規定は2023年（令和5年）4月1日に施行されました。義務の内容は抽象的に書かれているため、厚生労働省は「何をすればよいか」を具体化する手段としてチェックリストとそのマニュアルを示しています。チェックリストの各項目を満たすことが、法令が求める「必要な措置」を講じた状態の目安になります。
出典・参考資料（3件）
【令和8年度版】薬局のサイバーセキュリティ対策チェックリスト 全項目一覧（自局○×付き）
令和8年度版の確認用チェックリストは、「1 体制構築」「2 医療情報システムの管理・運用」「3 インシデント発生に備えた対応」「4 規程類の整備」の4区分で構成されています。薬局が記入する様式は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（確認用）」で、厚生労働省のサイト（本節末尾の出典）からダウンロードできます。まずは全項目の原文を見ていきます。
【1 体制構築】
- ①医療情報システム安全管理責任者を設置している。
【2 医療情報システムの管理・運用】（医療情報システム全般について、以下を実施している。）
- ①サーバ、端末、ネットワーク機器の台帳管理を行っている。
- ②リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した。
- ③事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。
- ④利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している。※管理者権限対象者の明確化を行っている
- ⑤退職者や使用していないアカウント等、不要なアカウントを削除または無効化している。
- ⑥セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。
- ⑦パスワードは英数字の混在した8桁以上としている。※二要素認証を採用するまでの期間は13桁以上としている
- ⑧パスワードの使い回しを禁止している。
- ⑨USBストレージ等の外部記録媒体や情報機器に対して接続を制限している。
- ⑩バックグラウンドで動作している不要なソフトウェア及びサービスを停止している。
- （端末について、以下を実施している。）⑪アプリケーションログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。
- （サーバについて、以下を実施している。）⑫OSログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。
- ⑬アクセスログを管理している。
- （ネットワーク機器について、以下を実施している。）⑭接続元制限を実施している。
【3 インシデント発生に備えた対応】
- ①インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある。
- ②インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している。
- ③サイバー攻撃の想定を含む事業継続計画（BCP）を策定している。
【4 規程類の整備】
出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（確認用）｜厚生労働省
- ①上記1-3のすべての項目について、具体的な実施方法を運用管理規程等に定めている。
各項目を自局に当てはめるとき、「何をしていれば『はい』にできるか」の確認の観点は次のとおりです。項目番号は上記の原文と対応しています。⑦の「8桁以上／13桁以上」や⑪⑫の「令和9年度以降初回のシステム更改時に実装予定」は条件そのものなので、自局の状況と照らして確認してください。
| 確認のポイント | 自局で確認すること（「はい」にできる状態の目安） |
|---|---|
| 【体制】①安全管理責任者の設置 | 医療情報システムの安全管理の責任者を1名決め、局内で周知していれば「はい」。管理薬剤師が兼任しても構いません |
| 【管理運用】①機器の台帳管理 | サーバ・PC・ルーターなどの機器を一覧化した台帳（機種・OS・設置場所・管理者など）があれば「はい」。立入検査で現物を確認される項目です |
| 【管理運用】②リモート保守機器の確認 | 保守でリモート接続する機器があるかを事業者に確認済みなら「はい」 |
| 【管理運用】③MDS/SDSの受領 | 導入しているシステムの事業者から、医療情報セキュリティ開示書（MDS/SDS）を提出してもらっていれば「はい」 |
| 【管理運用】④職種別のアクセス権限設定 | 薬剤師・事務などの職種や担当業務ごとに閲覧・操作できる範囲を分け、管理者権限を持つ人を明確にしていれば「はい」 |
| 【管理運用】⑤不要アカウントの削除・無効化 | 退職者や使っていないIDを削除・無効化していれば「はい」 |
| 【管理運用】⑥セキュリティパッチの適用 | OS・ソフトの更新プログラムや機器のファームウェアを適用していれば「はい」 |
| 【管理運用】⑦パスワードの強度 | 全アカウントのパスワードが英数字混在の8桁以上。二要素認証をまだ導入していない場合は13桁以上にしていれば「はい」 |
| 【管理運用】⑧パスワードの使い回し禁止 | サービスをまたいだ同じパスワードの使い回しを禁止していれば「はい」 |
| 【管理運用】⑨外部記録媒体の接続制限 | USBメモリなど外部記録媒体の接続を制限（許可制・使用禁止など）していれば「はい」 |
| 【管理運用】⑩不要ソフト・サービスの停止 | 使っていない常駐ソフトやサービスを停止していれば「はい」 |
| 【管理運用】⑪端末の二要素認証 | 端末のアプリにログインする際に二要素認証を実装、または令和9年度以降の初回システム更改時に実装予定であれば「はい」 |
| 【管理運用】⑫サーバの二要素認証 | サーバのOSにログインする際に二要素認証を実装、または同じく更改時に実装予定であれば「はい」 |
| 【管理運用】⑬アクセスログの管理 | 誰がいつアクセス・操作したかのログを記録・保管していれば「はい」 |
| 【管理運用】⑭接続元制限 | ネットワーク機器で接続元（IPアドレスや拠点など）を制限していれば「はい」 |
| 【インシデント】①連絡体制図 | 障害・被害の発生時に、局内と外部（事業者・厚生労働省・警察など）へ連絡する手順と連絡先をまとめた体制図があれば「はい」。立入検査で現物を確認される項目です |
| 【インシデント】②バックアップと復旧手順 | 調剤・服薬指導の継続に必要な情報を検討し、バックアップを確保したうえで復旧手順を確認していれば「はい」 |
| 【インシデント】③BCPの策定 | サイバー攻撃の想定を含む事業継続計画（BCP）を策定していれば「はい」。立入検査で現物を確認される項目です |
| 【規程類】①運用管理規程への明記 | 上記1〜3の各項目の具体的な実施方法を、運用管理規程などの文書に定めていれば「はい」。立入検査で現物を確認される項目です |
※原文は令和8年度版チェックリスト（確認用）、確認の観点は同チェックリストマニュアルの考え方にもとづく自局点検の目安です。
台帳管理（2-①）やアクセス権限の設定（2-④）は、何をどこまで書けばよいか迷いやすい項目です。厚生労働省のチェックリストマニュアルには機器台帳の例と利用者ID台帳の例が示されており、記載する列のサンプルとして参照できます。
機器台帳では、管理番号・メーカー・OS・ソフトウェアとそのバージョン・IPアドレス・コンピュータ名・設置場所・利用者・登録日・状態などを列として管理することが想定されています。利用者ID台帳では、所属部署・氏名・ユーザーID・権限・状態などが想定されています。
これらをそのまま列にして表計算ソフトなどで一覧化すれば、2-①の台帳として「はい」にできます。
二要素認証（2-⑪⑫）については、同マニュアルが採用例として「パスワード＋指紋認証」「ICカード＋パスワード」「ICカード＋指紋認証」など、記憶・生体情報・物理媒体のうち2種類を組み合わせる方法を挙げています。
⑪⑫でいう「システム更改」とは、レセコンや端末などのシステムを入れ替え・更新することを指します。いま二要素認証を導入していなくても、次に更新するタイミングで導入する予定があれば、「実装予定」として「はい」にできます。
出典・参考資料（2件）
チェックリストでは二要素認証（⑪⑫）が求められますが、そもそも二要素認証・多要素認証（MFA）とは何か、よく混同される二段階認証とはどう違うのかを押さえておくと、自局に合った方式や導入時期を判断しやすくなります。認証に使う3要素や仕組みは、以下の記事でわかりやすく解説しています。
立入検査での確認と年度内に整えること
チェックリストは自己点検の様式であると同時に、立入検査で確認される書類でもあります。令和8年度版の冒頭には、記入と対応の期限について次の注記があります。
＊立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で「はい」にマルが付くよう取り組んでください。
出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（確認用）｜厚生労働省
＊「いいえ」の場合、令和8年度中の対応目標日を記入してください。
すべての項目をいますぐ満たしていなくても、「いいえ」の項目に令和8年度中の対応目標日を記入しておけば、取り組みの途中であること自体は許容されます。チェック欄は「確認日」「目標日」「備考」で構成されており、未対応の項目には、いつまでに対応するかを記入しておきます。
立入検査では全項目の記入状況が確認されますが、そのうち一部の項目は書類の現物まで確認されます。令和8年度版のチェックリストマニュアルには、現物確認の対象について次のように示されています。
立入検査では「医療機関・薬局確認用」、「事業者確認用」のすべての項目について、確認日と回答等が記入されていることを確認します。このうち、2-①の台帳、3-①の連絡体制図、3-③の事業継続計画（BCP）、4-①の規程類は現物を確認しますので、立入検査までに作成してください。
出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル｜厚生労働省
現物を確認されるのは、機器の台帳（2-①）、連絡体制図（3-①）、事業継続計画（3-③）、運用管理規程などの規程類（4-①）の4点です。これらは記入欄に「はい」と書くだけでは足りず、文書として実在している必要があります。立入検査までに、まずこの4点の書類を整えておくと確実です。
薬局への立入検査は、薬機法にもとづき、薬局がサイバーセキュリティ確保のための取り組みを行っているかを確認するものとして実施されます。
事業者と保守契約を結んでいない場合は、事業者の対応が前提となる2-②（リモート保守機器の確認）と2-③（MDS/SDSの提出）については、確認が求められません。
出典・参考資料（2件）
チェックリストの項目のうち、二要素認証やアクセスログの管理、バックアップなど、自局だけでは対応が難しい項目は、専用のサービスを利用して整えることもできます。料金や機能は各社の資料でまとめて比較できます。
一括ダウンロードする
令和7年度版からの主な変更点
昨年度（令和7年度版）のチェックリストで対応を済ませた薬局も、令和8年度版では見直しが必要な箇所があります。両年度の原文を突き合わせると、主な変更点は次の4つです。
- 確認用様式の統合：令和7年度版では「医療機関確認用」と「薬局確認用」が別々の様式でしたが、令和8年度版では「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（確認用）」の1つに統合されました。
- 二要素認証の項目の分割と番号の繰り下げ：令和7年度版は二要素認証が1項目（管理・運用の2-⑩）でしたが、令和8年度版では「端末のアプリケーションログイン時（⑪）」と「サーバのOSログイン時（⑫）」の2項目に分かれました。これにより管理・運用の項目数が13から14に増え、アクセスログの管理（旧2-⑪→⑬）と接続元制限（旧2-⑬→⑭）の番号が繰り下がっています。
- 二要素認証の実装予定の表現の変更：令和7年度版の「または令和9年度までに実装予定である」が、令和8年度版では「または令和9年度以降初回のシステム更改時に実装予定である」に変わりました（⑪⑫とも）。
- パスワード要件（⑦）の表現の変更：令和7年度版の「英数字、記号が混在した8文字以上とし、定期的に変更している。※二要素認証、または13文字以上の場合は定期的な変更は不要」が、令和8年度版では「英数字の混在した8桁以上としている。※二要素認証を採用するまでの期間は13桁以上としている」に変わりました。要件文から「記号」と「定期的な変更」が外れ、「文字」が「桁」に、13桁の条件が「二要素認証を採用するまでの期間」の条件として整理されています。
これらの見直しは、2026年（令和8年）7月に公表された「医療情報システムの安全管理に関するガイドライン 第7.0版」に合わせたものです。令和7年度版で対応済みの薬局は、まず様式が統合されたこと、二要素認証が端末とサーバの2項目に分かれたことを確認し、番号のずれに注意して記入し直すとよいでしょう。
出典・参考資料（3件）
レセコン・電子薬歴ベンダーとの責任分界
チェックリストには、薬局が記入する「確認用」とは別に、レセプトコンピュータ（レセコン）や電子薬歴などのシステムを提供する事業者が記入する「事業者確認用」があります。どの項目を薬局が担い、どの項目を事業者が担うのかという線引き（責任分界）を整理しておくと、「いいえ」の埋め方を考える前に、自局で手を打つべき項目を絞り込めます。
事業者確認用では、一部の項目に「はい・いいえ」に加えて「対象外」の選択肢があります。令和8年度版は、それぞれの回答の意味を次のように定めています。
出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（事業者確認用）｜厚生労働省
- 「はい」：医療機関・薬局との保守契約範囲に含まれる項目であり、事業者側の責任で対応できていることを指します。
- 「いいえ」：医療機関・薬局との保守契約範囲に含まれる項目であるが、事業者側が対応できていない項目となります。事業者としての令和8年度中の対応目標日を記入してください。
- 「対象外」：医療機関・薬局との保守契約範囲外となり、当該項目の責任を医療機関・薬局が負います。医療機関・薬局に対して、責任分界の認識齟齬がないか、事業者側から必ず確認して下さい。
注意したいのは「対象外」の扱いです。事業者が「対象外」とした項目は、保守契約の範囲外であり、その責任は薬局が負います。パッチの適用（⑥）やアクセス権限の設定（④）、アクセスログの管理（⑬）などは、システムによっては事業者側で対応される場合もあれば、薬局が自前で対応する場合もあります。
事業者任せにできる範囲を事業者に確認し、「対象外」とされた項目は自局で埋める項目として整理しておきましょう。責任の分かれ目（責任分界）の考え方は、医療情報システムの安全管理に関するガイドライン第7.0版の企画管理編でも整理されています。
出典・参考資料（2件）
「いいえ」が残りやすい項目と埋め方
事業者側で対応される項目を外したうえで、自局に残る「いいえ」を埋めていきます。チェックリストの項目には、運用ルールを決めれば費用をかけずに「はい」にできるものと、仕組みやサービスの導入が必要なものがあります。まず、この2つを見分けると着手の順番を決めやすくなります。
運用ルールや設定で対応できる項目の例としては、不要アカウントの削除・無効化（⑤）、セキュリティパッチの適用（⑥）、パスワードの強度（⑦）と使い回しの禁止（⑧）、USBなど外部記録媒体の接続制限（⑨）、不要なソフト・サービスの停止（⑩）、連絡体制図（3-①）やBCP（3-③）、運用管理規程（4-①）の作成が挙げられます。
これらは新たな費用をかけなくても、設定の見直しや書類の整備で「はい」にできる項目です。まずは費用のかからないこれらの項目から着手すると、専任のIT担当がいない小規模な薬局でも、多くの項目を「はい」に近づけられます。
一方、二要素認証（⑪⑫）や職種別のアクセス権限（④）、アクセスログの管理（⑬）、接続元制限（⑭）は、既存のシステムだけでは対応しきれず、専用の仕組みやサービスが必要になりやすい項目です。
バックアップ（3-②）自体は、バックアップの確保と復旧手順の確認ができていれば「はい」にできます。ただし、ランサムウェアに感染するとバックアップごと暗号化される被害もあるため、その実効性を高めたい場合は、隔離された経路・保存先へのバックアップのような手段もあります。自局に残る「いいえ」を、次の対応手段と照らし合わせてみてください。
| いいえになりやすい項目 | 対応の手段 |
|---|---|
| ④職種別のアクセス権限 / ⑪⑫二要素認証 / ⑭接続元制限 | ログインの認証を強化し、職種や担当業務ごとにアクセスできる範囲を分けられるID管理の仕組み（IDaaS）を導入する |
| ⑬アクセスログの管理 | 誰がいつ・どの端末で・何を操作したかを記録・保管するPCの操作ログ管理サービスを利用する |
| 3-②バックアップ（ランサム被害に備える場合） | バックアップと復旧手順の確認で項目自体は満たせるが、ランサムに消されない実効性まで求めるなら、書き換えられない隔離された経路・保存先へのバックアップを確保する |
※費用をかけずに運用ルールで対応できる項目は、無理にサービスを導入する必要はありません。
「いいえ」が残る項目を埋めるサービス
ここからは、前述の「サービスが必要になりやすい項目」を埋める具体的なサービスを紹介します。認証とアクセス権限、操作ログの管理、隔離バックアップという、薬局で「いいえ」が残りやすい項目に対応するものを取り上げます。
| サービス名 | CloudGate UNO | Eye「247」 Work Smart Cloud | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 対応する主なチェック項目 | 二要素認証（⑪⑫） 職種別のアクセス権限（④） 接続元・時間帯の制限（⑭） | PC操作ログの記録・保管（⑬） USBなど外部媒体の接続制限（⑨） IT資産（機器）の棚卸し（2-①） | 隔離バックアップ（3-②） ＋脆弱性診断・サイバー保険 （チェックリスト外の付加） |
| 提供形態 | クラウド型のID基盤（IDaaS） | クラウド型のサービス（SaaS） | 予防・復旧・補償の 統合パッケージ |
| 初期費用 | 要問い合わせ | 0円 | 要問い合わせ |
| 料金の目安 | 月額400〜600円／ユーザー （税抜、2026年11月時点） | 月額400〜1,100円／台 （税抜・従量制、2026年11月時点） | 100ノード以下で年額90万〜150万円 （ノード数・診断頻度で変動、2026年11月時点） |
| 無料トライアル | 30日間 | 14日間 | なし （初回無料相談あり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金・無料トライアルは各社公式サイトの2026年11月時点の情報です。初期費用「要問い合わせ」やKATABAMIの料金は公式に金額の記載がなく、最新の条件は各社へご確認ください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。シングルサインオン・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理をまとめて提供します。チェックリストの二要素認証（⑪⑫）や職種別のアクセス権限（④）、接続元制限（⑭）を、1つの仕組みで整えられます。
アクセス制限は「端末・場所・時間」の3つの軸で設定でき、私用端末からのアクセス禁止や特定拠点への限定、時間帯による制御が可能です。認証はフィッシングに強いパスキーのパスワードレス認証に対応しています。
料金は、月額が1ユーザーあたりStandard Plus 400円、Enterprise Plus 500円、Smart Pack 600円（いずれも税抜、2026年11月時点）で、アカウントの自動作成・停止やアクセスログ・分析レポートはすべてのプランに標準で含まれます。公式サイトでは導入実績を1,400社以上としており、30日間の無料トライアルがあります。
出典・参考資料（1件）
2. Eye「247」 Work Smart Cloud（株式会社フーバーブレイン）
Eye「247」 Work Smart Cloudは、株式会社フーバーブレインが提供する、PCの操作ログを記録・可視化するクラウド型サービスです。「誰が・いつ・どこで・何を操作したか」を記録し、チェックリストのアクセスログの管理（⑬）に対応できます。
ファイル操作ログや個人情報を含むファイルの検知、USB使用履歴の記録、印刷ログなども取得できるため、USBなど外部記録媒体の接続制限（⑨）や、機器の棚卸し（2-①）の補助にも使えます。
作業ログは1分間隔で記録され、Windows・macOSに対応します。料金は初期費用が無料で、月額は契約台数に応じた1台あたりの従量制（税抜、100台以上で400円から、最低契約は5台）です。公式サイトでは導入実績を3,000社以上としており、14日間の無料トライアルがあります。専任のシステム担当を置きにくい薬局でも、ログの記録を自動化して「いいえ」を埋めやすい選択肢です。
出典・参考資料（1件）
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、国産のセキュリティ技術「KATABAMI」を基盤に、株式会社SYNCHROが脆弱性診断と隔離バックアップを提供するサービスです。IPv6アドレスと暗号化技術を組み合わせて、インターネット上に外から見えない通信経路を構築し、ネットワークの内側の脆弱性診断や、隔離されたバックアップを提供します。
チェックリストのランサムウェアに備えたバックアップ（3-②）に対しては、バックアップの経路と保存先をこの通信経路で隠し、利用者からも攻撃者からも到達できない状態で確保する仕組みを備えます。あわせて、サーバ・ネットワーク機器・複合機など、ネットワークにつながる機器の脆弱性を外部からリモートで診断し、見つかった問題点の対策まで伴走します。
料金は診断する端末台数（ノード数）と頻度に応じて変わり、100ノード以下は年額90万円から150万円が目安です。初回のヒアリングは無料で、資料請求ではなくオンラインでの相談から始められます。
出典・参考資料（1件）
チェックリストのバックアップ（3-②）は、バックアップと復旧手順の確認ができていれば「はい」にできます。ただし、ランサムウェアの被害ではバックアップごと暗号化されることがあり、その実効性が課題になります。この点について、株式会社SYNCHROの北口氏は独自インタビューで次のように述べています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
ここまでは「いいえ」が残りやすい認証・ログ・バックアップに絞ってサービスを取り上げましたが、社内のセキュリティ対策はほかにも多岐にわたります。守る対象別のタイプ分けや代表的なサービス、選び方を次の記事で詳しく解説しているので、自局に必要な対策を全体から見渡して検討したい方はあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、体制構築・管理運用・インシデント対応・規程類の4区分で、薬局が実施すべき対策を確認する様式です。立入検査では全項目の記入状況が確認され、機器の台帳・連絡体制図・BCP・運用管理規程の4点は現物まで確認されます。
まずは全項目を自局に当てはめて「はい・いいえ」を確認し、「いいえ」には令和8年度中の対応目標日を記入しておきます。事業者に任せられる範囲を確認したうえで、運用ルールで対応できる項目から着手し、二要素認証・アクセスログ・隔離バックアップのように仕組みが必要な項目は、専用のサービスの利用も検討するとよいでしょう。各社の料金や機能は、資料をまとめて請求して比較できます。
一括ダウンロードする
よくある質問（FAQ）
Q. 薬局のサイバーセキュリティ対策チェックリストへの対応は義務ですか？
A. 薬局のサイバーセキュリティ対策チェックリストが求める対策は、薬機法施行規則にもとづく法令上の義務です。2023年（令和5年）4月から、管理薬剤師が薬局の業務に係るサイバーセキュリティの確保に必要な措置を講じることが義務づけられています。
チェックリストは、その抽象的に書かれた「必要な措置」を具体化する手段として厚生労働省が示している自己点検用の様式です。各項目を満たすことが、法令の求める状態を満たした目安になります。
出典・参考資料（2件）
Q. チェックリストに「いいえ」が残っていると、立入検査で不利益を受けますか？
A. チェックリストに「いいえ」の項目が残っていても、令和8年度中の対応目標日を記入しておけば、取り組みの途中であること自体は認められます。令和8年度版の冒頭には「令和8年度中にすべての項目で『はい』にマルが付くよう取り組むこと」「『いいえ』の場合は令和8年度中の対応目標日を記入すること」と明記されています。
チェック欄も「確認日」「目標日」「備考」で構成されています。すべてをいますぐ満たしていなくても、未対応の項目にいつまでに対応するかを記入しておくことが求められます。
出典・参考資料（1件）
Q. 二要素認証（⑪⑫）は令和8年度中に導入しないと「はい」にできませんか？
A. 薬局のチェックリストの二要素認証は、いますぐ導入していなくても「令和9年度以降初回のシステム更改時に実装予定」であれば「はい」にできます。令和8年度版では、端末のアプリケーションログイン時（⑪）とサーバのOSログイン時（⑫）の2項目に分かれており、いずれも実装済みであるか、更改時の実装予定があれば満たしたことになります。
二要素認証をまだ導入していない間は、パスワードを13桁以上にする（⑦）ことが求められる点にも注意してください。
出典・参考資料（1件）
Q. レセコンや電子薬歴の事業者に任せてよい項目はどこまでですか？
A. 事業者に任せられるのは保守契約の範囲に含まれる項目までで、事業者が「対象外」とした項目は保守契約の範囲外となり、その責任は薬局が負います。チェックリストには、レセコンや電子薬歴などのシステムを提供する事業者が記入する「事業者確認用」があり、各項目を「はい・いいえ・対象外」で回答します。
「対象外」とされた項目は自局で埋める必要があるため、どこまでを事業者が担うのかを事前に確認し、責任の分かれ目（責任分界）に認識のずれがないようにしておきましょう。
出典・参考資料（1件）
Q. 立入検査では具体的に何を確認されますか？
A. 立入検査では全項目の記入状況が確認され、そのうち機器の台帳（2-①）・連絡体制図（3-①）・事業継続計画（BCP、3-③）・運用管理規程などの規程類（4-①）の4点は書類の現物まで確認されます。この4点は記入欄に「はい」と書くだけでは足りず、文書として実在している必要があります。立入検査までに、まずこの4点の書類を整えておくと確実です。
出典・参考資料（1件）
Q. 令和7年度版から令和8年度版で何が変わりましたか？
A. 令和8年度版の主な変更点は、「医療機関確認用」と「薬局確認用」の様式が1つに統合されたことと、二要素認証が端末（⑪）とサーバ（⑫）の2項目に分割されたことの2点が中心です。この分割により管理・運用の項目数が13から14に増え、アクセスログの管理と接続元制限の番号が繰り下がっています。
あわせてパスワード要件（⑦）の表現から「記号」と「定期的な変更」が外れるなどの整理も行われました。令和7年度版で対応を済ませた薬局も、番号のずれに注意して記入し直すと確実です。
出典・参考資料（2件）
薬局のセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、二要素認証・ID管理・操作ログ・バックアップなど、チェックリストの「いいえ」を埋める法人向けサービスの資料をまとめて請求できます。料金や機能を各社の資料で比較してご検討ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
