SCS評価制度とは何か

医療機関のサイバーセキュリティ対策は、これまで「院内の電子カルテを守る」「ウイルス対策ソフトを入れる」「バックアップを取る」といった、自院の中だけを対象に考えられることが多くありました。

しかし、医療DXが進む現在、医療機関の情報システムは、もはや院内だけで完結していません。

電子カルテ、レセコン、オンライン資格確認、電子処方箋、予約システム、問診システム、クラウドストレージ、WEB掲示、施設基準管理、会計システム、検査会社との連携、保守業者のリモート接続。

医療機関の業務は、多くの外部事業者との連携によって支えられています。つまり、医療機関の情報セキュリティは「自院だけが頑張れば守れるもの」ではなくなっています。

この流れの中で注目されているのが、経済産業省と内閣官房国家サイバー統括室が制度構築を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」、いわゆる SCS評価制度 です。

SCSとは、Supply Chain Securityの略です。日本語では「サプライチェーン・セキュリティ」と訳されます。

SCS評価制度は、取引先や委託先を含めたセキュリティ対策の水準を、共通の基準で可視化するための制度です。IPAの説明では、近年、サプライチェーンを通じたセキュリティインシデントが頻発しており、委託元にとっては委託先のセキュリティ対策が見えにくく、委託先にとっては取引先ごとに異なる要求事項への対応が負担になっていることが課題として示されています。

医療機関に置き換えれば、これは非常に現実的な問題です。

たとえば、病院やクリニックが電子カルテ会社、レセコン会社、クラウドサービス会社、WEB制作会社、保守会社、施設基準管理サービスなど複数の事業者と契約している場合、それぞれの事業者がどの程度のセキュリティ対策を行っているのかを、医療機関側が正確に把握することは簡単ではありません。

一方で、医療情報システムの安全管理に関するガイドラインでは、医療機関側にも委託先管理、責任分界、運用管理規程、バックアップ、アクセス管理、ログ管理、非常時対応などが求められています。

つまり、これからの医療機関には「自院の中の対策」だけでなく、「委託先を含めた管理」が求められる時代に入っているのです。

SCS評価制度は、医療機関に直接義務化される制度なのか

まず重要なのは、SCS評価制度は現時点で、すべての企業や医療機関に対して一律に義務化される制度ではないという点です。

経済産業省は、SCS評価制度について「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった勧誘に注意するよう呼びかけています。制度は、2社間の取引契約等において、発注者が受注者に適切な対策段階を提示し、実施状況を確認することを想定した任意制度であり、特定のセキュリティ製品の導入が必須とされているものでもありません。

医療機関は、患者情報という極めて重要な個人情報を扱っています。さらに、医療システムの停止は、単なる業務停止ではなく、診療継続や患者安全に直結します。

病院がサイバー攻撃を受けた場合、電子カルテや医療機器を含むシステムが利用できなくなり、診療や入院患者へのケア、救命処置に影響する可能性があります。

そのため、医療機関においては、SCS評価制度を「取得するかどうか」だけで見るのではなく、サプライチェーン全体の安全管理を見直すための共通言語として捉えることが重要です。

SCS評価制度の基本構造

SCS評価制度は、企業のセキュリティ対策状況を段階的に示す仕組みとして設計されています。

公表情報によれば、IPAが運用している「SECURITY ACTION 自己宣言制度」を★1・★2として取り込み、その上に★3以降の評価レイヤーを新設する形で構成されるとされています。★3・★4は既存の業界ガイドライン等を踏まえた水準、★5はより高度なベストプラクティスに基づく対策として位置づけられる見込みです。

また、制度開始については、経済産業省が2026年度末頃の制度開始を目指すと公表しています。

ここで医療機関が注目すべきなのは、SCS評価制度が単なる「セキュリティ格付け」ではないという点です。

本質は、取引先や委託先との間で、セキュリティ対策の水準を共通の物差しで確認できるようにすることです。

つまり、SCS評価制度は、医療機関が委託先管理を行う際の「確認項目の標準化」に近い意味を持つ可能性があります。

医療機関にとって一番の課題は「委託先が多すぎる」こと

医療機関の現場では、1社だけと契約してすべてを任せるという形は、ほとんど現実的ではありません。

• 電子カルテはA社。
• レセコンはB社。
• 予約システムはC社。
• WEBサイトはD社。
• オンライン資格確認は別のベンダー。
• 施設基準やWEB掲示の管理は365メディカル。

このように、医療機関の情報システムは、複数の事業者によって構成されています。

問題は、それぞれの事業者が異なるルール、異なる契約、異なる保守体制、異なるセキュリティ水準で動いていることです。

医療機関側から見ると、「誰が、どこまで責任を持つのか」が非常に分かりにくくなります。

• クラウド上に保存された証憑データのバックアップは誰が確認するのか。
• WEB掲示の情報が改ざんされた場合、誰が検知し、誰が復旧するのか。
• 施設基準の届出原本を電子保存している場合、真正性・見読性・保存性をどのように担保するのか。
• 退職した職員のアカウント削除は、院内の責任なのか、委託先の責任なのか。
• 保守会社がリモート接続する場合、その接続記録は誰が保管するのか。

こうした問題は、いずれも医療情報システムの安全管理に直結します。

SCS評価制度は、こうした「委託先ごとの見えにくさ」を可視化し、医療機関が委託先を管理しやすくするための考え方として活用できます。

365メディカルが見る、医療機関に必要なSCS対応の考え方

365メディカルの視点では、医療機関がSCS評価制度に向き合う際に重要なのは、評価取得そのものではありません。

重要なのは、次の3点です。

1. 自院が利用している外部サービスを一覧化すること。
2. それぞれのサービスについて、どの情報を扱っているかを整理すること。
3. 委託先ごとの責任分界と安全管理状況を確認できる状態にすること。

これができていなければ、どれほど高価なセキュリティ製品を導入しても、実際のリスクは下がりません。

特に医療機関では、電子カルテやレセコンだけでなく、WEBサイト、採用管理、予約、問診、LINE連携、クラウドストレージ、施設基準管理、証憑管理など、周辺サービスにも重要な情報が分散しています。

サイバー攻撃は、必ずしも電子カルテ本体だけを狙うわけではありません。

むしろ、管理が甘い周辺システム、古いアカウント、委託先の保守経路、放置されたWEBページ、共有パスワードなどが入口になることがあります。

MSOとは、医療機関の本来業務である診療を支えるために、事務・管理・システム・法令対応を外部から支援する仕組みです。

医療機関がすべてのITリスクを自院だけで把握し、すべてのベンダーを管理し、すべての証跡を整理することは、現実的ではありません。

だからこそ、医療機関と各ベンダーの間に立ち、情報の整理、証憑管理、WEB掲示、施設基準、委託先管理、責任分界の可視化を支援する存在が必要になります。

365RegistryとSCS評価制度の接点

365メディカルが提供を予定している365Registryは、医療機関の施設基準、WEB掲示、証憑管理、届出原本管理などを支援するサービスです。

一見すると、SCS評価制度とは別の領域に見えるかもしれません。

しかし、実際には密接に関係します。

なぜなら、施設基準やWEB掲示の管理も、医療機関の信頼性を構成する重要な情報管理業務だからです。

たとえば、医療DX推進体制、医療情報取得、外来感染対策、在宅医療、保険外負担、キャンセル料、施設基準届出、厚生局への届出書類などは、医療機関の運営に関わる重要情報です。

これらをWEB上に掲載し、更新し、証憑として保管する場合、単に「掲載できればよい」わけではありません。

• いつ、誰が、どの情報を、どの根拠に基づいて、どのページに掲載したのか。
• 変更前の情報は残っているのか。
• 届出書類や根拠資料は保存されているのか。
• 第三者が見ても確認できる状態になっているのか。

これらは、今後の医療機関経営において極めて重要になります。

365Registryは、こうした情報を整理し、医療機関が説明責任を果たせる状態をつくることを目的としています。

SCS評価制度が「サプライチェーン上のセキュリティ対策を可視化する制度」だとすれば、365Registryは「医療機関の施設基準・WEB掲示・証憑管理を可視化する仕組み」といえます。

両者に共通するのは、見えないリスクを見える化し、属人的な管理から脱却するという点です。

医療機関が今から準備すべきこと

SCS評価制度は、2026年度末頃の開始が目指されています。制度の詳細は今後さらに具体化されていくと考えられますが、医療機関が今から準備できることは多くあります。

まず、自院で利用しているシステムと委託先を一覧化することです。

電子カルテ、レセコン、予約、問診、会計、オンライン資格確認、電子処方箋、WEBサイト、クラウドストレージ、勤怠管理、給与計算、施設基準管理、証憑管理など、すべてのサービスを洗い出します。

次に、それぞれのサービスが扱う情報を分類します。

• 患者情報を扱うのか。
• 職員情報を扱うのか。
• 施設基準や届出情報を扱うのか。
• 公開情報だけなのか。
• 機密情報を含むのか。

その上で、委託先との契約書、利用規約、保守契約、SLA、障害時対応、バックアップ体制、アクセス管理、ログ管理、再委託の有無を確認します。

最後に、それらを院内の運用管理規程や安全管理体制に結びつけます。

ここまでできて初めて、医療機関は「自院のセキュリティ体制を説明できる状態」に近づきます。

重要なのは、完璧な文書を一度作って終わりにすることではありません。

制度変更、システム変更、職員の入退職、委託先変更、診療報酬改定、WEB掲示義務の変更に合わせて、継続的に更新することです。

SCS評価制度の本質も、単発の製品導入ではなく、継続的なセキュリティ水準の維持・向上にあります。既存のISMSや情報セキュリティマネジメント体制を土台にしながら、実態に即した運用へ整備することが重要です。

「ベンダー任せ」から「共同管理」へ

これまで医療機関では、システムに関することはベンダー任せになりがちでした。

もちろん、医療機関がすべての技術的内容を理解する必要はありません。

しかし、医療機関には、患者情報を預かる立場として、委託先を選び、管理し、説明する責任があります。

一方で、ベンダーにも、自社のセキュリティ対策を分かりやすく示し、医療機関が説明責任を果たせるよう協力する責任があります。

つまり、これからの医療情報システム管理は、「医療機関かベンダーか」ではなく、「医療機関とベンダーが共同で管理する」時代になります。

SCS評価制度は、そのための共通言語になる可能性があります。

365メディカルは、医療機関がこの変化に対応するために、施設基準、WEB掲示、証憑管理、委託先管理、医療情報システム安全管理を一体的に支援していく必要があると考えています。

まとめ｜SCS評価制度は、医療機関にとって「取得する制度」ではなく「備える視点」である

SCS評価制度は、単なるセキュリティ評価制度ではありません。

それは、医療機関がこれから避けて通れない「サプライチェーン全体で安全を守る」という考え方を、分かりやすく示す制度です。

医療DXが進むほど、医療機関は多くの外部サービスに支えられるようになります。

便利になる一方で、リスクの入口も増えます。

電子カルテだけを守ればよい時代は終わりました。

WEB掲示、施設基準、クラウド保存、保守接続、アカウント管理、証憑管理、バックアップ、ログ、契約、責任分界。

これらを一つひとつ整理し、医療機関が自ら説明できる状態にしていくことが、これからの医療経営に求められます。

365メディカルは、SCS評価制度を「怖い制度」としてではなく、医療機関が安全管理を見直すための大きなきっかけと捉えています。

医療機関が診療に集中できる環境を守るために。患者情報を安全に管理するために。そして、医療DXを止めずに、安心して前に進めるために。

365メディカルは、365Registry、医療機関WEB掲示サポート、証憑管理、医療情報システム安全管理MSOサービスを通じて、医療機関の「見えないリスク」を見える化し、これからのサプライチェーン・セキュリティ時代に対応できる体制づくりを支援していきます。