承継とは 承継案件をさがす 新規物件をさがす 料金 シミュレーター コラム 私たちについて 無料相談
TOP › コラム › クリニックのサイバーセキュリティ対策、ガイドライン第7.0版と令和8年度チェックリストで何を確認する？立入検査の19項目【2026年版】
診療所のサイバー対策、立入検査の確認点は？
経営・集患 公開 執筆 鎌形 博展

クリニックのサイバーセキュリティ対策、ガイドライン第7.0版と令和8年度チェックリストで何を確認する？立入検査の19項目【2026年版】

医療法施行規則第14条第2項は、診療所を含む病院・診療所・助産所の管理者に、サイバーセキュリティを確保するために必要な措置を講じることを求めています。厚生労働省は令和8年（2026年）6月に「医療情報システムの安全管理に関するガイドライン」を第7.0版へ改定し、同じ月に令和8年度版のサイバーセキュリティ対策チェックリストも示しました。立入検査では、このチェックリストの回答が確認されます。専任のシステム担当者がいない診療所でも、院長が押さえる点は絞れます。この記事では、厚生労働省の一次資料にもとづいて確認点を整理します。

この記事の要点

  • 診療所も対象です。医療法施行規則第14条第2項が管理者に必要な措置を求めており、厚生労働省の資料によれば令和5年（2023年）4月から、医療法に基づく立入検査でサイバーセキュリティ対策が確認項目に位置づけられています。
  • チェックリストは19項目で、現物の確認があるのは4点です。機器台帳・連絡体制図・事業継続計画（BCP）・運用管理規程等は、立入検査までに作っておく必要があります。
  • 小規模向けの「保守委託機関編」が第7.0版で新設されました。すべてのサーバのセキュリティアップデートを事業者に委託し、その責任が契約書等に明記されている場合に使えます。

診療所のサイバーセキュリティ対策は、法令上どこまで求められている？

根拠は医療法施行規則第14条第2項です。条文は、病院・診療所・助産所の管理者が、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならないと定めています（e-Gov法令検索の現行条文で確認）。

厚生労働省の資料によれば、令和5年（2023年）4月から、医療法施行規則の改正により、医療法に基づく立入検査でサイバーセキュリティ対策の項目が位置づけられています。ガイドラインのうち優先的に取り組むべき重要項目を示したものが、チェックリストです。

システム会社に任せていても、責任が消えるわけではありません。チェックリストマニュアルは、事業者と契約していない項目については、保守管理の責任を医療機関等が負うことに留意するよう求めています。

ガイドライン第7.0版（令和8年6月）で何が変わった？

厚生労働省の通知（産情発0629第1号、令和8年6月29日）によれば、第6.0版（令和5年5月）の公表後も医療機関等を狙うサイバー攻撃が続き、サイバー対処能力強化法の成立などを背景に、関心と重要性が高まっていることが改定の理由です。診療所の運用に関わる主な変更点は次のとおりです。

項目第7.0版の内容
全体構成「保守委託機関編」を新たに追加
関連法令サイバーセキュリティ基本法を追加し、サプライチェーンリスクについて追記
役割分担経済産業省・総務省の「2省ガイドライン」の改定を受け、医療機関等と事業者の役割分担、リスクコミュニケーションを追記
クラウドクラウドサービスの積極的な活用を推進する旨を追記
パスワード使い回しの禁止とアカウントロックの導入を追記し、「定期的な変更」の要件を削除
二要素認証クライアント端末とサーバでの対応を明確化。令和9年4月1日時点で対応が困難な医療機関等には、次期システム改修での対応を認める緩和措置

医療機器への二要素認証については、ガイドライン第7.0版への改定時に改変が見送られたため、現時点では必須とはされていないと、チェックリストマニュアルに記載があります。

令和8年度版チェックリストは何を確認される？

厚生労働省のチェックリストマニュアルによれば、診療所は対象に含まれます。令和8年度版は、従来別々だった医療機関用と薬局用が一本化されました。「医療機関・薬局確認用」の項目は19あり、立入検査では、この確認用と「事業者確認用」の全項目について、確認日と回答が記入されているかが見られます。項目の内容を整理すると、次のようになります。

区分主な項目（番号）
体制医療情報システム安全管理責任者の設置（1-①）
機器・事業者サーバ・端末・ネットワーク機器の台帳管理（2-①）、リモートメンテナンス機器の有無を事業者に確認（2-②）、医療情報セキュリティ開示書（MDS/SDS）の提出（2-③）
アカウント・認証職種・業務別のアクセス権限（2-④）、不要アカウントの削除・無効化（2-⑤）、英数字混在8文字以上のパスワード（2-⑦）、使い回し禁止（2-⑧）、アプリ・OSログイン時の二要素認証（2-⑪・2-⑫）
端末・ネットワークセキュリティパッチの適用（2-⑥）、USB等の接続制限（2-⑨）、不要なソフト・サービスの停止（2-⑩）、接続元制限（2-⑭）
ログアクセスログの管理（2-⑬）
インシデントへの備え連絡体制図（3-①）、バックアップと復旧手順の確認（3-②）、サイバー攻撃の想定を含むBCP（3-③）
規程1〜3の実施方法を運用管理規程等に定める（4-①）

現物で確認されるのは、機器台帳（2-①）、連絡体制図（3-①）、BCP（3-③）、規程類（4-①）の4点です。これらは立入検査までに作成しておく必要があります。2-②と2-③は、事業者と契約していない場合は確認が求められません。

目標も示されています。医療機関等は令和8年度中に「医療機関・薬局確認用」の全項目で「はい」となるよう、事業者と連携して取り組むこととされ、「いいえ」の項目は対策の目標日を令和8年度中で記入します。点検は少なくとも年1回行い、各事業者から「事業者確認用」を回収しておく必要があります。

専任担当者がいない診療所は、保守委託機関編をどう使う？

保守委託機関編は、専門人材が不足する小規模医療機関を想定した編です。厚生労働省の通知によれば、サーバ機能を持つPC（CD-Rで電子カルテを運用する端末など）を含むすべてのサーバのセキュリティアップデートを事業者に委託している場合は、保守委託機関編を守れば他の編の項目も守っているものとみなされます。

ただし、「委託している」と答えられるのは、契約書・約款・SLA等に事業者の責任が明記されている場合だけです。不明確な場合は、事業者に直接確認するよう求められています。事業者の選定では、別紙の項目がすべて「はい」または「対象外」となっていることが原則です。「いいえ」がある場合は、項目ごとにリスク評価と対応を行い、立入検査等で説明できる状態にしておきます。

委託しても、医療機関自身が行う項目は残ります。保守委託機関編が挙げる主なものは次のとおりです。

  • 医療情報システム安全管理責任者の設置（院長等の経営層が担うことも想定されています）
  • BCPの整備と、年次などでの運用状況の点検
  • 雇用契約への守秘義務条項の記載と、採用時・定期的な教育
  • サーバルームの入退室管理、離席時の画面ロック、記録媒体の保管規程
  • 資産台帳の整備と、利用者IDの棚卸し
  • 切断・隔離・復元の手順、連絡先一覧、所管官庁への報告手順
  • 事業者に委託していない端末やネットワーク機器の更新

複数の事業者と契約している場合は、事業者同士が他社のサービスを把握していないことがあるため、医療機関側で一覧を作って責任分界を整理するよう、保守委託機関編は求めています。VPN装置などの外部接続点は、保守範囲を明確にしておくことも必要です。

インシデントが起きたら、どこに連絡する？バックアップはどう備える？

厚生労働省の「医療分野のサイバーセキュリティ対策について」のページによれば、サイバー攻撃の疑いや医療情報システムの障害は、医政局の医療情報担当参事官室へ、発生後速やかに連絡するよう求められています。個人情報の漏えいが生じた場合は、個人情報保護委員会への報告も必要です。相談・初動対応の依頼窓口は、医療機関向けセキュリティ教育支援ポータル（MIST）内に設けられています。連絡先は、同ページの最新の記載で確認してください。

バックアップについては、令和8年9月公表のガイドラインQ&Aが、本番環境と分離して定期的に復元試験を行うこと、3世代以上・2種類以上の媒体・1つは本番と分離した場所という「3-2-1ルール」を参考にすることを挙げています（Q24）。ランサムウェア対策には、オフラインバックアップや複数媒体での保存が有効とされています（Q5）。

よくある質問（FAQ）

Q. 電子カルテがクラウド型でも、チェックリストは必要ですか？

診療所はチェックリストマニュアルの対象です。クラウド型でも、事業者から「事業者確認用」を回収する必要があり、事業者が「対象外」とした項目は、医療機関等が責任を負うことが明示されます。ガイドラインQ&A（Q17）も、「対象外」の項目は医療機関側で対応する必要があると説明しています。

Q. 令和8年度中に「はい」にできない項目があったら、どうなりますか？

マニュアルでは、「いいえ」の項目は対策の目標日を令和8年度中で記入するとされています。未達の場合に立入検査でどう扱われるかは、確認した資料に記載がありませんでした。判断が必要な場合は、管轄の保健所に確認してください。

Q. パスワードは定期的に変更しないといけませんか？

ガイドライン第7.0版では「定期的な変更」の要件が削除されました。一方で、使い回しの禁止とアカウントロックの導入が追記されています。チェックリストにも、英数字混在8文字以上のパスワードと、使い回しの禁止の項目があります。

Q. 二要素認証は、令和9年4月までに必ず入れる必要がありますか？

通知では、令和9年4月1日時点で対応が困難な医療機関等には、次期システム改修での対応を認める緩和措置が設けられています。チェックリストマニュアルにも「令和9年度以降初回のシステム更改時に実装予定」という記載があります。自院のシステムがどちらに当たるかは、事業者に更改時期を確認して整理してください。

Q. クリニックを承継する場合、サイバー対策で何を確認すればよいですか？

承継時の特別な規定は、確認した資料には見当たりませんでした。ただし、承継後は新しい管理者が措置を講じる立場になります。機器台帳、保守契約の責任分界、MDS/SDS、運用管理規程、バックアップの状況は、引き継ぎ資料に含めて確認しておくと、チェックリストの現物確認にも使えます。

今すべきこと（チェックリスト）

  • 医療情報システム安全管理責任者を決め、誰が担うかを書面に残す
  • サーバ・端末・ネットワーク機器の台帳を作る（現物確認の対象）
  • 電子カルテ等の事業者に、保守契約でサーバのセキュリティアップデートの責任がどちらにあるかを確認する
  • 事業者から「事業者確認用」とMDS/SDSを回収する
  • 連絡体制図（事業者・厚生労働省・警察等）を作り、院内に掲示・共有する
  • サイバー攻撃を想定したBCPと、バックアップの復旧手順を整える
  • 1〜3の実施方法を運用管理規程等に定め、年1回以上点検する
  • 「いいえ」の項目に、令和8年度中の目標日を記入する

関連コラム

参考・出典

※本記事は一般的な情報提供を目的としたものであり、個別の対応の適否を保証するものではありません。実際の対応にあたっては、医療情報システムの保守事業者、管轄の保健所、および必要に応じて情報セキュリティの専門家・弁護士等に必ずご確認ください。数値・制度は2026年10月時点の情報に基づきます。

公開日：2026年10月13日／最終更新日：2026年10月13日

執筆者

鎌形 博展（かまがた ひろのぶ）/ 株式会社EN 代表取締役社長。クリニックの開業支援・事務長代行・医業承継（M&A）をワンストップで手がける株式会社ENを率いる。制度改正が相次ぐ医療業界において、開業・承継の実務に精通した立場から現場に即した情報発信を行っている。
医療法人社団季邦会 理事長（首都圏7拠点運営）、東京医科大学救急災害医学講座 非常勤医師
社会医学系専門医指導医、慶應義塾大学大学院経営管理研究科 田中滋・中村洋ゼミ出身

関連資料（無料ダウンロード）
分院展開・承継買収 適合判断シート「うちは今、買い手になれるか」を目的・人・資金・定款変更の26項目で自己診断。ダウンロード（無料）→後継者不在のクリニック 5つの選択肢 診断チェックリスト親族内・院内・第三者承継・認定医療法人化・閉院を比べ、自院に合う道と準備の時間軸を確認。ダウンロード（無料）→
この記事についてご相談がある方はこちら
相場を調べる 無料相談する

関連コラム

電子カルテの補助は、いつ・何が決まる？
経営・集患

クラウドネイティブ型電子カルテの補助は、いつ・何が決まる？令和9年度概算要求と認証制度の確認点【2026年版】

2026.10.05
八王子総合クリニックを徹底解剖｜TENET・ウェルパートナーの実像と「コンビニ型クリニック」6ブランド比較
経営・集患

八王子総合クリニックを徹底解剖｜TENET・ウェルパートナーの実像と「コンビニ型クリニック」6ブランド比較

2026.09.30
2割特例の終了で何が変わる？ クリニックが確認する3割特例と控除70％
経営・集患

クリニックのインボイス、2026年10月から何が変わる？2割特例の終了と3割特例・仕入税額控除70％の確認点【2026年版】

2026.09.29