電子カルテが暗号化されて診療が止まる、ベンダーの保守回線から侵入される、職員がUSBメモリーを紛失する――医療機関・介護事業者の情報セキュリティは、理事長・院長・事務長が法令上の責任を負う経営課題になりました。この記事では、個人情報保護法の安全管理措置と委託先監督、医療法施行規則のサイバーセキュリティ確保義務、厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版と3省2ガイドラインの要点、ベンダーとの責任分界、ランサムウェア被害時の報告義務を、経営層・情報管理担当者向けに整理します。
医療機関には、個人情報保護法23条の安全管理措置義務と25条の委託先監督義務に加え、医療法施行規則14条2項により「医療の提供に著しい支障を及ぼすおそれがないようにサイバーセキュリティを確保するために必要な措置」を講じる義務があり、その具体的な水準を示すのが厚生労働省の安全管理ガイドライン第7.0版（令和8年6月）です。ランサムウェア等の不正アクセスで診療情報が漏えいしたおそれがあれば、1人分でも個人情報保護委員会への報告（速報は目安3〜5日、確報は60日以内）と本人通知が義務になります。
法令上の義務 ― 個人情報保護法23条・25条と医療法施行規則14条2項
個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために「必要かつ適切な措置」を講じなければなりません（個人情報保護法23条）。従業者に対する監督（24条）と、個人データの取扱いを委託する場合の委託先に対する必要かつ適切な監督（25条）も義務です。診療情報は要配慮個人情報であり、個人情報保護委員会の通則ガイドラインが示す組織的・人的・物理的・技術的安全管理措置を、情報の機微性に見合う水準で講じる必要があります。
医療機関にはこれに加えて、医療法施行規則14条2項が「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない」と定めています。薬局についても医薬品医療機器等法施行規則が同趣旨の義務を管理者に課しています。ここで重要なのは、保護の対象が「個人情報」だけではなく「医療の提供の継続」そのものだという点です。情報が漏れなくても、システム停止で診療が止まれば義務違反が問われ得る構造です。
| 根拠 | 義務の内容 | 保護の対象 |
|---|---|---|
| 個人情報保護法23条 | 個人データの安全管理のため必要かつ適切な措置 | 個人データの漏えい・滅失・毀損の防止 |
| 同法24条・25条 | 従業者の監督、委託先の必要かつ適切な監督 | 委託した個人データの安全管理 |
| 同法26条・施行規則7条 | 漏えい等の報告（速報・確報）と本人通知 | 要配慮個人情報は1人分でも対象、不正目的も対象 |
| 医療法施行規則14条2項 | サイバーセキュリティ確保のために必要な措置 | 医療の提供の継続 |
医療機関のサイバー対策は「個人情報の保護」と「診療継続の確保」の二重の義務です。安全管理措置の水準を具体化するのが厚生労働省の安全管理ガイドラインであり、委員会や厚生労働省の調査では、このガイドラインへの対応状況が「必要かつ適切な措置」を講じていたかの判断材料になります。
医療情報システムの安全管理に関するガイドライン第7.0版の要点
厚生労働省の「医療情報システムの安全管理に関するガイドライン」は平成17年の初版以来改定を重ね、令和8年6月に第7.0版が公表されました。対象は、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワーク運営事業者等において、医療情報システムの導入・運用・利用・保守・廃棄に関わるすべての者です。
構成 ― 読者類型ごとの5編
- 概説編 ― 全編共通の前提（対象範囲、関連法令、統制、リスク評価、認証・認可、外部保存）
- 経営管理編 ― 理事長・院長など経営層が果たすべき責任と判断事項
- 企画管理編 ― 情報管理の責任者（企画管理者）が整備すべき規程・体制・委託管理
- システム運用編 ― 技術担当者が実装する技術的対策
- 保守委託機関編 ― 第7.0版で新設。すべてのサーバのセキュリティアップデートを事業者に委託している医療機関等は、概説編と本編に対応すれば本ガイドラインを遵守しているものとみなされます
第7.0版での主な変更
根拠法に「サイバーセキュリティ基本法」が追加され、国の「重要インフラのサイバーセキュリティに係る安全基準等策定指針」との整合が図られました。保守委託機関編の創設は、自前の情報システム部門を持たない中小規模の医療機関や介護事業者の負担軽減を目的としています。あわせて、医療機関・薬局向けサイバーセキュリティ対策チェックリスト（令和8年6月版。従来の医療機関用・薬局用を統合）、サイバー攻撃を想定したBCP策定の確認表・手引き・ひな形（令和6年6月）、Q&A（令和8年9月）が厚生労働省のページで公表されています。
概説編は、基本方針・計画の策定、組織・体制の整備、規程類の整備、それらに基づく運用という内部統制を求め、企画管理者が管理運営状況を経営層に報告し、経営層が組織全体の安全性を継続的に管理することを求めています。自組織の脅威（自然災害、サイバー攻撃、システム障害、人的要因）を特定してリスクを評価し対策を講じる、リスクベースの考え方が基本です。
3省2ガイドラインの構造 ― 医療機関向けと事業者向けの役割分担
医療情報の安全管理に関するガイドラインは、医療機関等向けの厚生労働省ガイドラインと、医療情報システム・サービスを提供する事業者向けの「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（総務省・経済産業省。令和2年8月策定、令和7年3月28日第2.0版）の2本で構成され、3省が所管する2つのガイドラインとして「3省2ガイドライン」と呼ばれます。
| 厚生労働省ガイドライン（第7.0版） | 総務省・経済産業省ガイドライン（第2.0版） | |
|---|---|---|
| 対象 | 医療機関等（病院・診療所・薬局・訪問看護・介護事業者等） | ①医療機関等との契約等に基づき医療情報システム等を提供する事業者、②直接契約がなくても必要な資源・役務を提供する事業者、③患者等の指示に基づき医療機関等から医療情報を受領する事業者 |
| 対象外の例 | 医療情報を含まない会計・経理システム | システムの売買契約のみで運用・管理・保守契約がない事業者 |
| 第2.0版の改定趣旨 | ― | 対象事業者の明確化、事業者・医療機関等間の合意内容の明確化、リスクコミュニケーションの実効化 |
| 医療機関との接点 | 基準を満たす事業者の選定、契約での責任分界・役割分担・協働体制の明確化、事業者の遵守状況の確認 | 医療機関等への情報提供と合意形成（契約前の合意形成と契約中の合意の維持）、サービス仕様適合開示書・SLA参考例 |
両ガイドラインに共通する考え方が「リスクコミュニケーション」です。対策の妥当性と限界について、医療機関と事業者が正しい共通理解と明示的な合意のもとで運用することを求めています。医療機関が「お任せ」にし、ベンダーは「契約範囲外」と考えている状態が、事故時に最も責任の所在が争われる構図です。
委託先の監督と責任分界 ― ベンダー契約で決めておくこと
電子カルテ、レセプトコンピュータ、画像システム、オンライン資格確認端末、クラウド型の予約・問診システム、介護記録ソフト――医療機関の情報システムはほぼ全てが外部事業者の提供・保守に依存しています。個人データの取扱いを伴う委託には法25条の監督義務があり、ガイダンスは委託契約で安全管理措置を定め、業務が適切に行われていることを定期的に確認することを求めています。厚生労働省ガイドライン概説編は、事業者から「製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）」のチェックリストや2省ガイドラインの「サービス仕様適合開示書」の提供を受けてリスク管理に関する合意形成を図り、合意内容を契約書やSLA等の合意文書として明らかにしたうえで、具体的な責任分界を踏まえた運用を行うことを求めています。
契約・合意文書で確認する項目
- 責任分界 ― サーバ・ネットワーク機器・端末・保守用リモート接続のそれぞれについて、セキュリティアップデートと脆弱性対応を誰が行うか。保守委託機関編の対象になるかどうかはここで決まります。
- バックアップ ― 取得頻度、世代、オフライン（ネットワークから切り離した）保管の有無、復旧手順と復旧時間の目標。
- インシデント時の連絡 ― 事業者側で漏えい等を知ったときに医療機関へ速やかに報告する義務（施行規則9条の通知）、連絡先、調査への協力、ログの保存期間。
- 再委託・外部保存 ― 再委託の事前承諾、外国事業者の場合に国内法の適用を受ける情報機器等であることの確認（ガイダンスQ&A各論Q4-31）。
- 契約終了時 ― データの返還・消去と消去証明。
既存の保守契約にこれらの定めがない場合、ガイダンスのQ&A（各論Q3-5）は、確認書などで補足することを認めています。契約を巻き直さなくても、覚書や開示書の受領で合意を可視化することが第一歩です。
委託先の監督は「ちゃんとやってください」と伝えることではなく、①基準を満たす事業者を選び、②責任分界を文書で合意し、③遵守状況を定期的に確認する、の3つを記録に残すことです。事故が起きたとき、この3点の記録が「必要かつ適切な監督」を尽くしていたことの証拠になります。
ランサムウェア被害時の法的対応 ― 報告・通知・診療継続
ランサムウェアや不正アクセスの被害を受けた場合、個人情報保護法上は「不正の目的をもって行われたおそれがある行為による漏えい等が発生し、又は発生したおそれがある事態」（施行規則7条3号）に当たり、閲覧されたかどうかが確定していなくても個人情報保護委員会への報告義務が生じます。診療情報を含む場合は要配慮個人情報の漏えい等（同1号）にも該当し、本人の数に関係なく対象です。
| 対応 | 期限・内容 |
|---|---|
| 速報（施行規則8条1項） | 事態を知った後速やかに。個人情報保護委員会は発覚から概ね3〜5日以内を目安としています。その時点で把握している事項で足ります |
| 確報（同条2項） | 知った日から30日以内。不正の目的によるおそれがある事態（ランサムウェア等）は60日以内。概要・項目・本人数・原因・二次被害・本人対応・公表・再発防止策など9事項 |
| 本人通知（法26条2項・施行規則10条） | 事態の状況に応じて速やかに。通知が困難な場合は公表と窓口設置等の代替措置 |
| 報告方法 | 委員会の報告フォーム。ランサムウェア事案・その他サイバー攻撃事案は、令和8年10月1日以降、国家サイバー統括室との共通様式（Excel）によるメール提出も可能 |
| 委託先で発生した場合 | 委託先から委託元への通知（施行規則9条）で委託先の報告義務は免除。委託元である医療機関は通知を受けた時点から期限が進む |
診療を止めないための初動
法的義務と並行して進めるべきは診療の継続です。厚生労働省のBCP策定の確認表・手引きは、サイバー攻撃を想定して、紙運用への切替え、電子カルテ停止時の処方・検査オーダーの手順、連絡体制、復旧の優先順位を事前に定めることを求めています。初動では、感染端末のネットワークからの切り離し（初期化はしない）、ログの保全、保守事業者・警察・保険会社への連絡を同時に進めます。報告や公表文の書き方は「個人情報が漏えいしたときの初動」で詳しく解説しています。
経営層が確認すべき対策と年間の見直しサイクル
厚生労働省の医療機関・薬局向けサイバーセキュリティ対策チェックリストは、経営層・企画管理者・システム担当者が年度ごとに自己点検する形式で設計されています。当事務所が医療機関の顧問先と確認する際に重視している項目を挙げます。
- 責任者の任命と体制 ― 医療情報システム安全管理責任者を文書で任命し、インシデント時の指揮命令系統と外部連絡先（保守事業者、警察、個人情報保護委員会、弁護士、保険会社）の一覧を更新しているか。
- 資産とネットワークの把握 ― 院内のサーバ・端末・ネットワーク機器・リモート接続経路の台帳があり、保守用のVPN機器やリモートデスクトップの脆弱性対応を誰が行うか決まっているか。
- アクセス管理 ― 退職者・異動者のアカウント停止、共用IDの廃止、管理者権限の限定、外部接続への多要素認証。
- バックアップ ― オフラインを含む複数世代のバックアップと、実際に復旧できることの訓練。
- 職員教育と訓練 ― 不審メール・USBメモリー・私用クラウドの扱いに関する教育、年1回以上のインシデント対応訓練。
- BCP ― 電子カルテが使えない状態で診療を続ける手順書と、紙の帳票の備蓄。
- 委託先管理 ― 開示書・SLA・覚書の受領、遵守状況の年次確認、契約終了時のデータ消去。
年度初めにチェックリストで自己点検し、結果を経営会議に報告して予算と優先順位を決め、年度末に委託先の遵守状況を確認する、という年1回の流れが現実的です。ガイドラインは随時改定されるため、改定時には自院の規程との差分を点検してください。
よくある質問（FAQ）
小規模なクリニックでも、安全管理ガイドライン第7.0版への対応は必要ですか？
ランサムウェアに感染しましたが、情報が外部に持ち出された証拠はありません。個人情報保護委員会への報告は必要ですか？
電子カルテのベンダーの保守回線から侵入された場合、責任はベンダーにあるのではありませんか？
3省2ガイドラインとは何ですか？
オンライン資格確認の導入で院内ネットワークが外部とつながりました。何に注意すべきですか？
身代金を支払えば早く復旧できるなら、支払ってもよいですか？
まとめ
- 医療機関のサイバー対策は、個人情報保護法23条・25条の安全管理・委託先監督義務と、医療法施行規則14条2項のサイバーセキュリティ確保義務（診療継続の保護）という二重の義務です。
- 具体的な水準は厚生労働省の安全管理ガイドライン第7.0版（令和8年6月）が示し、経営層・企画管理者・技術担当者・保守委託機関の役割ごとに編が分かれています。
- ベンダーとは3省2ガイドラインに基づき、責任分界・バックアップ・インシデント連絡・再委託・契約終了時のデータ消去を文書で合意し、遵守状況を年次で確認します。
- ランサムウェア被害は漏えいの確定を待たず報告対象です。速報は目安3〜5日、確報は60日以内、診療情報を含めば本人通知も原則義務です。
- 年1回、チェックリストによる自己点検、経営会議への報告、BCP訓練、委託先確認を回すことが、法令遵守と診療継続の両方を支えます。
ベンダー契約の責任分界の確認、安全管理規程・BCPの整備、インシデント発生時の報告・公表・患者対応の助言は、技術と法律の両面からの判断が必要です。当事務所には医師免許と弁護士資格を併せ持つ弁護士が在籍し、医療機関・介護事業者・ヘルスケア企業向けの顧問弁護士サービスをチャット・オンラインで全国に提供しています。既存の保守契約の確認からでも構いませんので、お問い合わせ（無料相談）からお知らせください。
- 医療情報システムの安全管理に関するガイドライン 第7.0版（厚生労働省、令和8年6月）― 概説編・経営管理編・企画管理編・システム運用編・保守委託機関編、チェックリスト、BCP確認表
- 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン第2.0版の公表（総務省、令和7年3月28日）
- 個人情報の保護に関する法律（e-Gov法令検索）― 23条・24条・25条・26条
- 個人情報の保護に関する法律施行規則（e-Gov法令検索）― 7条・8条・9条・10条
- 医療法施行規則（e-Gov法令検索）― 14条2項
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）
- 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（個人情報保護委員会・厚生労働省）
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言・医学的助言ではありません。法令・制度・通知の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令・通知をご確認のうえ、弁護士にご相談ください。