医療情報安全管理ガイドライン
第7.0版で何が変わる？

医療DXが進むほど、システム停止は経営リスクになる

電子カルテ、レセコン、オンライン資格確認、電子処方箋、予約システム、検査会社とのデータ連携、クラウド型問診システム、ホームページの問い合わせフォーム。 これらは、いまや多くの医療機関にとって欠かせない存在です。

一方で、これらのシステムが止まった瞬間、診療現場は一気に混乱します。 患者情報が見られない、予約状況が確認できない、処方内容がわからない、会計ができない、レセプト請求に支障が出る。 つまり、医療DXは便利さをもたらす一方で、システム停止がそのまま診療停止につながる時代を生み出しています。

厚生労働省の「医療情報システムの安全管理に関するガイドライン第7.0版」は、医療DX時代のサイバーセキュリティ対策を、医療機関の経営課題として位置づける大きな転換点です。

なぜ第7.0版が重要なのか

今回の見直しの背景には、医療機関を取り巻くサイバーリスクの高まりがあります。 医療機関では、電子カルテや部門システム、ネットワーク、クラウドサービスが診療の土台になっています。 そのため、サイバー攻撃やシステム障害が発生すると、単なる事務作業の停止ではなく、診療そのものに影響します。

医療機関がサイバー攻撃を受けた場合、厚生労働省はインシデント発生後速やかに連絡するよう求めています。 しかし、自院がどのシステムを利用し、誰が保守し、どこまで委託しているかを把握していなければ、初動対応が遅れます。

つまり、情報セキュリティはIT担当者だけの仕事ではありません。 医院長・事務長が把握し、判断し、必要な予算や体制を整えるべき経営課題です。

ガイドライン第7.0版がもたらす5つの衝撃

衝撃1：業者への丸投げではなく、責任分界が問われる

第7.0版で最も重要な考え方の一つが「責任分界」です。 責任分界とは、医療機関とシステム事業者の間で、誰が何をどこまで担当するのかを明確にすることです。

衝撃2：小規模医療機関でも保守委託の内容確認が必要になる

専門の情報システム担当者がいないクリニックでは、電子カルテやレセコン、ネットワーク機器、クラウドサービスの管理を外部事業者に委託しているケースが一般的です。

ここで重要なのは、「外部委託しているから安心」ではなく、「外部委託の内容を文書で確認できる状態にする」ことです。 ITに詳しくない医療機関であっても、ベンダーから資料を提出してもらい、契約範囲と責任範囲を確認することは求められます。

衝撃3：二要素認証が当たり前になる

パスワードだけで医療情報システムを守る時代は終わりに近づいています。 今後、医療機関では二要素認証への対応がより重要になります。

二要素認証とは、パスワードに加えて、スマートフォンアプリ、ワンタイムコード、ICカード、生体認証など、別の要素を組み合わせて本人確認を行う仕組みです。

衝撃4：パスワード定期変更より、ID管理が重要になる

これまで多くの医療現場では、数か月ごとにパスワードを変更する運用が行われてきました。 しかし、定期変更を強制すると、毎回似たようなパスワードになったり、付箋に書いてしまったり、スタッフ間でIDを共有したりする問題が起こりやすくなります。

本当に重要なのは、「頻繁に変えること」ではなく、「不正に使われない状態を維持すること」です。

衝撃5：MDS/SDS、SBOMでシステムの安全性を見える化する

医療機関がシステムを選ぶとき、これまでは価格、機能、操作性、サポート体制が重視されてきました。 しかし、これからは「そのシステムが安全に運用できるか」も重要な選定基準になります。

これらは、医療情報システムの「成分表示」のようなものです。 医療機関側がすべてを技術的に判断するのは難しくても、資料を提出してもらうこと、不明点を質問すること、契約前に確認することはできます。

バックアップは「取っている」ではなく「戻せるか」が重要

多くの医療機関では、システム会社から「バックアップは取っています」と説明されていると思います。 しかし、本当に重要なのは、バックアップが存在することではありません。必要なときに復旧できるかです。

ランサムウェア攻撃では、院内ネットワーク上のデータだけでなく、接続されたバックアップ領域まで暗号化される可能性があります。 そのため、オンラインで常時接続されたバックアップだけでは不十分な場合があります。

診療報酬改定とも無関係ではない

医療情報システムの安全管理は、診療報酬制度とも関係が深まっています。 2026年度診療報酬改定では、医療DXを評価する「電子的診療情報連携体制整備加算」が設けられ、オンライン請求、オンライン資格確認、電子処方箋、電子カルテ情報共有サービスなど、医療DXの体制整備が評価対象となっています。

特に入院医療を提供する医療機関では、安全管理ガイドラインへの準拠、医療情報システム安全管理責任者、バックアップ、BCPなどが、より重い経営課題になります。

医療機関が今すぐ始めるべき5つのアクション

最初から高度なセキュリティ対策をすべて導入する必要はありません。 まずは、自院の現状を見える化することが重要です。

365メディカルの考え方

365メディカルでは、医療DXとは単にシステムを導入することではないと考えています。 本当に重要なのは、医療機関が安全に情報を扱い、患者に継続して医療を提供できる体制を整えることです。

医療情報安全管理ガイドライン第7.0版は、医療機関に対して「ITは業者任せでよい」という時代の終わりを告げています。 医療機関に求められているのは、完璧なIT専門家になることではありません。

まとめ：セキュリティは「コスト」ではなく、診療継続への投資

医療情報安全管理ガイドライン第7.0版が示しているのは、サイバーセキュリティ対策を医療機関経営の中心に置くべき時代になったということです。

電子カルテが止まれば、診療は混乱します。 予約情報が見られなければ、患者対応に支障が出ます。 レセコンが止まれば、会計や請求に影響します。 バックアップから戻せなければ、診療継続そのものが危うくなります。

情報セキュリティは、単なる守りではありません。 患者情報を守るための投資であり、スタッフが安心して働くための投資であり、地域医療を止めないための投資です。

用語説明