サイバーセキュリティ — 規制 × 実務 定点観測
セキュリティ
守りは、義務になった。
2023年、サイバーセキュリティの確保は無床クリニックを含む全医療機関の法的義務になりました。ガイドライン・立入検査・診療報酬・AI導入の各面で毎年動く要求を、医師が一次情報 (厚労省・個人情報保護委員会・海外規制当局) だけで定点観測します。掲載料を受け取らず、特定ベンダーへ誘導しない編集独立メディアです。
セキュリティを正しく捉えるための 3 つの前提
- 01無床クリニックも法的義務の対象。 医療法施行規則14条2項 (2023年4月施行) は病床の有無を問わず全医療機関にサイバーセキュリティ確保を義務付けています。
- 02義務の中身は「三段ロケット」。 省令 (抽象的な義務) → 安全管理ガイドライン第7.0版 (事実上の基準) → 立入検査チェックリスト (毎年の現物確認)、の三段で具体化されます。
- 03要求は毎年動く。 2026年はガイドライン第7.0版の発出・チェックリスト改定・診療報酬の再編が重なり、2027年度には二要素認証が原則化。「一度対応して終わり」にできない領域です。
規制トラッカー
法令・ガイドライン・診療報酬・国内外のインシデントを、医師が一次情報で確認して更新しています。事件が規制を生み、規制が実務要求になる — その応答関係ごと追跡します。
全項目の確認日: 2026-08-05
立入検査で見られる「現物」4 点
毎年の立入検査 (医療法25条) では、チェックリスト (令和8年度版・医療機関薬局一本化) に沿って対策の実施状況が確認されます。まず揃えるべきはこの4点です。
サーバ・端末・ネットワーク機器の管理台帳。VPN・ルータなど「境界機器」の把握漏れが国内被害の最頻経路。
インシデント発生時に誰へ・どの順で連絡するか (保守ベンダー / 厚労省 / 警察 / 個人情報保護委員会) を1枚に。
医療情報システムが停止した場合の診療継続計画。紙運用への切替手順と復旧優先順位を含む。
チェックリスト各項目の具体的な実施方法を定めた規程。パスワード規律・外部媒体の接続制限などを明文化。
数字で見る、医療機関の現在地
「うちは狙われない」の反証は公的調査に揃っています。調査年が古いものはその旨を明記しています。
規制と事件の年表 2021 → 2028
半田病院 (2021) から二要素認証の原則化 (2027年度) まで。国内の規制は、実際に起きた被害の教訓を条文とチェックリストに写し取りながら毎年強化されています。既定では今年度から表示し、過去の節目はクリックで開けます。
- 法令
- ガイドライン
- 診療報酬
- 事件
- 行政
- 医療DX
過去の節目 2021〜2025年度 (11件) を開く閉じる
年度
令和3年度
年度
令和4年度
年度
令和5年度
法令2023-04
医療法施行規則14条2項 施行 — サイバーセキュリティ確保が義務に
病床の有無を問わず全ての病院・診療所・助産所の管理者に「サイバーセキュリティの確保のために必要な措置」を義務化。無床クリニックも対象。
出典: 厚労省 改正省令資料 ↗ガイドライン2023-05
医療情報システム安全管理ガイドライン 第6.0版
経営管理編・企画管理編・システム運用編の読者別3編+概説編に再構成。「必要な措置」の実質的な中身を定める。
出典: 厚労省 ガイドラインページ ↗年度
令和6年度
法令2024-04
医療機器の基本要件基準12条3項 完全適用
ネットワーク接続するプログラム医療機器 (AI-SaMDを含む) の製造販売業者にサイバーセキュリティ確保を義務化。JIS T 81001-5-1 への適合が基準。
出典: 厚労省 通知 ↗診療報酬2024-06
令和6年度改定 — サイバー対策が初めて「点数」になった
診療録管理体制加算1 (入院初日140点) を新設。専任の安全管理責任者・オフラインバックアップ・サイバーBCP・年1回の訓練を要件化。
出典: GemMed 解説 ↗事件2025-02
宇都宮セントラルクリニックが被害 — 最大約30万人分
健診受診者を含む最大約30万人分の個人情報漏えいの可能性。クリニックでも被害規模は病院を超え得ることを示した事例。
出典: 報道まとめ ↗ガイドライン2025-03
事業者向け安全管理ガイドライン 第2.0版 (経産省・総務省)
「3省2ガイドライン」のベンダー側。電子カルテ・クラウド・保守事業者の義務を定め、医療機関側ガイドラインと責任分界で接続する。
出典: 経産省 ↗年度
令和7年度
法令2025-05
サイバー対処能力強化法 (能動的サイバー防御) 成立
官民連携・通信情報の利用・アクセス無害化の3本柱。医療機関に直接の報告義務はまだ無いが、国全体の防御水準を引き上げる基盤法。
出典: サイバーセキュリティ戦略 (2025-12閣議決定) ↗
年度
令和8年度いまここ
事件2026-04
市立奈良病院 — 「初動成功」の参照例
異常通信を監視装置が深夜に検知し、即時のネットワーク切り離しで漏えい・データ破損ゼロ。外来停止は約2日で再開 (完全復旧は5/13)。
出典: ITmedia ↗行政2026-05
Project YATA-Shield 始動 — 医療が国家AIサイバー防衛の15分野に
高性能AIの悪用リスクを名指しした国家パッケージ。厚労省も医療機関向けにAI関連の注意喚起を2通発出 (5/18・5/27)。
出典: 国家サイバー統括室 ↗診療報酬2026-06
令和8年度改定 — サイバー対策が「医療DX連携の前提」に再編
医療DX推進体制整備加算・医療情報取得加算を廃止し、電子的診療情報連携体制整備加算 (初診最大15点・再診2点・入院初日最大160点) に統合。無床クリニックにも直接届く設計。
解説記事: 3つの加算が1つになった本当の理由 →ガイドライン2026-06-29
安全管理ガイドライン 第7.0版 発出
保守委託機関編を新設した5編構成。保守事業者との責任分界の書面化、パスワード定期変更要件の削除、二要素認証の対象・方式の明確化が柱。
出典: 厚労省 第7.0版 ↗行政2026-07
令和8年度版チェックリストへ改定 — 医療機関・薬局を一本化
ガイドライン第7.0版に対応し、二要素認証には「令和9年度以降実装予定」の選択肢を明記。立入検査の確認基準が今年度から変わった。
出典: 厚労省 特設ページ ↗法令2026-10予定
サイバー対処能力強化法 主要部分の施行
経済安保推進法の基幹インフラ制度へ医療分野を追加する法改正も進行中 (特定機能病院を念頭)。指定病院はインシデント報告義務等に接続される方向。
出典: 内閣府 基幹インフラ制度 ↗医療DX2026年度冬予定
電子カルテ情報共有サービス 本格運用 (目標)
全国網への常時接続が広がる = 攻撃対象領域の拡大。末端のクリニックの侵害が全国網の入口になり得る、が規制強化の論理。
出典: 厚労省 資料 ↗年度
令和9年度
ガイドライン2027年度予定
二要素認証が原則化 (令和9年度)
ガイドライン第7.0版上の要求 (実装困難な場合の経過的な取り扱いあり)。電子カルテ更改サイクルに組み込むのが実務解で、2026年度が準備の分岐点。
出典: 厚労省 第7.0版 ↗年度
令和10年度
法令2028年予定
改正個人情報保護法 施行見込み — 課徴金制度の創設
2026-07-10成立 (施行は公布から2年以内)。重大な違反への課徴金で、漏えいの経営リスクが金銭面で跳ね上がる。病院・診療所の学術研究例外の明示など利活用側の緩和も同時に入る。
出典: 個人情報保護委員会 ↗
AI・クラウド導入前のセキュリティ確認 — 5 つの領域
「クリニックがAIを導入するとき、セキュリティ面で何を確認すべきか」を1枚に落とした公的資料は、確認日時点で存在しません。編集部が安全管理ガイドライン第7.0版・3省2ガイドライン・OWASP LLM Top 10・NIST AI RMF・国内外の被害事例から整理した確認領域です (ベンダーへの質問リストとしてそのまま使えます)。
「準拠表明 (自己宣言)」と「第三者認証」を区別する
- ISMS (ISO/IEC 27001) 認証の有無と、該当サービスが認証範囲に入っているか
- 3省2ガイドライン準拠の根拠は自己宣言か、第三者確認か
- SaMD該当性の見解。該当するなら承認番号と JIS T 81001-5-1 対応
- 基盤モデル・クラウド基盤など再委託構造の開示 (どこの何を使っているか)
患者情報は要配慮個人情報 — 学習利用と保持が最初の関門
- 入力データがAIの学習に使われないことが契約書のどの条項で保証されるか
- 保存先リージョンと越境移転の有無
- 保持期間・解約時のデータ削除の保証 (削除証明の発行可否)
- 通信・保存時の暗号化と鍵管理の主体
国内被害の主経路は「接続点」— 台帳に載らない接続を作らない
- 院内ネットワークとの接続方式 (常時VPN / API / 端末アプリ) と接続点の台帳記載
- 職員個別ID・退職時の失効・二要素認証への対応
- ベンダー保守用のリモートアクセス経路の管理
- 電子カルテ連携の方式と、連携障害時の縮退運転手順
ベンダー側インシデントでも報告義務は医療機関に残る
- ベンダー側インシデント発生時の通知義務・SLA (何時間以内か) の契約明記
- 自院の報告フロー (個人情報保護委員会・厚労省・都道府県) との接続
- ログの保全期間と提供可否 (原因調査への対応)
- 損害賠償の上限条項とサイバー保険のカバー範囲の突合
「シャドーAI」(職員が無料の汎用AIに患者情報を入力) を設計で防ぐ
- 院内の利用ルール (入力してよい情報の線引き・業務用契約への一本化)
- AI出力の医師による最終確認 (human-in-the-loop) の運用と監査
- 年1回の棚卸し (契約・接続点・権限・チェックリスト再点検)
日・米・英 制度比較 (2026-08-05 時点)
「米国=規制が強い」という単純化は不正確です。米国の大改正は係属中で執行が先行し、英国はベンダー規制の法定化と国家による防御提供へ、日本は立入検査と診療報酬で毎年締める方式 — 三者三様の設計です。
| 観点 | 🇯🇵 日本 | 🇺🇸 米国 | 🇬🇧 英国 |
|---|---|---|---|
| 医療機関への義務の根拠 | 医療法施行規則14条2項 (2023-04施行)。無床診療所を含む全医療機関が対象 | HIPAA Security Rule (2003)。規模を問わず適用。20年ぶりの大改正案は係属中 (最終規則は2027年7月予定に延期) | DSPT の年次提出 (NHS契約上の義務)。GP診療所も対象 |
| 事実上の基準 | 安全管理ガイドライン第7.0版 (2026-06) + 立入検査チェックリスト | HICP・HPH CPGs (任意フレームワーク)。改正案はMFA・暗号化・資産台帳等の義務化を提案 | NCSC CAF 準拠の DSPT (2025/26から全カテゴリ)。「統制の存在」でなく「機能している証拠」を要求 |
| 検査・監査 | 毎年の立入検査で現物確認 (台帳・体制図・BCP・規程) | OCR の執行 (「リスク分析の欠如」を集中摘発。2025年の金銭的制裁21件) | 大規模組織+ITサプライヤーに独立監査を義務化 (2025/26〜) |
| ベンダー側の規制 | 3省2ガイドライン (事業者GL第2.0版) はソフトロー。機器は基本要件基準12条3項で法的義務 | FDA 524B条 (2023〜) — SBOM・脆弱性管理計画が法定義務。事業者 (BA) はHIPAA直接適用 | DTAC + DSPT + ICO が受託事業者に制裁金実績 (£3.07M)。CSR法案で供給者規制の法定化へ (審議中) |
| 制裁・罰則 | 直接罰則なし (立入検査・加算・個情法報告で担保)。2028年〜 課徴金制度 | OCR 民事制裁金 + 州法 (NY州は病院に72時間報告義務) | ICO 制裁金 (UK GDPR)。公共部門には譴責運用が中心 |
| 国の支援 | 厚労省の初動対応支援チーム派遣・無料研修 (MIST)・相談窓口 | 公的支援は縮小傾向 (CISA人員減)。Microsoft/Google の rural hospital 支援が受け皿 (550超参加) | 国家が24時間監視 (CSOC)・境界防御 (Secure Boundary) を提供。£338M超を投資 |
| AI導入ガイダンス | AI事業者ガイドライン第1.1版 (ソフトロー)。医療AI特化の公的チェックリストは不在 | FDA のAIガイダンスは draft のまま。EHR内AIの透明性規則 (HTI-1) は施行済みだが撤廃案が係属 | NHS が AIスクライブ導入ガイダンス v3 (2026-07) — DPIA・臨床安全ケース・人間レビューを必須化 |
無料・低コストで使える支援
国の無料研修・初動対応支援と補助金を組み合わせると、クリニックのセキュリティ対策は想像より安く始められます。補助金の全体像は 補助金ハブ へ。
経営層・システム管理者・一般職員向けの e-learning 研修と立入検査準備資料。インシデント時の初動対応支援・調査も担う。
サイバー被害時は厚労省へ報告し、初動対応支援チームの派遣を要請できる。平時の相談窓口も特設ページに明記。
医療機関の情報共有・分析組織。セキュリティニュース配信、オンラインセミナー、医療機関向けオンライン無料相談。
相談窓口+ネットワーク/端末監視+駆けつけ+簡易保険のワンパッケージ。ネットワーク監視型で月額1,300円〜が相場。
お助け隊サービスリスト掲載サービスの利用料 (最大2年分) を補助。セキュリティ投資を実質半額にできる。
編集部が読み解いた解説
ガイドライン第7.0版の読み方から二要素認証の準備計画・AI導入前の確認まで、医師が実務に翻訳した解説記事。
編集部ガイドは準備中です。上のトラッカーが一次情報を先行更新しています。
本ページの情報は確認日 (2026-08-05) 時点のものです。ガイドライン・チェックリスト・診療報酬の要件は毎年度更新されるため、実務判断の前に必ず各制度の一次情報 (リンク先) で最新をご確認ください。本ページは一般的な情報提供であり、個別の医療機関への助言ではありません。