3行まとめ
- 1.厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、医療法第25条第1項の立入検査（薬局は薬機法）で確認される書類です。令和8年度版（令和8年6月）では医療機関用と薬局用が1枚に統合され、全19項目になりました。令和8年度中にすべての項目で「はい」にすることが求められています。
- 2.立入検査では19項目の回答と確認日が入っていることに加えて、2-①の機器台帳、3-①の連絡体制図、3-③の事業継続計画（BCP）、4-①の運用管理規程の4点は現物を確認されます。チェックリストに「はい」と書くだけでなく、この4点が手元にあるかが分かれ目です。
- 3.二要素認証（2-⑪・2-⑫）は「令和9年度以降の初回システム更改時に実装予定」であれば「はい」で構いません。サーバ側には踏み台端末を使う「みなし措置」もあります。無料の自己点検ツールで19項目に答えると、「はい」になっていない項目ごとに具体策とガイドラインの参照箇所が表示されます。
1. このチェックリストは何か
厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」は、医療情報システムの安全管理に関するガイドラインのうち、医療機関等が優先的に取り組むべき事項を19項目に絞ったものです。マニュアルは「サイバーセキュリティ対策に馴染みがない方にもご理解いただけるよう」平易に解説することを目指したと書いています。
位置づけは3点に整理できます。
- 法的根拠: 医療法施行規則第14条第2項（2023年4月1日施行）が、病院・診療所・助産所の管理者にサイバーセキュリティ確保のための必要な措置を求めています。「必要な措置」の中身は、医療情報システムの安全管理に関するガイドラインを参照して対応することとされています。
- 立入検査: 医療法第25条第1項に基づく立入検査（薬局は薬機法に基づく立入検査）で、チェックリストの全項目に確認日と回答が記入されていることを確認します。
- 頻度: 少なくとも年1回は点検を実施し、立入検査の前には改めて確認することが求められています。
医療機関等は「医療機関・薬局確認用」について令和８年度中にすべてのチェック項目で「はい」にマルがつくように、事業者と連携して取り組むようにしてください。 （チェックリストマニュアル 令和8年度版 Ⅰ-2「チェックリストの記入方法」）
「いいえ」の項目には、令和8年度中の対応目標日を記入する欄があります。すべて「はい」でなくても検査で直ちに問題になるわけではありませんが、目標日を書けない「いいえ」は説明に困ります。
2. 令和8年度版で変わったこと
| 変更点 | 内容 |
|---|---|
| 様式の統合 | 従来分かれていた「医療機関用」と「薬局用」を「医療機関・薬局確認用」1枚に統合。事業者向けは「事業者確認用」 |
| ガイドライン第7.0版への更新 | 令和8年6月策定のガイドライン第7.0版に合わせて項目を更新 |
| 二要素認証の対象の明確化 | 端末は「アプリケーションログイン時」（2-⑪）、サーバは「OSログイン時」（2-⑫）と対象を分けて明記 |
| パスワード要件 | 英数字混在8桁以上。二要素認証を採用するまでの期間は13桁以上（2-⑦） |
| BCPの追加 | 「サイバー攻撃の想定を含む事業継続計画（BCP）を策定している」（3-③）が独立項目に。立入検査で現物確認の対象 |
| 事業者確認用の「対象外」 | 保守契約の範囲外の項目は事業者が「対象外」と回答できる。その項目の責任は医療機関側に移る |
3. 立入検査で現物を確認される4点
マニュアルは、19項目のうち次の4点について「現物を確認しますので、立入検査までに作成してください」と明記しています。
| 項目 | 現物 | 最低限の中身 |
|---|---|---|
| 2-① | 機器台帳 | 管理番号・メーカー・OS・ソフトウェアとバージョン・IPアドレス・設置場所・利用者・登録日・状態（稼働/停止）。電子カルテ、レセコン、画像系、無線LANルータ、保守用端末まで1行1台 |
| 3-① | 連絡体制図 | 発見者→安全管理責任者→院長の院内経路と、事業者・都道府県警察の担当部署・厚生労働省（医政局医療情報担当参事官室 03-6812-7837）・保健所などの外部連絡先を電話番号つきで1枚に |
| 3-③ | 事業継続計画（BCP） | 「電子カルテが使えない」「身代金要求を受けた」場面を想定し、紙運用への切替基準、連絡、復旧の順序を記載。災害BCPがあってもサイバー攻撃の想定がなければ不足 |
| 4-① | 運用管理規程 | 1〜3のすべての項目について「誰が・いつ・どうやるか」を明文化。台帳・連絡体制図・BCPを別紙にして改定日を揃える |
このほか、2-⑬のアクセスログも「立入検査の際に直接確認する可能性があります」と書かれています。
4. 19項目の一覧と、「はい」にする最短手順
設問はチェックリスト原文の要約です。原文は自己点検ツールに全文を掲載しています。
| 番号 | 項目（要約） | 「はい」にする最短手順 |
|---|---|---|
| 1-① | 医療情報システム安全管理責任者を設置 | 院長・管理者または事務長を文書で指名し、職務を規程に書く |
| 2-① | サーバ・端末・ネットワーク機器の台帳管理 | 自院が保有する全機器を1行1台で一覧にする（現物確認） |
| 2-② | リモート保守を使う機器の有無を事業者に確認 | 台帳の機器ごとに事業者へ文書で確認し、安全管理責任者に報告 |
| 2-③ | 事業者から MDS/SDS を提出してもらう | システムごとに提出を依頼し、回収日を控える |
| 2-④ | 職種・業務別のアクセス権限、管理者権限の明確化 | 利用者ID台帳を作り、Admin 権限の人を名指しで限定 |
| 2-⑤ | 退職者・未使用アカウントの削除・無効化 | 退職当日に無効化する手順を規程に入れ、年1回棚卸し |
| 2-⑥ | セキュリティパッチの適用 | 機器ごとに適用の責任者（自院か事業者か）と頻度を決める |
| 2-⑦ | パスワードは英数字混在8桁以上（二要素認証まで13桁以上） | 初期パスワードを全機器で変更。要件を規程に明記 |
| 2-⑧ | パスワードの使い回し禁止 | 機器ごとに別パスワード。事業者にも使い回しがないことを宣言させる |
| 2-⑨ | USB等の外部記録媒体の接続制限 | 未登録USBを読めなくし、必要な媒体は登録制に |
| 2-⑩ | 不要なバックグラウンドソフト・サービスの停止 | 起動中サービスを事業者と確認し、不要なものを停止 |
| 2-⑪ | 端末のアプリログイン二要素認証（または令和9年度以降の初回更改で実装予定） | 未導入なら次回更改計画に明記（下記5章） |
| 2-⑫ | サーバのOSログイン二要素認証（同上） | 踏み台端末による「みなし措置」も可（下記5章） |
| 2-⑬ | アクセスログの管理 | 「誰が・いつ・何を」が出せるか事業者に確認し、定期確認を記録 |
| 2-⑭ | ネットワーク機器の接続元制限 | 無線LANを登録制にし、患者用Wi-Fiと業務系を分離 |
| 3-① | 連絡体制図がある | 院内経路と外部連絡先を電話番号つきで1枚に（現物確認） |
| 3-② | バックアップの確保と復旧手順の確認 | 日次・3世代以上、1世代はオフライン。年1回復旧を試す |
| 3-③ | サイバー攻撃の想定を含むBCP | 既存の災害BCPにサイバー攻撃の場面を追加（現物確認） |
| 4-① | 1〜3の実施方法を運用管理規程に定める | 1項目1条で「誰が・いつ・どうやるか」を書く（現物確認） |
2-②と2-③は、事業者と保守契約がない機器については確認を求められません。ただしその場合、セキュリティアップデートなど保守管理の責任はすべて医療機関側が負います。
5. 二要素認証の項目はどう読むか
2-⑪と2-⑫には「または令和9年度以降初回のシステム更改時に実装予定である」という逃げ道が設問文に組み込まれています。ガイドラインは第5.1版（令和3年1月）以降、令和9年度時点で稼働するシステムの新規導入・更新時に二要素認証を求めてきました。今すぐ導入していなくても、次回の更改計画に二要素認証を入れていれば「はい」と答えられます。計画の存在を示せるよう、見積りや更改スケジュールを残しておくのが実務的です。
サーバのOSログイン（2-⑫）については、院内ネットワークの再構築が必要になる場合があるため、マニュアルが「みなし措置」を定めています。次のいずれかで二要素認証を実装しているものとみなせます。
- 措置①: サーバ群へのアクセスを、別ドメインに置いた踏み台端末からの RDP/SSH 等に限定し、その踏み台端末のOSログインに二要素認証を実装する
- 措置②: 同じく踏み台端末経由に限定したうえで、踏み台端末に EDR 相当の振る舞い検知を備え、外部からの接続は VPN 経由に限定する
いずれも、踏み台にログインする外部ユーザに管理者権限を与えないこと、OSのセキュリティアップデートが十分であること、サーバ群と踏み台で共通パスワードを使わないことが前提です。これが満たされないと十分な措置とは見なされません。
医療機器への二要素認証は、第7.0版への改定時に改変が見送られたため、現時点で必須ではありません。ただし今後求められる方向性は変わらないとされ、二要素認証に対応した医療機器を選ぶことが推奨されています。
6. 事業者確認用チェックリストの使い方
チェックリストは医療機関側が記入するだけでは完結しません。マニュアルは、医療機関等がシステムを提供している事業者ごとに「事業者確認用」を送付し、回答を回収することを求めています。立入検査では、医療機関・薬局確認用と事業者確認用の両方について確認日と回答が記入されていることを確認します。
事業者確認用の回答は3種類です。
- はい: 保守契約の範囲内で、事業者側の責任で対応できている
- いいえ: 保守契約の範囲内だが、事業者側が対応できていない。令和8年度中の対応目標日を記入
- 対象外: 保守契約の範囲外。その項目の責任は医療機関側が負う
「対象外」が返ってきた項目は、医療機関側で対応する必要があります。認識のずれがないか、事業者と確認しておきましょう。あわせて 2-③ の MDS/SDS（製造業者/サービス事業者による医療情報セキュリティ開示書）も事業者から回収します。MDS/SDS は JIRA/JAHIS が定めた標準書式で、厚生労働省の標準規格として認定されています。
7. 進め方（5ステップ）
- 自己点検: 19項目の自己点検ツールで現状を「はい／いいえ／未確認」で把握する（約5分）
- 現物4点の確認: 台帳・連絡体制図・BCP・運用管理規程のうち、ないものを洗い出す
- 事業者への送付: 事業者確認用チェックリストと MDS/SDS の提出をシステムごとに依頼し、「対象外」の項目を確認する
- 目標日の設定: 「いいえ」の項目に令和8年度中の対応目標日を入れ、厚労省の Excel 様式に転記する
- 年1回の反復: 点検日を規程に組み込み、立入検査の前に再点検する
診療所の多くは専任の情報システム担当者がいません。19項目のうち、台帳・連絡体制図・規程の3点は自院で作れますが、パッチ適用・二要素認証・アクセスログ・接続元制限は事業者の協力が前提になります。先に事業者確認用を送っておくと、自院で埋めるべき範囲がはっきりします。
出典（一次資料）
- 厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」（令和8年6月）
https://www.mhlw.go.jp/content/10808000/001716185.pdf - 同「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル 〜医療機関・薬局・事業者向け〜」（令和8年6月・全18ページ）
https://www.mhlw.go.jp/content/10808000/001716186.pdf - 同 医療機関・薬局確認用（Excel）
https://www.mhlw.go.jp/content/10808000/001716187.xlsx - 同 事業者確認用（Excel）
https://www.mhlw.go.jp/content/10808000/001716188.xlsx - 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月）掲載ページ
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html - 厚生労働省 医政局医療情報担当参事官室 事務連絡（令和8年5月27日・各都道府県衛生主管部（局）宛）
https://www.mhlw.go.jp/content/10808000/001705825.pdf - 医療法施行規則第14条第2項（サイバーセキュリティの確保・2023年4月1日施行）に関する厚生労働省説明資料
https://www.mhlw.go.jp/content/10808000/001262038.pdf
本記事は一般的な情報提供であり、個別の医療機関・薬局に対する法的助言や、立入検査の結果を保証するものではありません。各項目の最終判断は原文・所管の保健所・事業者にご確認ください。本文中の項目番号はチェックリストの章と丸数字（例: 2-⑪）に対応しています。