2編で済むかは契約書で決まる——安全管理ガイドライン第7.0版

はじめに——「うちはクラウドカルテだけなのに、142ページ読むのか」

医療情報システムの安全管理に関するガイドラインが、2026 年 6 月 29 日に第 7.0 版として発出されました。第 6.0 版から 3 年ぶりの改定です。同業の先生方から最初に返ってくる反応はだいたい同じで、「また分厚くなったのか」というものです。

実際、編の数は 4 つから 5 つに増えました。ただ、増えた 1 編は読む量を減らすための編です。すべてのサーバのセキュリティアップデートを事業者に委託している医療機関は、概説編と新設の保守委託機関編を遵守すれば、その他の編の項目も遵守できているものとみなす——第 7.0 版はそう明記しました。読む分量が減るのは、その結果です。クラウド型電子カルテだけで回している無床診療所は、まさにこの想定に入ります。

一方で、緩んだ話ばかりでもありません。パスワードの定期変更は不要になった代わりに二要素認証を採用していない場合は 13 桁以上が求められ、その二要素認証には令和 9 年度という時期が入りました。

この記事では、①何が変わったか → ②なぜ国はそうしたか → ③自院はどちらの経路か → ④費用と時間の見積り → ⑤実務の落とし穴 → ⑥次の 7.1 版への布石、の順でお伝えします。点数の話ではないため急かされる感覚は薄いのですが、立入検査と診療報酬の両方につながっている領域です。

改定の系譜を左から右へ並べた概念図。国内のサイバー被害を起点に、法制度の整備、意見公募、5編構成の新ガイドライン、そして次の版へと矢印でつながる — 図 1: 第 7.0 版に至る系譜。国内の被害事案と法制度の動きを受け、パブリックコメント 294 件を経て 2026 年 6 月 29 日に発出された。右端の破線は予告済みの第 7.1 版 (出典: 発出通知 [1] と審議会資料 [3] を基に編集部作成)

何が変わったか——4 つの改定を通知の言葉で確認する

第 7.0 版の改定内容は、発出通知 (産情発 0629 第 1 号、令和 8 年 6 月 29 日) が 3 分類で整理しています。診療所に関係する部分を逐語で引きます。

１全体構成の見直し ・保守委託機関編の追加

（中略: ２制度的な動向）

３技術的・社会的な動向 ・パスワードルールに関して、使い回しの禁止、アカウントロックの導入について追記する一方で、セキュリティ面の強化につながらないとされる「定期的な変更」の要件を削除。・二要素認証の導入について、医療情報システムのうち、クライアント端末及びサーバにおいて対応することを明確化するとともに、これまで対象が明確化されていなかった点も踏まえ、令和９年４月１日時点での対応が困難な医療機関等においては、次期システム改修での対応を許容する旨の緩和措置を設定。・保守委託機関編においては、専門人材が不足している小規模医療機関を想定し、すべてのサーバ（※）におけるセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等においては、保守委託機関編を遵守することで、その他の編の項目も遵守できているものとみなす旨を追記。（※）例えば CD-R で電子カルテのアプリケーションをインストールして運用するなど、サーバ機能を果たす PC 等の端末も含む。[1]

新旧の対比にすると、診療所にとっての変化は次の 4 点です。

項目	第 6.0 版まで	第 7.0 版
編の構成	概説・経営管理・企画管理・システム運用の 4 編	上記 + 保守委託機関編の 5 編
読む範囲	規模を問わず全編が対象	全サーバの更新を委託していれば概説編 + 保守委託機関編で足りる
パスワード	8 文字以上・英数字記号混在・定期変更あり (13 文字以上か二要素なら不要)	定期変更は一律不要。二要素採用時 8 桁以上、未採用時 13 桁以上。使い回し禁止とログイン失敗時のロックを本文に明記
二要素認証	令和 3 年度から実装を促す記述	令和 9 年度 (2027 年度) 時点で稼働するシステムの更改・新規導入時に採用。困難な場合は次期更改まで

(編の構成・読む範囲は [1][2]、パスワードは [10][11][12]、二要素認証は [1][10] による)

編は読者類型で切り分けられています。概説編は「本ガイドラインは、各編に共通する内容を整理した概説編と、医療情報システムの安全管理を実施するための統制・管理について各編で想定する読者類型ごとに整理した、経営管理編、企画管理編、システム運用編、保守委託機関編の５編から構成する」と書いています [2]。読者類型で分けた構成という設計です。院長は経営管理編、システム担当者はシステム運用編、そして専任担当者がいない小規模医療機関は保守委託機関編、という割り振りになります。

——ここまでを自院に置き換えると、確認することは 2 つです。1 つ、自院のパスワードは何桁で、定期変更の運用が残っていないか。2 つ、二要素認証の話をするとき、対象は端末とサーバの両方だと理解しているか。この 2 点だけ先に頭に入れておけば、以降の章は自院の話として読めます。

1 冊の本から 2 つの経路に矢印が分かれる概念図。上の経路は 4 冊の分厚い本が積まれた円へ、下の経路は薄い本 1 冊と鍵付きの契約書のアイコンへつながる — 図 2: 概説編を起点とする 2 つの経路。全サーバのセキュリティアップデートを事業者に委託していれば、下の経路 (概説編 + 保守委託機関編 = 38 ページ) で足りる。上の経路は 4 編で計 142 ページ (出典: 概説編図 3-1 [2] を基に編集部作成、ページ数は編集部実測)

なぜ国はこうしたか——法律・事件・人手不足の三方から

改定の理由は、通知の「改定の背景」に集約されています。ここは点数や様式と違い、次の改定でも書き換わらない部分です。

同版の公表以降も医療機関等を対象としたサイバー攻撃事案の発生が継続しているほか、サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律（令和７年法律第 42 号）をいう。）の成立等を背景に、サイバーセキュリティに対する社会的関心及び重要性は一層高まっております。[1]

上流をたどると、3 本の線が第 7.0 版に合流しています。1 本目は法制度で [1]、2025 年に成立したサイバー対処能力強化法と、国家サイバー統括室による「重要インフラのサイバーセキュリティに係る安全基準等策定指針」の改定です。第 7.0 版はこれに合わせ、ガイドラインの根拠法にサイバーセキュリティ基本法を追加しました [2]。2 本目は事業者側のガイドラインで、経済産業省・総務省の 2 省ガイドラインが第 2.0 版に改定されたことを受け、医療機関と事業者の役割分担の記述が更新されました [1]。3 本目が現場の実態、すなわちクラウド利用の増加と、専任担当者の不在です。

ここで注意したいのは、根拠法が増えたことは、診療所が重要インフラ事業者として直接規律されることを意味しないという点です。概説編は自分でそう留保しています。

もっとも、サイバーセキュリティ基本法の対象は重要インフラ事業者であり、必ずしも本ガイドラインが対象としている医療機関と同一となるものではないことに留意されたい。[2]

では診療所を縛っているのは何かというと、医療法施行規則です。概説編が引く条文はこうです。

病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティ（サイバーセキュリティ基本法（平成 26 年法律第 104 号）第２条に規定するサイバーセキュリティをいう。）を確保するために必要な措置を講じなければならない。[2]

病床の有無は書かれていません。無床診療所の院長も名宛人です。そして「必要な措置」を具体化した文書として厚労省が示しているのがこのガイドラインで、その実施状況は立入検査の際にチェックリストで確認されます [5][11]。省令 → ガイドライン → チェックリストという三段構造です。

6.1 版はどこへ消えたのか

もう一つ、この改定には経緯上の空白があります。2025 年 3 月から 4 月にかけて、ガイドラインの改定案が 3 週間のパブリックコメントに付されました [3]。当時の案は「第 6.1 版 (案)」として公示されていましたが、6.1 版は正式には発出されませんでした。公式の改定沿革表は「第 6.0 版 R5.5 → 第 7.0 版 R8.6」と並んでおり、6.1 版は 1 度も版として計上されていません [3]。

その間に何があったかは、審議会資料が数字で示しています。

〇 3週間のパブリックコメント募集を実施し、294件のご意見を賜り、適宜いただいたご意見を本文に反映した。[3]

294 件の内訳で最も多かったのがシステム運用編の 134 件で、内容は「二要素認証、VPN、医療機器、技術的対策、フィッシング対策」と記録されています。次いで保守委託機関編の 50 件、企画管理編の 42 件です [3]。パブコメ期間は令和 7 年 3 月 27 日から 4 月 17 日で、そこから発出まで約 1 年 2 か月かかっています。厚労省は 6.1 版が 7.0 版になった理由を明示していないため断定はできませんが、意見が集中した領域 (二要素認証と保守委託) が、そのまま第 7.0 版の目玉になっているのは事実です。

条文の裏に、実際の被害がある

第 7.0 版の細かい要求は、抽象的な理想ではなく、国内で起きた事故の再発防止として読むと腑に落ちます。

つるぎ町立半田病院 (徳島県、120 床) は 2021 年 10 月末にランサムウェアの被害を受け、通常診療の再開は 2022 年 1 月 4 日、約 2 か月後でした。有識者会議の調査報告書は、パスワードの最小桁数が 5 桁でアカウントロックアウトが無効だったこと、侵入経路となった VPN 装置の脆弱性 (2018 年に公表された CVE-2018-13379) が被害時点まで未修正だったことを認定しています [18]。被害病院の事業管理者自身も、厚労省の注意喚起が令和 3 年 6 月 28 日に出ていたのに 4 か月後に被災したと書き残しています [4]。

大阪急性期・総合医療センターは 2022 年 10 月末に被害を受け、電子カルテの再稼働まで 43 日、診療機能の完全復旧まで 73 日を要しました。侵入経路は給食委託事業者の VPN 機器で、報告書は全ユーザーに管理者権限が付与され、サーバと端末の Windows パスワードがすべて共通だったことを記録しています [19]。

第 7.0 版が「使い回しの禁止」「一定回数の失敗でログイン不能にする仕組み」「VPN 機器の脆弱性管理を保守契約の範囲に含める」を明記したのは、この 2 件で破られていた項目とほぼ一致します。新しい理想を掲げた改定ではなく、起きた事故を条文に写し取った改定だと私は読んでいます (見立て)。

——ここまでを自院に置き換えると、腑に落ちる点が 1 つあります。第 7.0 版が求めていることの多くは、この 2 件の報告書を読んだ人なら「そこは確かに危なかった」と思う項目です。制度対応のためではなく、同じ止まり方をしないための条文だと考えると、優先順位が付けやすくなります。

自院はどちらの経路か——判定は 1 問で決まる

第 7.0 版は、全医療機関がまず概説編を読み、たった 1 つの問いで経路が分かれる構造を採っています。問いは「すべてのサーバのセキュリティアップデート責任を事業者に委託しているか」です。

YES なら保守委託機関編へ、NO なら従来どおり企画管理編とシステム運用編へ進みます。ここで重要なのは、YES を選べる条件が概説編の脚注で厳密に規定されていることです。

※２:「事業者がセキュリティアップデート責任を負うこと」が、契約書や約款、サービスレベル合意書等に記載されている場合にのみ「YES」を選択可能となる。記載がない場合や不明確な場合には医療機関側の責任となっている可能性がある。不明確な場合は必ず契約事業者に直接確認し、責任の所在を明確にすること。[2]

「ベンダーさんがやってくれているはず」では YES になりません。契約書・約款・SLA のいずれかに書かれていることが条件です。逆に言えば、この記事を読んで最初にやるべき作業は、電子カルテの契約書か約款を開いて「セキュリティアップデート」の文字を探すことになります。

「サーバ」の定義にも注意が必要です。

※１:ここでいう「サーバ」は、医療情報の保存や主要な処理を担う機器を指す。原則としてPCやタブレット等のクライアント端末は含まない。ただし、電子カルテアプリ等を端末にインストールし、当該機器上で処理が完結する場合はPC等の端末も「サーバ」に含む。[2]

院内に置いた PC に電子カルテをインストールして完結させている、いわゆるスタンドアロン運用は、その PC が「サーバ」に該当します。

そして、みなしは無条件ではありません。保守委託機関編は自ら例外を書いています。

⑩汎用的な医療情報システムについて、委託等を行わずに導入したシステム・サービス等（PC 等の端末やネットワーク機器を除く）を利用する場合は、システム運用編における遵守事項への対応を行うこと。[5]

委託の外で 1 本でも自前のシステムを入れれば、その分だけシステム運用編が戻ってきます。また、院内で完結する物理的な管理は委託できません。

但し、医療機関等内部での医療情報の利用については医療機関等自らが管理する必要がある。例えばサーバルーム等のセキュリティ境界への入退室管理や、媒体や機器の保管ルール、利用端末の画面ロックアウト設定、などが挙げられる。[5]

では、負担はどれだけ違うのか。ページ数で比べると差は明確です。通常ルートは概説編 11 ページ + 経営管理編 21 ページ + 企画管理編 59 ページ + システム運用編 51 ページで計 142 ページ。保守委託機関編ルートは概説編 11 ページ + 保守委託機関編 27 ページで計 38 ページです。遵守項目もチェックボックス形式で 52 項目に集約されています (ページ数・項目数はいずれも編集部が各 PDF を実測)。

責任者を雇う必要はない

もう一点、院長が気にする箇所を先に潰しておきます。医療情報システム安全管理責任者の設置は、規模による免除がありません。ただし、誰がやるかについてガイドラインは明記しています。

医療情報システム安全管理責任者は、医療情報を取扱うシステム全体の安全性の管理を担うことが想定されており、医療機関等において必ず設置すること。小規模医療機関等では院長等の経営層が医療情報システム安全管理責任者を担うことは十分想定される。[5]

小規模なら院長が担うことが想定されている、と書いてあります。新たな採用も外部委託も前提とされていません。実務上は、規程か体制図に「医療情報システム安全管理責任者: 院長」と明記するところから始まります。ただし名前を書けば終わりではなく、次に述べる年次点検を実際に回すところまでが職責です。

点検の方法についても、負担への配慮が明示されています。

一方で本編の主な対象となる小規模医療機関等では、第三者監査の負担が大きいと想定される。このため、最低限の対応として、年次などの頻度で、策定した安全対策の運用状況を、医療情報システム安全管理責任者等が点検し、問題や懸念事項があった部分については、内部でのルールの見直しや、委託契約内容の見直しなどの検討を行うこと。[5]

最低限の対応としては、年次の頻度で院長が自分で点検すればよいという設計です。外部監査は遵守項目でも「必要に応じて」と書かれており、必須ではありません。

規程の作り込みについても、厚労省は先回りして釘を刺しています。

小規模の医療機関等では、担当する業務ごとに区分された組織（部署）がないことも多い。このような場合、過度に詳細な計画や規程類を策定しても、単に医療機関等の負担が増大し実効性が伴わないリスクがある。[17]

分厚い規程を作ることが目的ではない、と作った側が書いているわけです。

そのうえで、保守委託機関編ルートに乗った診療所の守備範囲がどこかも明言されています。

小規模医療機関等では、人的なリソースが限定されることから、できるだけクラウドサービスの利用や業務委託により、システム導入や運用、保守（セキュリティアップデート含む）などの管理を事業者に委ねることが推奨される。この際、医療機関等が実施すべき安全管理は人的管理が中心となる。[5]

技術対策ではなく職員の管理と委託先の管理が中心になる。これが、第 7.0 版が小規模医療機関に示した答えです。

——ここまでを自院に置き換えると、今週やることは 1 つです。電子カルテの契約書か約款を開いて「セキュリティアップデート」の 1 語を探す。見つかれば読むのは 38 ページ、見つからなければ 142 ページと、事業者への 1 本の電話です。事務長がいる診療所なら、この確認は事務長に任せられる作業でもあります。

里山の診療所から伸びる一本道が、契約書の掲示された地点で二手に分かれる概念図。一方の道は軽い手提げへ、もう一方は重い登山リュックへ向かう — 図 3: 判定は 1 問で決まる。契約書・約款・SLA にセキュリティアップデート責任の記載があるかどうかで、以後に負う分量が変わる (出典: 概説編図 3-1 脚注 [2] を基に編集部作成)

費用と時間をどう見積もるか——検算できる形で

この改定に点数は付いていません。したがって「取れば増収」という試算はできず、見るべきは費用と時間、そして失った場合の損失です。3 つに分けて考えます。

時間——作業の中身は「確認と書面化」

保守委託機関編ルートに乗る診療所の作業は、大部分が「確認と書面化」であって、機器の購入ではありません。具体的には、契約書・約款でセキュリティアップデート責任を確認する、委託先ごとにシステム一覧と責任分担を書面化する、事業者から MDS/SDS (医療機器・システムのセキュリティ開示書) を出させて別紙と突き合わせる、という 3 つが中心です。ガイドラインが示す一覧表の様式は、システム名・委託先事業者・製品名・委託業務概要の 4 列というごく簡素なものです [5]。

編集部の見立てとしては、電子カルテ 1 本とネットワーク回線 1 本という典型的な無床診療所であれば、事業者への確認を含めて数時間から半日の作業で一覧表と責任分界の書面は形になります (見立て)。ただし、事業者からの回答待ちが律速になるため、暦の上では 2〜4 週間を見ておくのが現実的です (見立て)。

費用——更改時期しだいで 0 円にも数十万円にもなる

こちらは金額が発生します。ただし第 7.0 版の要求は「今すぐ買え」ではなく「更改・新規導入のときに採用せよ」という構造です (次章で詳述)。したがって、現在のシステムの更改時期がいつかによって、この改定の費用は 0 円にも数十万円にもなります (見立て)。

自院の数字で検算するときの式はこうなります。

追加費用 = (二要素認証に対応した製品への差額)
         + (認証デバイスの単価 × 職員数)
         + (設定・移行作業の委託費)

更改が令和 9 年度以降に予定されているなら、第 1 項は次期更改の見積りに吸収され、この改定を理由とする追加費用は原則として発生しません (見立て)。更改予定が令和 12 年、といった遠い将来なら、経過措置の範囲に入るかを事業者と確認することになります。逆に、更改が目前に迫っているなら、選定の条件に二要素認証対応を入れるだけで費用はほぼ増えません (見立て)。つまり分岐は金額ではなく、更改の時期をいつと置いているかです。

損失——被害が起きた場合に失うもの

ここは実数で語れます。日医総研が国内の病院 2 施設・診療所 1 施設を精査した事例研究では、復旧費用が 99 床未満の病院で約 5,000 万円、100〜199 床の病院で約 7,000 万円強と報告されています。診療所の事例は「数千万円規模」で、具体的な金額までは聞き取れなかったと注記されています。同レポートは「医療機関においてサイバー攻撃による被害があった場合、少なくとも 5 千万円〜1 億円程度の復旧費用が掛かると想定しておくべき」と結論づけています [6]。大阪急性期の事例では、調査・復旧費用が数億円以上、診療制限による逸失利益が十数億円以上と見積もられました [19]。

なお、これらは攻撃を受けた場合の実績値です。第 7.0 版への対応は被害の発生確率と影響を下げるものであって、ゼロにするものではありません。

診療停止の期間も具体的です。国立大学病院の遠隔バックアップシステムで実施されたリストアテストでは、実測に基づく目標復旧時間が医事会計システムのデータベース領域で約 46 分、電子カルテのデータベース領域で約 53 時間 45 分、画像データ 1 年分で約 97 時間 47 分と算出されています [7]。大学病院の構成での実測値であり、診療所にそのまま当てはまるものではありません。ただし「バックアップがある」と「何時間で戻せる」が別問題であることは、規模を問わず同じです (見立て)。

さらに、被害は自院で完結しません。米カリフォルニア州の 8 件のランサムウェア事案を、攻撃を受けた病院と受けていない病院の推移を比べる手法 (差分の差分法) で分析した研究では、攻撃された病院の救急受診が 2 週後に 16.21% 減少 (95%CI −26.58〜−5.84) した一方で、近隣の攻撃されていない病院の救急受診が 3 週後に 7.09% 増加 (95%CI 0.47〜13.71) したと報告されています [8]。サンディエゴの隣接救急部門を調べた研究では、診察を受けずに帰った患者が 158 人から 360 人へ、脳卒中コードの発動が 59 件から 102 件へ増えたと報告されました [9]。連携先の病院が止まった日に自院に何が起きるかも、この改定を機に考えておく価値があります。

——ここまでを自院に置き換えると、事務長と詰める数字は 2 つです。1 つ、電子カルテの次の更改予定年度。2 つ、その見積りに二要素認証対応が含まれているか。この 2 つが埋まれば、この改定にかかる費用は 0 円か数十万円かのどちらかに確定します。

大きさの異なる 3 つの山が左から順に高くなる概念図。左の低い山にはチェックリスト、中央の山には設定書類、右の高い山には修理と防御のアイコンが置かれている — 図 4: 負担の桁の違い。左から、平時の確認と書面化 / 更改時の追加対応 / 被害発生時の復旧。日医総研の事例研究は復旧費用を 99 床未満の病院で約 5,000 万円、100〜199 床で約 7,000 万円強と報告している (出典: [6] を基に編集部作成。山の高さは概念的な対比であり縮尺ではない)

実務の落とし穴——通知どおりに動くと引っかかる 6 箇所

落とし穴 1: 特設ページのチェックリストは、まだ旧版

令和 8 年度版のチェックリストは、ガイドライン第 7.0 版の掲載ページ側にあります。2026 年 8 月 6 日時点で、厚労省のサイバーセキュリティ特設ページに掲載されているのは令和 7 年度版です (編集部確認)。チェックリストを取りに行くなら第 7.0 版のページ、と覚えておくのが安全です。

新旧の違いも押さえておきます。令和 8 年度版は医療機関用と薬局用が一本化され、項目数は 19 項目 (令和 7 年度版は 18 項目)。増えた 1 項目の実体は、二要素認証がクライアント端末とサーバの 2 項目に分離されたことです (編集部が両版を突合)。

落とし穴 2: 「非常時は協議のうえ決定する」という契約条項は、名指しで不十分とされている

保守委託機関編は、責任分界の書き方についてこう述べています。

特にセキュリティを含む安全管理に関しては、契約書や SLA などでも一般的な記載（例:非常時の対応は協議において決定する、等）に留まり適切な対応ができないケースが存在する。[5]

多くの保守契約に入っている条項が、そのまま例として挙げられています。求められているのは、誰が・いつまでに・何をするかの粒度です。

落とし穴 3: 事業者側のパスワード規律まで契約で縛る必要がある

昨今のサイバー攻撃事案では、事業者側が脆弱なパスワードや、他院と共通のパスワードを使い回すことで被害に遭った事案も発生している。例えば、事業者の設定するパスワードが本ガイドラインに適合していることや、電子証明書の利用によって認証すること等を契約書によって担保することが考えられる。[5]

自院のパスワードをいくら強くしても、保守用アカウントが他院と共通なら意味がありません。外部ネットワークとの接続点となる機器については、脆弱性対応を事業者の保守範囲として契約に含むことが原則として想定されているとも明記されています [5]。

事業者選定の基準も具体的です。ガイドラインが第一に挙げるのは、プライバシーマーク認定または ISMS 認証 (情報セキュリティ管理体制の第三者認証) の取得。どちらも無い事業者の場合は、代わりに次のいずれかの評価を受けていることを求めています [5]。

ISMAP (政府のクラウドサービス登録制度。ただし簡易版の ISMAP-LIU は不可)
CS ゴールドマーク (JASA クラウドセキュリティ推進協議会)
FedRAMP (米政府のクラウド認定。簡易版 LI-SaaS は不可)
AICPA SOC2／SOC3 (またはこれに準じる公認会計士の監査報告書)
HISPRO による医療情報クラウドサービスの評価

これも無ければ、システム監査技術者試験合格者等による外部監査結果が必要になります [5]。クラウド電子カルテを選ぶときの、実質的な足切り基準がここにあります。

ただし、認証があれば安心という読み方は、ガイドライン自身が否定しています。経営管理編の脚注は「ISMS 認証については、…安全対策の有効性までを認証するものではないことに留意する必要がある」と書いています [17]。認証は入口の足切りであって、契約で何を約束させたかの代わりにはなりません。

落とし穴 4: PC とネットワーク機器の保守責任が、契約の空白地帯になりやすい

外部保存を委託する場合の契約確認項目として、保守委託機関編の遵守項目一覧は末尾に 2 つの項目を置いています。

・サーバのセキュリティアップデートを含む保守責任が事業者にあること・PC やネットワーク機器等、端末の保守責任が医療機関等と事業者のいずれにあるか [5]（遵守項目一覧）

電子カルテはベンダー、VPN ルータは「誰の担当か曖昧」という状態が、国内で繰り返し突かれてきた経路です [18][19]。ここを契約で埋めることが求められています。なお保守委託機関編は事業者も読者類型として想定した編であり、責任分界の明確化は双方に課された宿題です。契約交渉は事業者を追い込む作業ではなく、曖昧なまま放置されてきた分担を一度きちんと書き出す作業になります。

落とし穴 5: 二要素認証の「二要素」を勘違いする

別紙の MDS/SDS 確認事項は、二要素の定義をこう書いています。

利用者の認証方式について、下記のうち二要素を組み合わせた認証が可能か? ・記憶（ID・パスワード等）・生体認証（指紋等）・物理媒体（IC カード等）[5]

ID とパスワードは、どちらも「記憶」の 1 要素です。パスワードを 2 つ設定しても二要素にはなりません。さらにシステム運用編は「OS で一要素、アプリケーションで一要素のような認証は許容されない」と明記しています [10]。

なお、職員数が少ないことは免除の理由になりません。システム運用編は「これは、小規模な医療機関等で医療情報システムの利用者が限定される場合においても、同様である」と書いています [10]。職員 3 人だから共有アカウントでよい、という運用は明確に否定されています。

そして時期の表現も、通知と本文で語り口が違います。本文の遵守事項はこうです。

⑤ 令和９年度（令和 9 年 4 月 1 日時点）時点で稼働していることが想定される医療情報システムを、今後、新規導入又は機器の入替等を伴うシステム更改をするに際しては、二要素認証を採用、又はこれに相当する対応を行うこと。なお技術的な理由等により令和９年度までの対応が困難な場合には、令和９年度以降、直近の次期の医療情報システムの更新までを期限とする。[10]

つまり発火のきっかけは更改・新規導入というイベントと読み替えられ、令和 9 年 4 月 1 日に全医療機関で一斉に義務が立ち上がる構造ではありません。ただし発出通知の側は「令和９年４月１日時点での対応が困難な医療機関等においては、次期システム改修での対応を許容する」という書き方をしており、令和 9 年 4 月 1 日を到達目標時点として扱っています [1]。緩和措置に申請や届出の手続きは規定されていませんが、代替措置の同等性については「医療法に基づく立入検査の際に同等性を検査職員に対して説明できること」が基準として挙げられています [10]。書類は出さなくてよいが、聞かれたら説明できる状態にしておく、というのが実務上の落とし所です。

なお、保守委託機関編ルートの診療所には、もう一段の軽減があります。同編の遵守項目はサーバ側について「オンプレミスのサーバが院内に存在する場合は」という条件を付けています [5]。院内にサーバの実機を置かず、クラウド上の電子カルテだけで運用している診療所には、サーバ OS 側の二要素認証の要求が事実上発生しません。ただしこれは要求が消えたのではなく、事業者側に移ったということです。**クライアント端末側の二要素認証は、クラウド運用であっても引き続き求められます。**だからこそ、落とし穴 3 の契約確認が効いてきます。求められるのは「令和 9 年度以降のシステム更新時に対応可能な事業者を選定すること」という調達行為です [5]。

落とし穴 6: パスワードは「緩んだ」だけではない

定期変更が不要になったのは事実です。システム運用編は「いずれの場合においても、パスワードの定期的な変更は不要とする」と明記しています [10]。一方で桁数は二分されました。

二要素認証を採用していることを前提とした場合、パスワードの桁数は 8 桁（PIN であれば 4 桁）以上が求められる。この際、英数字の混在（大文字小文字は問わない）を求める。ただし、二要素認証を採用していない場合には 13 桁以上とすること。[10]

二要素認証をまだ入れていない診療所は、13 桁以上が求められます。令和 7 年度版のチェックリストが「英数字、記号が混在した 8 文字以上とし、定期的に変更している」だったのに対し、令和 8 年度版は「パスワードは英数字の混在した 8 桁以上としている。※二要素認証を採用するまでの期間は 13 桁以上としている」に変わりました [11][12]。記号の必須要件を外し、長さに寄せた形です。あわせて、一定回数の認証失敗でログイン試行を一定時間不能にする仕組みも遵守事項に入りました [10]。

——実務に移すと、契約書に赤ペンを入れる箇所は 3 つです。①サーバのセキュリティアップデート責任、②PC・ネットワーク機器の保守責任、③非常時の対応を「協議のうえ決定する」で終わらせていないか。次の契約更新のときに、この 3 行を持ち込めば足ります。

上段に記憶・生体・物理媒体を表す 3 つのアイコンが並び、下段では異なる 2 つを線でつないだ組み合わせにチェック、同じ種類を 2 つつないだ組み合わせにバツが付いている概念図 — 図 5: 二要素認証の成立条件。記憶 (ID・パスワード)、生体、物理媒体の 3 分類から異なる 2 つを組み合わせる必要があり、パスワードを 2 つ設定しても成立しない (出典: 保守委託機関編【別紙】[5] を基に編集部作成)

次の改定への布石——7.1 版はすでに予告されている

第 7.0 版は完成形として出されたわけではありません。審議会資料は、パブリックコメントの積み残しを名指しした上で、次の版を予告しています。

〇以下2点の積み残し課題について、7.0版改定後も継続して検討し、可及的速やかに7.1版への改定を目指す。課題①：医療機器の二要素認証 … 医療機器については、現在、世界的な動向としても二要素認証が必須化されていないこともあり、今回の改定では改変を見送る。課題②：国内法の執行に関する規制 … 「情報機器等が、国内法の適用及び執行の及ぶ範囲にあること」としたが、実際にはがんパネル検査のように日本でのサービス供給量が十分でなく、当然海外に保存されているような医療情報も存在する。[3]

争点は 2 つに絞られています。ひとつは電子カルテにつながる医療機器の認証、もうひとつは医療情報を国内に置くという要件です。後者はクラウドサービスの選定に直結するため、海外リージョンを使うサービスを検討している場合は、7.1 版の行方を見ておく価値があります。

日本のガイドラインは国際的に突出して厳しいのか。米英と並べると、そうでもありません。

米国の HIPAA セキュリティ規則は、実装仕様を Required と Addressable に分けています。Addressable は「合理的・適切なら実装し、そうでなければ理由を文書化した上で同等の代替措置を実装する」という条件付き義務です (45 CFR 164.306(d) の訳) [13]。多要素認証と全件暗号化を義務化する改正案は 2025 年 1 月に提案されましたが、2026 年 8 月時点で最終規則は公布されていません。統一アジェンダ上では長期案件に格下げされ、最終化予定は 2027 年 7 月へ後退しています [14]。

小規模への配慮も同じです。米国の実装ガイドは小規模組織を「医師 1〜10 名・単一拠点・専任 IT なし」と定義し、専用の巻を用意しています [15]。英国は NHS のデータセキュリティ保護ツールキットを毎年 6 月末までに提出させる仕組みで、GP 診療所も対象です [16]。

つまり、規模に応じて要求を分ける・小規模には専用の入口を用意するという発想は各国共通で、第 7.0 版の保守委託機関編はその日本版にあたると私は読んでいます (見立て)。日本だけが突出して厳しい要求を課された、という読み方は取らなくてよさそうです。

3 つの建物が並び、それぞれの入口の大きさが異なることで規模に応じた要求の違いを示した概念図 — 図 6: 日米英はいずれも規模に応じて要求を分けている。日本の保守委託機関編、米国の小規模組織向け実装ガイド、英国の組織カテゴリ別ツールキットがそれに当たる (出典: [5][15][16] を基に編集部作成)

——ここまでを自院に置き換えると、いま手を打つ意味は「次の 7.1 版で何が来ても慌てないため」に尽きます。医療機器の認証とデータの保存先、この 2 つが次の争点だと分かっていれば、今年の機器更新やクラウド選定のときに一言確認しておくだけで済みます。

この改定は診療報酬ともつながっています。令和 8 年度改定の答申は「医療情報取得加算及び医療 DX 推進体制整備加算を廃止し、診療録管理体制加算におけるサイバーセキュリティ対策に係る要件を見直した上で、初診料、再診料、外来診療料及び入院料加算として、電子的診療情報連携体制整備加算を新設する」と書いています (印字 p.510) [20]。診療録管理体制加算にあったサイバーセキュリティ対策の評価は、この新加算の入院側 (A207-5) に移設されました [20]。外来側の要件にサイバー対策そのものは入っていませんが、サイバー対策は医療 DX 連携体制の前提として位置づけ直された、と読むのが自然です (見立て)。加算の詳細は電子的診療情報連携体制整備加算を「設計思想」から理解するで扱っています。

おわりに——契約書を 1 通、開くところから

第 7.0 版で診療所が最初にやることは、機器の購入でも規程の全面改訂でもありません。電子カルテの契約書か約款を開いて、セキュリティアップデートの責任が誰にあるかを確認することです。そこに書かれていれば保守委託機関編ルートに乗り、読む分量は大きく減ります。書かれていなければ、その確認自体が事業者との最初の交渉になります。

二要素認証は、次の更改の選定条件に 1 行足すだけで大半が片付きます。逆に、更改の直前まで放置すると選択肢が狭まります。効くのは今年度、次の更改の仕様を書く前です。

クリニックAIラボ™では、制度の改定を一次資料で追い続け、変わった箇所だけを診療所の実務に翻訳してお届けします。第 7.1 版の動きも、確認でき次第この記事に追記します。

なお、本記事は第 7.0 版および関連通知の公表資料に基づく情報提供です。自院の対象判定や契約の解釈については、契約している事業者および管轄の保健所・地方厚生 (支) 局にご確認ください。契約条項の法的評価が必要な場合は、弁護士等の専門家にご相談ください。また、本記事の費用・工数の見積りは編集部の推定であり、実際の金額は事業者の見積りによります。

更新履歴

2026-08-06: 初版公開 (第 7.0 版 2026 年 6 月 29 日発出、令和 8 年度版チェックリスト対応)

参考文献

厚生労働省大臣官房医薬産業振興・医療情報審議官. (2026). 「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について (産情発0629第1号、令和8年6月29日). https://www.mhlw.go.jp/content/10808000/001716656.pdf （2026-08-06 取得）（改定の概要・背景・緩和措置を定めた発出通知本文）
厚生労働省. (2026). 医療情報システムの安全管理に関するガイドライン第7.0版概説編 (令和8年6月). https://www.mhlw.go.jp/content/10808000/001716290.pdf （2026-08-06 取得）（5編構成・対象範囲・判定フロー・根拠法・医療法施行規則第14条第2項の引用）
厚生労働省健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ. (2026). 【資料5】「医療情報システムの安全管理に関するガイドライン第7.0版（案）」について (第32回、令和8年5月29日). https://www.mhlw.go.jp/content/10808000/001705949.pdf （2026-08-06 取得）（改定沿革表・パブリックコメント294件と編別内訳・7.1版への積み残し課題）
須藤泰史. (2024). 医療機関に求められているサイバーセキュリティとは：ランサムウェアによる被害を経験して. 日本農村医学会雑誌, 72(6), 479-482. https://doi.org/10.2185/jjrm.72.479 （2026-08-06 取得）（被害病院の事業管理者による当事者報告。厚労省注意喚起の4か月後に被災した経緯とBCPへの章追加）
厚生労働省. (2026). 医療情報システムの安全管理に関するガイドライン第7.0版保守委託機関編. https://www.mhlw.go.jp/content/10808000/001716297.pdf （2026-08-06 取得）（対象判定・責任分界の遵守事項・契約確認項目・MDS/SDS別紙・52項目の遵守項目一覧）
日本医師会総合政策研究機構. (2023). 医療機関へのサイバー攻撃の事例研究 (日医総研リサーチレポート No.136). https://www.jmari.med.or.jp/wp-content/uploads/2023/04/RR136.pdf （2026-08-06 取得）（無床診療所・99床未満・100-199床の復旧費用実例）
横田慎一郎, 河添悦昌, 井田有亮, 森川工, 大江和彦. (2025). 国立大学病院遠隔バックアップシステム（the GEMINI Project）のリストアテスト実施結果と課題の分析. 医療情報学, 45(1), 35-43. https://doi.org/10.14948/jami.45.35 （2026-08-06 取得）（実測に基づく目標復旧時間: 医事会計DB約46分、電子カルテDB約53時間45分、画像1年分約97時間47分）
Abouk, R., & Powell, D. (2024). Ransomware Attacks, ED Visits and Inpatient Admissions in Targeted and Nearby Hospitals. JAMA, 331(24), 2129-2131. PMID: 38809568. https://doi.org/10.1001/jama.2024.7752 （2026-08-06 取得）（差分の差分法。攻撃病院のED受診2週後−16.21%、近隣病院3週後+7.09%）
Dameff, C., Tully, J., Chan, T. C., et al. (2023). Ransomware Attack Associated With Disruptions at Adjacent Emergency Departments in the US. JAMA Network Open, 6(5), e2312270. PMID: 37155166. https://doi.org/10.1001/jamanetworkopen.2023.12270 （2026-08-06 取得）（隣接ED: 未受診帰宅158→360人、脳卒中コード59→102件）
厚生労働省. (2026). 医療情報システムの安全管理に関するガイドライン第7.0版システム運用編. https://www.mhlw.go.jp/content/10808000/001716295.pdf （2026-08-06 取得）（14章認証・認可に関する安全管理措置。二要素認証の遵守事項・経過措置・パスワード桁数・ログイン失敗時のロック）
厚生労働省. (2026). 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト (令和8年度版、令和8年6月). https://www.mhlw.go.jp/content/10808000/001716185.pdf （2026-08-06 取得）（立入検査で確認される項目。医療機関用と薬局用を一本化）
厚生労働省. (2025). 医療機関におけるサイバーセキュリティ対策チェックリスト (令和7年度版). https://www.mhlw.go.jp/content/10808000/001703610.pdf （2026-08-06 取得）（前年度版。パスワード要件の新旧比較に使用）
U.S. Government Publishing Office. (2024). 45 CFR 164.306 Security standards: General rules. https://www.govinfo.gov/content/pkg/CFR-2024-title45-vol2/pdf/CFR-2024-title45-vol2-sec164-306.pdf （2026-08-06 取得）（Required / Addressable の二分法と一般的要件）
Office of Information and Regulatory Affairs. (2025). Unified Agenda: HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information (RIN 0945-AA22). https://www.reginfo.gov/public/do/eAgendaViewRule?pubId=202510&RIN=0945-AA22 （2026-08-06 取得）（2025年秋に長期案件へ移行、最終化予定2027年7月）
U.S. Department of Health and Human Services. (2023). Health Industry Cybersecurity Practices: Technical Volume 1 — Cybersecurity Practices for Small Healthcare Organizations (2023 Edition). https://405d.hhs.gov/Documents/tech-vol1-508.pdf （2026-08-06 取得）（小規模組織の定義と実装ガイド）
NHS England. (2026). Data Security and Protection Toolkit — Overview. https://www.dsptoolkit.nhs.uk/Help/overview （2026-08-06 取得）（提出期限と対象組織カテゴリ）
厚生労働省. (2026). 医療情報システムの安全管理に関するガイドライン第7.0版経営管理編 (令和8年6月). https://www.mhlw.go.jp/content/10808000/001716291.pdf （2026-08-06 取得）（経営層の遵守事項。責任分界の書面化要求、ISMS認証の限界に関する脚注）
つるぎ町立半田病院コンピュータウイルス感染事案有識者会議. (2022). 調査報告書 (令和4年6月7日). https://www.handa-hospital.jp/topics/2022/0616/index.html （2026-08-06 取得）（パスワード最小5桁・アカウントロックアウト無効・CVE-2018-13379 の放置を認定）
大阪急性期・総合医療センター情報セキュリティインシデント調査委員会. (2023). 情報セキュリティインシデント調査報告書 (令和5年3月28日). https://www.gh.opho.jp/pdf/report_v01.pdf （2026-08-06 取得）（給食委託事業者のVPN機器経由の侵入・全ユーザー管理者権限・共通パスワード・復旧日数・費用見積）
厚生労働省. (2026). 個別改定項目について (令和8年度診療報酬改定、中医協答申 2026年2月13日). https://www.mhlw.go.jp/content/10808000/001655176.pdf （2026-08-06 取得）（電子的診療情報連携体制整備加算の新設とサイバーセキュリティ要件の移設。該当は印字p.510以下）