医療情報ガイドライン7.0版｜小規模医院は2編でよい

改定の通知は届いたものの、5編にわたる資料を前に、どこから手をつけるか決めかねている歯科医院は少なくないはずです。専任の情報システム担当者がいない医院では、全文を読み込むこと自体が現実的ではありません。

第7.0版では、一定の条件を満たす医療機関について、5編すべてではなく2編への対応で足りるとされました。この記事では、自院がその条件に当てはまるかを判定する手順を整理します。あわせて、外部に委託しても医院側に残る責任を確認します。

本記事は厚生労働省の公開資料をもとにした整理です。個別の適否については、必ず公式資料と委託先の事業者にご確認ください。

第7.0版で変わった点を、3つに絞って把握する

厚生労働省は令和8年6月、医療情報システムの安全管理に関するガイドライン第7.0版を公表しました。第6.0版は概説編・経営管理編・企画管理編・システム運用編の4編構成でしたが、第7.0版では保守委託機関編が加わり5編構成となっています。

小規模な歯科医院にとって重要な変更は、次の3点です。

【画像: 第7.0版の5編構成と、それぞれの想定読者を示した図】

保守委託機関編が新設された

概説編では、すべてのサーバのセキュリティアップデートを事業者に委託している医療機関の負担軽減を図るため、この編を創設したと説明されています。負担軽減が目的として明記されている点が、この改定の性格をよく表しています。

二要素認証の対象が明確になった

概要及び主な改定内容によると、二要素認証が令和9年度から遵守事項となるにあたり、対象を明確にする必要があったとされています。対象は「クライアント端末およびサーバ」と整理されました。

パスワードの要件が変わった

同じ資料では、使い回しの禁止とアカウントロックの導入が追記され、一方でセキュリティ面の強化につながらないとされる「定期的な変更」の要件が削除されたとされています。定期変更を院内ルールにしている医院は、見直しの材料になります。

自院は「2編だけ」でよいのか、フローチャートで判定する

ここがこの改定の中心です。概説編には、次のとおり明記されています。

ただし、「保守委託機関編」の対象となる機関においては、「概説編」と「保守委託機関編」に対応することで、本ガイドラインを遵守しているものとみなす。

対象になれば、対応すべきなのは概説編と保守委託機関編の2編です。保守委託機関編だけではない点にご注意ください。

判定の分岐は1つだけです。保守委託機関編の図1では、すべてのサーバのセキュリティアップデート責任を事業者に委託しているかどうかで、対象が決まるとされています。

【画像: 保守委託機関編の対象かどうかを判定するフローチャート】

ここでいう「サーバ」の定義には注記があります。

ここでいう「サーバ」は、医療情報の保存や主要な処理を担う機器を指す。原則としてPCやタブレット等のクライアント端末は含まない。ただし、電子カルテアプリ等を端末にインストールし、当該機器上で処理が完結する場合はPC等の端末も「サーバ」に含む。

受付のPCに電子カルテのソフトを入れ、その機械の中だけで処理が完結している場合、そのPCは「サーバ」として扱われます。台数ではなく、処理がどこで完結しているかで判断される点が落とし穴です。

YESと答えてよいのは、契約書に書いてある場合だけ

同じ図には、YESを選べる条件が限定的に書かれています。

「事業者がセキュリティアップデート責任を負うこと」が、契約書や約款、サービスレベル合意書等に記載されている場合にのみ「YES」を選択可能となる。記載がない場合や不明確な場合には医療機関側の責任となっている可能性がある。

判定の根拠は、院長の認識ではなく契約書の記載です。「保守は業者に任せているから大丈夫」という理解だけでは、YESの根拠になりません。

医院のご相談を受けていて、この段階でずれが見つかることは珍しくありません。口頭では保守を任せているつもりでも、契約書の保守範囲にセキュリティアップデートの記載がなく、確認すると医院側の責任として残っていた、という形です。

契約書は普段開かない書類です。この改定を機に一度開いてみる価値があります。

院内にサーバ機がある医院はどう考えるか

院内にサーバ機があっても、契約でセキュリティアップデートを含む保守を委託していれば対象になり得るとされています。ただし概説編では、クラウドサービス、とくにSaaS型を積極的に採用することで、特別な契約を交わすことなく委託を実現することが想定されています。契約内容を確認する手間の面では、クラウド型のほうが判定しやすいと言えます。

委託しても、医院に残る責任がある

2編でよいと分かると、あとは業者任せでよいと受け取られがちです。しかし原文には、医院側に残る責任がはっきり書かれています。最も見落とされやすいのが、端末とネットワーク機器です。

医療機関等が用いる端末、ネットワーク機器については、医療機関等の責任で脆弱性対応…を行うこと。

PCやタブレットは原則として「サーバ」に含まれません。サーバの保守を委託していても、受付のPCや院長の私物端末が更新されないまま使われ続ける状態は残り得ます。

同編では、端末はOSの自動アップデート、ネットワーク機器はクラウド型VPNや自動アップデートの採用が望ましいとされています。

このほか、2編の対応でも医院側に求められるとされている事項があります。

医療情報システム安全管理責任者の設置。必ず設置することとされ、小規模では院長等が担うことも想定されています
BCP（業務継続計画）の整備。障害や災害、サイバー攻撃の際に、診療を続けるか紙運用に切り替えるかの判断基準を平常時から用意することが求められるとされています
委託していないシステムの扱い。委託せず導入したシステム（端末やネットワーク機器を除く）を使う場合は、システム運用編への対応が必要とされています

3点目のとおり、対象になっても例外が生じ得ます。

二要素認証は、いつまでに何をするのか

保守委託機関編では、二要素認証の対象が2つ示されています。クライアント端末のアプリケーションにログインするときと、院内にオンプレミスのサーバがある場合にそのOSにログインするときです。いずれも令和9年度までに採用することとされ、困難な場合は令和9年度以降のシステム更新時に対応可能な事業者を選定することが求められるとされています。

時期の表現は資料によって異なります

時期の書き方が、資料によって揃っていません。「概要及び主な改定内容」には、次のように書かれています。

これまで対象が明確化されていなかった点も踏まえ、令和9年4月1日時点での対応が困難な医療機関等においては、次期システム改修での対応を許容する旨の緩和措置を設定。

一方、保守委託機関編の本文は「令和9年度までに」です。令和9年4月1日と令和9年度末では、想定される時期が1年ほど変わります。

この記事でどちらかに決めることはできません。ただ、早いほうにあたる令和9年4月1日を目安に置いておけば、どちらの読み方でも間に合います。その上で、自院の対応時期は公式資料と委託先の事業者に確認していただくのが確実です。

なお第7.0版のQ&A集について、厚生労働省の公表ページには「現在改版中でございます。令和8年7月中に掲載する予定です」との記載があります。判断に迷う点は、公開されるQ&Aを確認してからでも遅くありません。

「OSでひとつ、アプリでひとつ」は認められない

原文では、OSで一要素、アプリケーションで一要素という形の認証は許容されないとされています。Windowsのログインでパスワード、電子カルテのログインでもパスワード、という運用は二要素認証にあたりません。

一方で、認証した情報をアプリケーション側と連携し適切な権限付与ができる場合は、OSやミドルウェアでの二要素認証が許容されるとされています。アプリ側で重ねて用意しなくてよい場合があるため、機器を買い足す前に確認する価値があります。

何を用意することになるのか

保守委託機関編の別紙では、二要素認証の要素として次の3つが挙げられています。

記憶（ID・パスワード等）
生体認証（指紋等）
物理媒体（ICカード等）

このうち2つを組み合わせます。導入支援の経験から申し上げると、壁になるのは費用よりも運用です。診療の合間にICカードや端末を取り出す動作は現場で嫌われやすく、スタッフ間で認証手段を共有してしまう形に流れがちです。機器を選ぶ前に、ユニットのそばで手袋をしたまま無理なく操作できるかを確認しておくことをおすすめします。

明日からやる5つの確認と、歯科の時間軸

ここまでを、院長や事務長がご自身で着手できる形に落とします。

1. 医療情報システムの一覧をつくる

保守委託機関編には、導入しているシステム・委託先事業者・製品名・委託業務概要の4項目を並べた表の例が示されています。この形で書き出します。

一覧を作ると、把握されていなかった端末や検査機器、回線が出てくることがよくあります。院長が認識している数より、外部との接続点は多いのが通例です。

【画像: 医療情報システムの一覧を書き出すための表の例】

2. 契約書と約款を出して、記載を探す

セキュリティアップデートの責任が事業者にあると書かれているかを確認します。これが判定の根拠になります。

3. 分からなければ事業者に照会する

原文でも、不明確な場合は必ず契約事業者に直接確認することとされています。次のような文面で足ります。

医療情報システムの安全管理に関するガイドラインが第7.0版に改定されたことを受け、保守の範囲を確認させてください。

当院のサーバのセキュリティアップデートの責任は貴社にありますでしょうか。契約書・約款・SLAのいずれに記載があるかもお教えください。

当院のPC等の端末およびネットワーク機器の保守責任は、貴社と当院のいずれにありますでしょうか。

二要素認証について、当院のシステムの対応状況と対応時期の見込みをお教えください。

MDS/SDS（医療情報セキュリティ開示書）をご提出いただけますでしょうか。

1と2は、保守委託機関編が契約に含めるべきとしている内容に沿っています。

4. MDS/SDSの提出を求める

事業者にMDS/SDSの提出を求め、別紙の項目が「はい」または「対象外」であることを確認するとされています。専門的な確認を、書面のやり取りで代替できる仕組みです。

5. 安全管理責任者を決めて記録に残す

必ず設置することとされ、小規模では院長等が担うことも想定されています。名前を決めて文書に残すところまで行います。

歯科は電子カルテの方針決定を待つ判断もあり得る

歯科医院には、もう1つ考慮すべき事情があります。「概要及び主な改定内容」に含まれる参考資料では、電子カルテ導入を進める具体策に次の注記が付いています。

※２医科診療所／病院が対象。歯科医療機関については、現場に求められる電子カルテ・電子処方箋の機能に関し、本年度から検討を行い2026年度中に具体的な対応方針を決定する。

具体策の対象は医科診療所と病院とされています。歯科は機能面の検討を経て、2026年度中に対応方針が決まる予定とされています。

そのため電子カルテの導入や入れ替えは、歯科向けの方針が示されてから判断しても遅くない可能性があります。一方で、二要素認証の要件や契約内容の確認は、それを待たずに先に来ます。

買い替えの検討で医院が最も詰まるのは、技術ではなく既存事業者との契約条件とデータの移行方法です。方針の公表を待つ間に契約書の確認と一覧の作成を済ませておくと、いざ動くときの判断が早くなります。

まとめ

条件を満たす小規模医院は、概説編と保守委託機関編の2編への対応で、ガイドラインを遵守しているものとみなすとされています
ただし判定の根拠は契約書等の記載であり、PC等の端末とネットワーク機器の脆弱性対応は医院側の責任として残るとされています
二要素認証の時期は資料によって表現が異なるため、公式資料と委託先の事業者への確認をおすすめします

現場業務へのIT導入をどう進めるかについては、介護現場におけるAI活用もあわせてご覧ください。