医療情報システムの安全管理に関するガイドライン 第 7.0 版解説｜保守委託機関編についてご説明します

医療情報システムの安全管理に関するガイドライン 第 7.0 版の主な改定ポイント

2026年6月に「医療情報システムの安全管理に関するガイドライン第7版」が公開されました。
参照：医療情報システムの安全管理に関するガイドライン　第7.0版（令和8年6月）｜厚生労働省

遡れば、2023年5月に第6.0版が公開されてから、3年間の間にサイバー攻撃事案の発生は継続していること、
医療情報システムの利用・運用に際してクラウドサービスを導入する医療機関が増加している背景を踏まえ、
新たに「保守委託機関編」が追加されるなどの改定が行われました。

主な改定ポイントとしては、大きく7点が挙げられます。

1. 保守委託機関編の新設
従来の4編構成に加え、「保守委託機関編」が追加されました。
小規模医療機関などで、院内でシステム専任者を立てることが難しい医療機関もある実態を踏まえ、外部ベンダーへ運用を委託している場合の留意点がまとめられています。

2. 二要素認証（MFA）の強化
医療情報を扱うシステムやサーバへのアクセス時の二要素認証の導入について、対象を明確化しています。
特に管理者権限やサイバー攻撃の入り口になりやすいリモートアクセス環境の保護が強化され、システム運用編に詳しく記載されています。

参照：001716295.pdf

3. パスワード管理の見直し
これまで謳われていた定期的なパスワード変更の強制は、パスワードの使い回しにつながる可能性があり、
逆にリスクを増やしているのではないかということで十分な複雑性を持つパスワードの設定や、不要なアカウントの速やかな削除を重視する考え方へ変更されました。

4. クラウド利用の推進および利用時の留意点
クラウドシステムの利用によりセキュリティが担保される範囲と、クラウドシステムであるがゆえに対策や責任分解点が曖昧になる部分について言及されています。

5. 経営層の責任強化
経営管理編では、セキュリティの安全管理に関して、経営層が責任を持つことがこのように記載されています。


セキュリティ対策に対して、医療機関全体で取り組める体制づくりが求められています。
参照：001716291.pdf

6. BCP（事業継続計画）の重視
情報セキュリティ事故、サイバー攻撃を想定したBCP策定も要求されています。
また、作成だけでなく、定期的に訓練・演習を実施し策定された内容を改善していくことまで明記されています。


参照：001716291.pdf

保守委託機関編について詳しく解説

それでは今回から追加された保守委託機関編についてその内容を一部紹介します。

セキュリティ専門人材の不足によって、ガイドラインの対応が困難である医療機関を想定した医療機関等保守委託機関編を策定したことが記載されています。
参照：001716297.pdf


システム運用担当者が不在の小規模医療機関に寄り添った内容が策定されていることが分かります。
ただし、保守委託を行うにあたっての順守項目が定められており、下記の内容が求められています。

• 個人情報保護法などの法令遵守
• 安全管理体制の文書化
• 情報セキュリティ責任者の設置
• 業務継続計画（BCP）の策定
• 委託先の適切な選定・監督

中でも、委託先との責任分界点を明確にすることについては、詳細に記載されています。

何かセキュリティ事象が発生した際に、責任範囲の認識の違いにより、原因特定までに時間を要するケース、
また、特定後においても責任の所在が明確でないことで、対応に時間がかかり、被害がさらに膨らんでしまうということもあります。
これは、リスク管理不足による二次災害ともいえると思います。
起こりうる障害やトラブルを想定して、有事の際にスムーズに対応できるように取決めをしておくことが必要です。

 

また、サイバー攻撃の原因の多くがリモート保守回線に起因している現状がある中で、
委託先業者が設定を請け負っている場合、医療機関の資産であるものの、IDパスワードを業者が任意で設定しているケースもあります。
そういったパスワード設定についても、院内のセキュリティポリシーに準拠して設定してもらうなどの確認も大切になります。
もちろん医療機関様だけではなく、私たちのような事業者側も意識して対応をするべきだと認識しております。

また、利用者の権限についても詳しく記載があります。

管理者権限を付与するユーザを最小限にすることで、サイバー攻撃を受けた際の被害を少なくすることにつながります。
委託業者との協議の上、権限設定は慎重に行う必要があります。

また、退職者や不要なアカウントの管理について、メンテナンスが行き届いていないケースもあるかと思います。
職員の在籍状況やアカウントの利用状況を定期的に確認できる仕組みを整備することが重要です。
通常使用しないであろう時間帯にアクセス履歴などがあるアカウントがあった場合、攻撃のサインかもしれません。
そういった不審な動きを検知する仕組みを導入検討される医療機関様も増えています。
参照：導入事例：社会福祉法人あじろぎ会 宇治病院 | サイバーリーズン合同会社

二要素認証についても具体的な対策方法が記載されており、対応が可能である業者を選定することも明記されています。

このように保守委託機関編では、
　システム保守を事業者へ委託していても、医療機関は契約内容や責任範囲、セキュリティ対策を十分に確認し、
　安全管理体制とBCPを整備しなければならない
という内容がまとめられています。

院内教育の効率化について

 企画管理編では院内教育について下記のように記載されています。

参照：001716292.pdf

私たちも、お客様から院内教育について打診を受けたケースがあり、院内教育に悩まれている医療機関様も多いのではないかと感じております。
TOPページ - 医療機関向けセキュリティ教育支援ポータルサイト

今回の第7.0版への改定に合わせて、無料でセキュリティ研修の受講ができ、さらに試験の実施状況も確認できるサイトが設置されております。
院内でセキュリティ対策についての知識や重要性の認識を高めるために、こういったツールを活用するのはいかがでしょうか。