3省2ガイドライン対応セルフチェック 全27問— 医療機関に問われる前に対応状況を棚卸しする【事業者・ベンダー向け】

1. このチェックリストについて

医療機関に医療情報システム・SaaS・AIサービスを提供する事業者には、いわゆる「3省2ガイドライン」への対応が実務上求められます。

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」（2026年6月）— 医療機関等側の遵守事項。2026年6月の改定で「保守委託機関編」が新設され、事業者選定の考え方がより具体化されました（改定点の全体像は第7.0版改訂まとめで解説しています）
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」（令和2年8月策定・令和7年3月改定）— 事業者側の遵守事項

医療機関側のガイドラインが整備されるほど、その要求は調達要件・選定基準というかたちで事業者側に降りてきます。第7.0版では、事業者に対する確認事項（MDS/SDS 計99項目）について「すべて『はい』または『対象外』となっている事業者を選定すること」が明文化されました。「対応できているか」は、営業の初回商談や調達の場面で具体的な項目単位で問われる時代になっています。

本チェックリストは、その確認に先回りするための自己診断ツールです。全27問・約8分で、自社の対応状況のうち「医療機関から問われたときに答えに詰まる箇所」がどこかを把握できます。

対象読者: 医療機関・患者向けにシステム/SaaS/AIを提供している、または提供を予定している事業者の開発責任者・事業責任者（情報セキュリティの専任担当がいない規模の組織を想定しています）。

2. 使い方

1. 各設問に「はい／いいえ／該当しない」で回答してください。資料を調べ直さず、現状の認識で回答するのがコツです。「わからない」は「いいえ」に含めてください——医療機関に問われたときに即答できない、という意味で同じ状態だからです
2. 「該当しない」は、その事業形態に当てはまらない場合のみ選んでください（例: 自社サーバーを保有していない）
3. 回答し終えたら、診断フォームに入力してください。到達率にもとづく判定・カテゴリ別の対応状況・とくに優先度の高い設問の個別解説を自動返信でお送りします（無料・解説PDF付き）

Q0（前段設問）— 最初に確認してください

Q0 自社サービスが3省2ガイドラインの対象になるかどうか、判断がついていますか？ □ 対象だと判断している　□ 対象外だと判断している　□ 判断がついていない

「判断がついていない」を選んだ方へ: 対象となるのは「医療情報（患者の診療情報等）を取り扱うシステム・サービスの提供事業者」で、直接の契約相手が医療機関でなくても対象になり得ます（例: 医療機関向けSaaSの基盤を提供する事業者、PHRから診療情報を預かる事業者）。まず対象性の整理から始めるのが正解です——それ自体がガイドライン対応の第一歩です。

3. セルフチェック 27問

回答形式はすべて「はい／いいえ／該当しない」です。

カテゴリ1. 体制・ガバナンス（4問）

Q1 医療情報の取扱いについて責任者を任命し、社内に周知していますか

• 兼任で構いません。「誰が責任者か」を文書と組織図で言えることが要件です。厚労省GLは医療機関側に「企画管理者」の設置を求めており、事業者側の窓口責任者はその照会先になります。

Q2 医療情報を対象にしたセキュリティポリシー・取扱規程を文書化し、従業者に誓約させていますか

• 「一般的な情報セキュリティ規程はあるが医療情報を特定していない」は、医療機関の調達で最もよく指摘されるパターンです。

Q3 開発・インフラの委託先について、選定基準の確認・安全管理措置に関する契約（覚書/SLA）の締結・定期報告の受領を行っていますか

• 第7.0版はサプライチェーンリスクを明記しました。再委託先を含む「委託の連鎖」を把握しているかが問われます。

Q4 年1回以上、医療情報の取扱いに関するリスクアセスメントまたは従業者教育を実施していますか

• 頻度を決めて記録を残すことがポイントです。「やったことはあるが記録がない」は、対外的には未実施と同じ扱いになります。

カテゴリ2. アクセス制御（5問）

Q5 医療情報へのアクセス権限を、業務上必要な最小限に制限していますか

• 「開発メンバー全員が本番DBを見られる」状態は典型的な指摘事項です。役割単位の権限設計があるかを確認してください。

Q6 医療情報を扱うすべてのシステムで多要素認証を必須にしていますか（パスワードのみでログインできる経路が残っていませんか）

• 第7.0版は二要素認証の対象（クライアント端末・サーバ）を明確化し、医療機関等には令和9年（2027年）4月1日が実質的な対応期限として示されています。医療機関が対応を迫られる＝ベンダ選定要件として事業者に降りてくる期限です。なお第7.0版でパスワードの定期変更要件は削除されました（使い回し禁止・アカウントロック等に置き換え）。いまだに定期変更を顧客に案内している場合は見直しの機会です。

Q7 アクセス権限の付与・変更・削除の記録を残していますか

Q8 退職・異動時にアクセス権限を即日で削除する手順がありますか

• 「手順書はないが都度やっている」は、退職者アカウントの消し忘れが実際に起きるまで発覚しません。チェックリスト1枚で足ります。

Q9 本番環境の特権ID（管理者権限）の利用者を限定し、利用記録を残していますか

• 厚労省GLは保守対応の場面でも「特権ID権限の厳格管理（管理者共通アカウントの禁止等）」を挙げています。共有adminアカウントの廃止が第一歩です。

カテゴリ3. データの保護（5問）

Q10 医療情報を、通信時（TLS）だけでなく保存時にも暗号化していますか

• 通信の暗号化は今やほぼ全事業者が対応済みの「前提」です。差がつくのは保存時（DB・オブジェクトストレージ・バックアップ）の暗号化と鍵管理です。

Q11 医療情報の保存先リージョン（国内/国外）を把握し、顧客に説明できますか

• 現行ガイドラインは保存場所に国内法の適用・執行が及ぶことを重視しています。海外リージョンや海外SaaSを使う場合は「どの国に・何が・なぜ」を1枚で説明できるようにしておくと商談が止まりません。

Q12 利用しているクラウド・SaaS事業者について、3省2ガイドライン（総務省・経産省側）への準拠状況（サービス仕様適合開示書〔SDS〕など）を確認していますか

• 第7.0版の保守委託機関編は、医療機関等に対し事業者から「サービス仕様適合開示書、MDS/SDS等」を収集するよう明記しました。自社が使う基盤クラウドのSDS等を確認していない場合、自社のSDSも書けません。存在を知らなかった方は、まずAWS/Azure/GCP等が公開している3省2ガイドライン対応リファレンスの確認から始めてください。

Q13 業務用端末の盗難・紛失対策（ディスク暗号化・リモートワイプ・持ち出しおよび廃棄の手順）を定めていますか

Q14 バックアップから実際に復旧できることを、直近1年以内にテストしましたか

• 厚労省GLは「バックアップファイルの復旧テスト」を非常時に備えた対策として求めています。サイバー攻撃時はバックアップ自体が汚染されている可能性も指摘されており、「取っている」と「戻せる」は別物です。

カテゴリ4. ログ・監視（3問）

Q15 誰がどの医療情報にアクセスしたかを追跡できるログを取得し、保存期間を定めていますか

Q16 不正アクセスや異常を検知したときに、担当者へ通知が届く仕組みがありますか

• 高度なSOC（監視センター）は不要です。「アラートがSlack/メールに飛び、誰かが見る」ことが決まっていれば「はい」です。

Q17 直近1年以内に脆弱性診断を実施しましたか

• 医療機関の調達で実施時期まで問われる定番項目です。外部診断が理想ですが、まずはツールベースの定期スキャン＋記録から始められます。

カテゴリ5. 医療情報・AI特有の論点（5問）

Q18 要配慮個人情報（病歴等）としての取扱いルールを、個人情報保護法に基づいて整備していますか

• 診療情報は個人情報保護法上の「要配慮個人情報」に該当し、取得には原則本人同意が必要・オプトアウトによる第三者提供は不可という、通常より厳しい規律が適用されます。

Q19 患者・利用者からの同意取得プロセス（利用目的の説明範囲）が明確になっていますか

Q20 医療情報をAIモデルの学習・チューニングに利用している場合、その利用目的は取得済みの同意の範囲に含まれていますか

• 後から同意を取り直すことが最も難しい論点です。サービス改善目的の同意で学習利用まで読めるかは文言次第で、ここが曖昧なままデータが蓄積するほど手戻りが大きくなります。2026年時点で最も相談が多いテーマです。

Q21 外部のAI API・SaaSに医療情報を送信している場合、送信先での二次利用の有無を契約で確認していますか

• 外部AI APIへの送信は「委託」か「第三者提供」かの整理が必要で、送信先が学習に使わないことの契約上の確認（オプトアウト設定を含む）が起点になります。海外事業者の場合は越境移転の規律も重なります。

Q22 匿名加工情報・仮名加工情報の作成、または第三者提供を行っている場合、加工基準・再識別の禁止・提供記録を整備していますか

カテゴリ6. 薬事・提供形態（2問）

Q23 提供するソフトウェアがSaMD（プログラム医療機器）に該当するかどうかを判断し、その根拠を文書化していますか（非該当と判断した場合も含む）

• 「うちは診断しないから関係ない」で判断を止めていると、機能追加の一つで該当性が変わったときに気づけません。判断を保留したままリリースすると、事業計画ごと巻き戻るリスクがあります。非該当なら非該当の根拠を1枚残すことが要点です（該当性の線引きは「診断を代替しない」と書けば医療機器ではなくなるのかで詳しく解説しています）。

Q24 医療機関向けに提供している場合、医師の最終判断を担保する設計・役割分担を確認していますか

• 診断・治療方針の決定は医師にしかできません（医師法17条）。AIの出力を「参考情報」に位置づける設計・文言になっているかを確認してください。

カテゴリ7. 契約・インシデント（3問）

Q25 医療機関等の顧客との契約書に、安全管理措置・責任分界に関する条項を含めていますか

• 第7.0版の「みなし遵守」（医療機関が保守委託機関編の遵守で他編も遵守とみなされる仕組み）は、事業者側の契約書・約款・SLAにセキュリティアップデート責任の記載があることが前提です。記載がなければ顧客はこの仕組みを使えず、実質的な選定要件になります。

Q26 プライバシーポリシー・利用規約の記載が、実際のデータの取扱い（保存先・AI利用・第三者提供）と一致していますか

• 「実装が先に進み、ポリシーが古いまま」は最も起きやすい不一致です。特にAI利用と外部送信は、四半期に一度の突合をお勧めします。

Q27 医療情報の漏えい等が発生した場合の、個人情報保護委員会・本人への報告手順を定めていますか

• 要配慮個人情報の漏えいは件数にかかわらず法定の報告対象です（速報＝概ね3〜5日以内・確報＝30日以内、不正目的のおそれがある場合は60日以内）。「発生してから調べる」では間に合わない期限設計になっています。

4. 回答したら — 判定と個別解説（無料）

ここまでの回答を診断フォームに入力すると、自動返信で次をお送りします。

• 「該当しない」を除いた到達率と、それにもとづく判定（いま何から手をつけるべき段階か）
• カテゴリ別の対応状況（どのカテゴリに「いいえ」が集中しているか）
• 27問のうち、判定に関わらず最優先で確認すべき設問の個別解説（第7.0版で調達の入口に直結するようになった項目・後から巻き戻せなくなる項目を選んでいます）
• 全設問の解説をまとめたPDF版チェックリスト

回答内容は診断結果の送付とご相談対応のためにのみ利用します（詳細はプライバシーポリシー）。

5. 設問に含めなかった「前提」

通信の暗号化（TLS）は本チェックリストの設問にしていません。現在はほぼすべての事業者が対応済みの「前提」だからです。もし未対応であれば、他のどの項目よりも先に対応してください。

また、本チェックリストは第7.0版のうち事業者に影響の大きい改定点（保守委託機関編の新設と「みなし遵守」・二要素認証の期限・パスワード定期変更の削除）を設問に織り込んでいます。改定の全体像は第7.0版改訂まとめをご覧ください。