3省2ガイドライン対応パッケージ
数ヶ月規模の対応を、
数週間規模に。
医療・ヘルスケアプロダクトの法令対応・セキュリティ構築の実務で磨いた、 法的・技術的ベストプラクティスの一式。416項目をゼロから検討する代わりに、 検証済みの標準回答からの差分レビューで、最短・高品質に対応します。
416 → 約50
検討項目数
対象外167件は設計選択で消え、196件は標準回答で即答。個別検討は差分だけ
40%
設計の工夫で対象外にできる項目
当社のアーキテクチャ設計ノウハウにより、416項目のうち167件は対応自体を不要にできる
70
文書ひな形
規程・計画・サービス文書・手順35 ＋ AWS詳細設計書35。ゼロから書かない
AWSで構築するプロダクトなら、法令対応文書から詳細設計書・AWSの設定値まで、実装につながる形でワンセット。紙の対応で終わらせません。
3省2ガイドライン対応が重い理由
医療情報を取り扱うシステム・サービスの提供事業者には、厚労省・経産省・総務省の 3文書（あわせて数百ページ）への対応が求められ、対策項目は416項目にのぼります。
自力で対応する場合、ガイドラインの読解と項目整理だけで数週間、全項目の該当性判断と 対応方針の検討に数ヶ月、さらに規程・手順・設計書の整備が続きます。医療情報セキュリティに 知見のある人材の確保も難しく、体制を組成して 対応した場合の総コストは数百万〜1,000万円規模・期間4〜6ヶ月になるのが実情です（自社試算。体制・単価の前提はご相談時にご提示します）。
さらに、対象外にできる項目を知らずに全項目対応してしまう過剰投資や、 判断根拠が担当者の頭にしか残らない属人化が、後の監査・引き継ぎで効いてきます。
「416項目」は入口にすぎません
対策項目の1つ1つに、厚労省ガイドラインの条文参照と、医療機関からの確認事項がぶら下がります。 医療機関が見るのは最後の「いいえ」の数です。
416
対策項目
経産省・総務省ガイドライン 別紙2。事業者が対応する管理単位
99
医療機関の確認事項
厚労省ガイドライン第7.0版 MDS 41＋SDS 58。医療機関はこれで事業者を選定する
いいえ 0
当社標準回答の見込み
99項目のうち94項目が「はい」または「対象外」、5項目は製品ごとに判断
内訳: 実際に読んで判断する単位（当社アセットの機械集計・再現可能）
- 416、さらに
対策項目（経産省・総務省ガイドライン 別紙2）
遵守事項◎384・推奨〇32。管理単位として数えるとこの数
- 371、さらに
厚労省ガイドラインの条文参照
416項目のうち343項目に、企画管理編149・システム運用編222の条文が結線されている
- 99、さらに
医療機関からの確認事項（MDS 41＋SDS 58）
厚労省ガイドライン第7.0版 保守委託機関編【別紙】。医療機関はこれで事業者を選定する
- 160、さらに
JAHIS SDS Ver.5.0 の設問
商談で実際に提出を求められる開示書の様式
- 約90
落とし込む文書（当社が用意済み）
規程・計画・手順35＋AWS詳細設計書35＋案件別文書パック19。貴社が埋めるのは差し込み欄110箇所で、導入先に合わせた書き換えも当社が行います
読んで判断する単位は合計で1,000を超えます（416＋371＋99＋160＋別版参照202）。たとえば「パスワードの世代管理」という1項目は、厚労省ガイドラインの条文 → 医療機関の確認事項 → 利用者認証方式規程の条文 → 認証基盤の設定値、と5段で初めて「対応した」と言えます。 416項目それぞれにこの深さがあるのが、対応が重い理由です。
対応のゴールは文書を揃えることではなく、医療機関の選定基準「全項目が『はい』または『対象外』」を満たして契約が進む状態にすることです。SDS を出せないまま止まる医療機関との契約は、年間で数百万円規模になることが珍しくありません。 さらに厚労省ガイドライン第7.0版は令和9年度までの二要素認証の採用を求めており、未対応の事業者はシステム更新時の選定から外れる構造になっています。
どこまで要るかは段階で決められます
- PoC・初期導入: 医療機関に出す回答を先に整える（S1／S2）。99項目への回答と規程類で、選定の入口を通す最低線
- 本製品化: 全層を揃える（S3／S4）。AWS設定値レベルの設計書まで含め、監査・引き継ぎに耐える形にする
- 改定への追従: ガイドラインは厚労省と経産省・総務省が別周期で改定し、直近の改定では416項目のうち300項目超で参照条文が動きました。年間更新（20万円／年）で再判定と差し替え版をお渡しします
なぜ数週間規模にできるのか
01
対応しない、を先に設計する
全416項目のうち167件（40%）は、アーキテクチャ設計の工夫により対象外にできます。「頑張って対応する」前に「対応が要らない形を選ぶ」——どの設計選択がどの項目を不要にするかの対応表を当社は持っており、構成のご提案とセットで適用します。
02
検討済みの標準回答416項目
ガイドライン416項目のすべてに、当社標準のクラウド構成を前提とした対応方針を用意。法解釈だけでなく、CloudTrail・Cognito・WAF・GuardDutyなどAWSの設定レベルまで具体化されており、実装指示書としてそのまま使えます。ゼロからの検討が差分レビューに変わります。
03
文書ひな形70ファイル
運用管理規程・アクセス管理規定・DR計画・SLA・リリースフローなどの規程・計画・サービス文書・手順35ファイルと、IAM・ログ監査・監視・ネットワーク・ストレージの詳細設計書35ファイル（AWSの設定値レベルまで記述）。規程は「ガイドライン要件ID → 要求 → 対応条文」の構造で、どの条文がどの要件を満たすか追えます。
04
監査に耐えるトレーサビリティ
ガイドライン要件 → 対応方針 → 規程条文 → AWS設定までが一本の線で繋がります。医療機関からの照会や監査への回答が速く、担当者が変わっても判断根拠が失われません。
机上のテンプレートではなく、実対応で検証済み
医療情報の扱いが最もシビアな領域のひとつ、医用画像をAIで解析するSaaS（大学病院との共同研究から事業化）に本パッケージを適用し、416項目すべてを実装と文書の実態で判定、JAHIS SDS Ver.5.0（160問）の開示書と規程類を整備しました。 標準回答のまま医療機関に出すのではなく、適用先の実態で判定し直す手順もこの適用で確立しています。
本パッケージの標準回答とフレームワークは実際の3省2ガイドライン対応で運用され、416項目すべての該当性判断・対応方針の記入を、 担当1名＋レビュー1名の体制・営業日10日で完了した実績があります。 医療機器プログラム（SaMD）から非医療機器のヘルスケアサービスまで、 複数プロダクトの開発・法令対応で蓄積した判断とAWS実装の型を反映しています。
監修体制
メドテック企業でのCTO経験を持ち、SaMDの薬事対応からクラウドセキュリティ構築・ プロダクト開発までを実務で担ってきたメンバーが、標準回答と文書ひな形の内容を監修しています。 法解釈と技術実装のどちらか一方に寄らない、両輪での品質担保が本パッケージの前提です。
医療機関の審査で問われる機能を、最初から実装済み
二要素認証・パスワードの脆弱性チェック・改ざんできない監査ログ・医療機関ごとのデータ分離など、 SDS（医療情報セキュリティ開示書）で確認される機能を、画面と AWS 上の仕組みとして備えた土台をお渡しします。 各機能には JAHIS SDS Ver.5.0 の設問番号を併記しています。
クリックで拡大。ガイドラインへの準拠を保証するものではありません。
提供アセットの全体像
「何がどれだけ揃っているのか」を、件数で示します。 以下はすべて実在する成果物の件数で、商談の場で現物をご確認いただけます。
416項目
標準回答データベース
3省2ガイドラインの対策項目416件すべてに、判定と対応方針を用意済み。「対応中・未対応」は0件です。
内訳を見る
- 対応済み 192件 — 標準的なAWSの設定・実装でカバーできる項目
- 設計選択により対象外 171件 — 12の設計パターンに帰着（物理基盤を自社で持たない80件／院内ネットワークに接続しない11件ほか）。「この構成を採ればこれらは検討不要」を索引で示せます
- 製品化段階で対応 52件／要判断（製品機能に依存）1件
- 対策項目マスタは3章・44中項目に構造化（人的・組織的153／物理的41／技術的222）
- 納品前の通し点検スクリプト付き（内部整合・条文の実在・版数・固有情報の残存を機械判定）
94 / 99項目
医療機関の確認事項への回答素材
MDS/SDS 99項目のうち94項目（95%）が「はい」または「対象外」で回答できる見込みです（「いいえ」0件）。
内訳を見る
- MDS 41項目・SDS 58項目を構造化し、99項目 × 対策項目416件の対応表を全件紐づけ
- 内訳: はい61／はい（要件付き）14／対象外19／要判断5／いいえ 0
- 要件付き14件は成立要件を文書化済み（どの規程のどの章を埋めれば「はい」になるかまで特定）
- 要判断5件は、なぜ個別検討になるのかを項目単位で開示します（次章）
- 別様式の JAHIS SDS Ver.5.0（160問）にも開示書を用意: 標準構成で はい72／いいえ1／対象外72／非該当15（いいえ1件はパスワードの有効期限。定期変更を求めない設計のため）。案件で再判定する72問は区別して管理
70点
規程・手順・設計書のひな形
規程・計画・サービス文書・手順35文書と、詳細設計書35ファイル。ゼロから書き起こしません。
内訳を見る
- 規程8: 運用管理／アクセス管理／利用者認証方式（二要素認証・代替手段）／ISMS実施・運用／情報資産管理／要配慮個人情報の取り扱い／スマートフォン使用ルール／就業規則
- 計画2: DR計画／リスクアセスメント サービス文書4: SLA／サービス仕様書／サービス仕様適合開示書／非機能要件定義書
- 手順21: リリースフロー一式14（FE/BE × Stg/Prod・品質保証・リリース後・出荷判定・社内QA・薬機対応・法定表示・デザインレビュー）＋特権アクセスログ定期レビュー／サポート終了影響評価／分析削除依頼／苦情対応／教育訓練（理解度テスト20問つき）／作業手順書
- 詳細設計書35: セキュリティ運用設計13（IAM・WAF・CloudTrail・GuardDuty・AWS Config）／データストレージ6／アーキテクチャ4／インフラ・ネットワーク2／モバイル差分3／共通章7
- 規程は「ガイドライン要件ID → 要求 → 対応条文」の構造。どの条文がどの要件を満たすか追えます
実装一式
文書だけで終わらせない実装の型
管理基盤の画面9枚・API 14経路・AWSのIaC（CDK 67リソース）まで、文書と紐づけた実装の型があります。
内訳を見る
- 管理基盤フロントエンド 9画面: ログイン／初期パスワード変更／MFA登録／MFAコード入力／パスワード再発行（2段階）／パスワード変更／ユーザー管理／監査ログ閲覧／セキュリティ開示（SDS Ver.5.0 の回答を利用者に表示）
- バックエンド 14経路: 認証10＋ユーザー管理3＋監査ログ1。パスワード履歴照合・類推しやすいパスワードの拒否（画面と API の両方）・アカウント列挙防止・全パスワード操作の監査ログ記録・実行ログに個人情報を出さないテストを実装
- AWS（CDK 67リソース）: Cognito（12文字＋複雑性・履歴5世代・MFA 3モード切替）／DynamoDB／監査ログのS3 Object Lock保全／HTTP API＋JWT認可／CloudWatch アラーム3本→SNS通知／CloudTrail（任意）
- 無操作自動ログオフ（既定15分→警告→強制サインアウト）・テナント別テーマ（ブランド1色から配色を自動導出）
- 案件別の文書パック自動生成（19文書: 規程・SLA・基本設計書・設計書セキュリティ章・復旧/BCP手順書・各種台帳と記録・組織対応チェックリスト・SDS開示書・医療機関向け説明スライド）: 差し込み欄110欄を5分類で管理し、検査ゲート6種を通らないと生成されません。基本設計書の画面・API・データの表は実装から生成し、納品マニフェストに生成日・コミット・設定・416件の区分別集計が残ります
- 依存パッケージの悪性混入を毎週検査（OSV-Scanner）し、更新は Dependabot で追う
対策項目416件・医療機関の確認事項99件・規程と手順35文書・設計書35ファイル——合計580を超える管理単位を、文書と実装の両面で紐づけ済みです。
医療機関の確認事項「MDS/SDS 99項目」への回答状況を開示します
ガイドライン第7.0版では、医療機関が事業者を選定する際の公式な確認事項として MDS（医療情報安全管理適合性開示書）41項目・SDS（サービス仕様適合開示書）58項目の 計99項目が示され、「全項目が『はい』または『対象外』である事業者を選定すること」と明記されました。 本パッケージは、この99項目にどう答えられるかを項目単位で整理・開示します。
01
99項目すべてを項目単位で分類済み
MDS/SDS 99項目すべてを項目単位で分類済みです。94件（95%）は「はい」「対象外」または「文書の整備により はい」で回答できる見込みです。
02
個別検討になるのは5件だけ
個別検討になるのは5件だけです。どの項目が、なぜ個別検討になるのかを項目単位で開示します。
03
対応表は検証してから出す
「対象外」の除外理由が要求に当たっていない項目（誤除外）を4件、自分たちで検出して是正しました。対応表は作って終わりにせず、要求の原文と突き合わせて検証しています。
04
二要素認証は規程ひな形を同梱
二要素認証（令和9年4月1日期限）は、対応ロードマップの規程ひな形をアセットに同梱しています。方式の比較・認証手段が使えない場合の代替手順・医療機関等との合意事項までを1本の規程で扱います。
開発中
対応状況のAI自動判定（技術検証中）
対応状況のAI自動判定を自社アセットで実測しています。170件の判定で、根拠引用216件はすべて 原文と機械照合済み——実在しない根拠（捏造）は0件でした。判定の限界値 （対象外の項目を誤って「要対応」と読む率など）も測定し、開示します。 AIの出力を鵜呑みにするのではなく、間違い方まで測って人の確認と組み合わせる—— 本パッケージと同じ検証姿勢で製品化を進めています。
提供物
- 対策項目マスタ（416項目・厚労省ガイドラインへの条文参照371件の構造化データ。経産省・総務省ガイドライン第2.0版 別紙2 と項目単位で一致を機械確認済み）
- 標準回答集（当社標準のクラウド構成前提・対象外判断の根拠つき）
- 対応検討シート（貴社プロダクト向けにカスタマイズ）
- 運用文書一式（規程・計画・サービス文書・手順 35ファイル）
- セキュリティ詳細設計書一式（IAM・ログ監査・監視・NW・ストレージ 35ファイル、AWS設定値レベル）
- サービス仕様適合開示書・サービス仕様書のひな形
- 利用者認証方式規程のひな形（二要素認証の対応ロードマップ・代替手段・医療機関等との合意事項）
※ 当社が提案するクラウド構成（AWS）の採用が前提です。 既存構成が異なる場合もヒアリングのうえ適用範囲をご提示します。
料金
アセットのどこまでを使うかで、4段階に分けています。 比較していただきたいのは当社の作業量ではなく、SDS を出せずに止まる医療機関との契約（年間数百万円規模）と、 体制を組成して自力対応した場合の数百万〜1,000万円・4〜6ヶ月です。 PoC・初期導入ではS1／S2で医療機関への回答を先に整え、本製品化でS3・S4へ進む段階的な使い方ができます。
SDS回答パック
標準回答DB 416項目 ＋ MDS/SDS対応表
40万円（税別）
納期目安 5営業日（特急3営業日）
医療機関から求められたSDS・MDSに、貴社構成での回答草案とギャップ一覧をお返しします。まず「出せる状態」にする入口の商品です。
- ヒアリング1回（60分）
- GL第7.0版 別紙 99項目 または JAHIS SDS Ver.5.0（160問）の回答草案
- 「はい」にするための要件メモ（ロードマップ回答の書き方を含む）とギャップ一覧
- 提出期限が迫っている場合は特急（3営業日）＋20万円
文書パック
S1 ＋ 規程・計画・サービス文書・手順 35文書
80万円（税別）
納期目安 2〜3週間
回答草案に加え、根拠になる規程・手順一式を貴社向けに仕上げます。SDSの「はい」に条文の裏付けが付きます。
- S1のすべて
- 運用管理規程・アクセス管理規程・利用者認証方式規程・DR計画・SLA など35文書の貴社向け差し込み
- 対応検討シート（個別検討が必要な項目の整理）
設計・文書フルパッケージ
S2 ＋ AWS詳細設計書 35ファイル ＋ 構成提案
180万円（税別）
納期目安 4〜6週間
「対応しない、を先に設計する」まで含めた全部入り。設計選択で対象外にできる項目を構成提案で確定し、設計書と文書を一本の線で繋ぎます。
- S2のすべて
- 当社標準クラウド構成の設計提案と、個別検討50件前後の差分レビュー
- IAM・ログ監査・監視・ネットワーク・ストレージの詳細設計書（AWS設定値レベル）の貴社向け化
実装キット ソースライセンス
管理基盤（画面9・API 14・AWS IaC）＋ 文書パック自動生成
100万円（税別）
納期目安 契約後すぐ
文書だけで終わらせないための実装の型。認証・ユーザー管理・監査ログの管理基盤と、案件別の文書パック生成をソースごとお渡しします。
- ソース一式（改変可・再頒布不可・1運営者1ライセンス）の買い切り
- 初回デプロイ支援（2時間）
- S3との同時契約は260万円
- 上記はアセットとその貴社向け仕上げの価格です。設計・実装まで当社に任せたい場合は、アセット費に貴社固有の開発分を加えた2行でお見積りします。
- 年間更新（S2以上が対象）: 20万円／年。ガイドラインは厚労省と経産省・総務省が別周期で改定され、直近の改定では416項目のうち300項目超で参照条文が動きました。改定時の再判定と文書の差し替え版、依存更新を含みます。
- 厳密対応版（二要素認証の実装、記録確定などの製品機能、閉域網・クライアント証明書・PKI署名への拡張）は差分表をもとに個別にお見積りします。
- 価格はすべて税別・2026年10月時点の標準価格です。当社標準のクラウド構成（AWS）の採用が前提で、既存構成が異なる場合はヒアリング後に適用範囲と費用をご提示します。
- 本パッケージは3省2ガイドラインへの準拠を保証するものではありません。
進め方
ヒアリング
2〜3日
プロダクト特性・データフロー・提供形態を確認し、標準回答との差分を特定します。
構成提案 ＋ 差分検討
1〜2週間
当社標準のクラウド構成の設計提案とセットで、個別検討が必要な項目（50件前後）だけをレビューします。
文書一式の納品
1〜2週間
検討シート・運用文書・詳細設計書を貴社向けにカスタマイズして納品。医療機関への開示文書まで揃います。
どの段階から始めるかは、無料相談で貴社プロダクトの状況を伺ったうえでご提案します。
まずは対応範囲の目安から
貴社プロダクトの概要をお聞かせいただければ、416項目のうちどこまでが 設計選択で対象外にでき、個別検討がどの程度残るか、初回相談（無料）で目安をご提示します。
無料相談を予約するまず自社の状況を知りたい方は まずは無料の SDS ギャップ診断（3 分）