日医発第 361 号（情シ）
令 和 6 年 5 月 1 7 日
都道府県医師会長

殿
公益社団法人 日本医師会
会 長
松 本
吉 郎
( 公 印 省 略 )令和 6 年度版「医療機関におけるサイバーセキュリティ対策チェックリスト」
及び「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」について平素より本会会務の運営に特段のご理解・ご支援を賜り厚く御礼申し上げます。
令和 5 年 6 月 16 日付 日医発第 571 号（情シ）「「医療機関におけるサイバー
セキュリティ対策チェックリスト」及び「医療機関におけるサイバーセキュリティ
対策チェックリストマニュアル～医療機関・事業者向け～」について」にて、「医療機関におけるサイバーセキュリティ対策チェックリスト」及び「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」についてお知らせしました。チェックリスト等の一部項目について、令和 6 年度に確認するものは参考項目として位置づけられておりましたが、令和 6 年度
からはすべての項目を確認する必要があることから、令和 6 年度版として改定
され、厚生労働省より本会宛にその周知依頼がありました。
つきましては、貴会におかれましても、本件についてご了知いただくと共に、貴会管下の郡市区等医師会ならびに会員への周知方につき、ご高配を賜ります
ようお願い申し上げます。
なお、令和 5 年 12 月 26 日付 日医発第 1681 号（情シ）「医療情報システム安全管理ガイドラインの解説資料について」にてお知らせしました、「医療機関におけるサイバーセキュリティ対策チェックリストの実践ガイド」については今後修正を予定しておりますが、現時点では修正できておりませんので、読み替えてご活用いただければと思います。修正が完了しましたら別途周知いたします。
また、日本医師会サイバーセキュリティ支援制度では、上記の「医療機関におけるサイバーセキュリティ対策チェックリストの実践ガイド」の他、「日本医師会セキュリティガイドライン相談窓口」や「医療機関におけるサイバーセキュリ
ティ対策チェックリストのセミナー動画」もございますので、「医療機関におけるサイバーセキュリティ対策チェックリスト」の項目にご対応いただく際に、不明点等がございましたら、ぜひご活用ください。
以上【医療機関におけるサイバーセキュリティ対策チェックリストの実践ガイドおよびセミナー動画】●概要
厚生労働省が策定している「医療情報システムの安全管理に関するガイ
ドライン」とそのガイドラインから必要最低限の項目を抽出した「医療機関におけるサイバーセキュリティ対策チェックリスト」をよりわかりやすく解説した資料および動画です。
●公開場所「医療機関におけるサイバーセキュリティ対策チェックリストの実践ガ
イドおよびセミナー動画」は日本医師会メンバーズルーム内専用ページにて公開しております。
https://www.med.or.jp/japanese/members/info/cyber_shien.html【日本医師会セキュリティガイドライン相談窓口】
TEL：0120-339-199 平日 9 時～18 時（土日、祝日、年末年始は休業）※詳細は日本医師会メンバーズルーム内専用ページをご確認ください。
https://www.med.or.jp/japanese/members/info/cyber_shien.html【別添資料】
・医政参発 0513 第 7 号：令和 6 年度版「医療機関におけるサイバーセキュリテ
ィ対策チェックリスト」及び「医療機関におけるサイバーセキュリティ対策
チェックリストマニュアル～医療機関・事業者向け～」について
・別添 1：令和 6 年度版医療機関におけるサイバーセキュリティ対策チェックリ
スト・別添 2：令和 6 年度版医療機関におけるサイバーセキュリティ対策チェックリ
ストマニュアル～医療機関・事業者向け～

医政参発 0513 第７号
令 和 ６ 年 ５ 月 13 日

公益社団法人

日本医師会会長

殿

厚 生 労 働 省 医 政 局 参 事 官（特定医薬品開発支援・医療情報担当）
（
公
印
省
略
）

令和６年度版「医療機関におけるサイバーセキュリティ対策チェックリスト」及び「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」について日頃から厚生労働行政に対して御協力を賜り、厚く御礼申し上げます。
医療機関等のサイバーセキュリティ対策において優先的に取り組むべき事項については、「医療機関におけるサイバーセキュリティ対策チェックリスト」及び「医療機関におけるサ
イバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」（令和５年６月９日付け医政参発 0609 第３号、厚生労働省医政局特定医薬品開発支援・医療情報担当
参事官通知。以下「チェックリスト等」という。）によりお示ししてきたところです。
チェックリスト等の一部項目について、令和６年度に確認するものを参考項目として位置づけていましたが、令和６年度からはすべての項目を確認する必要があることから、「令和６年度版 医療機関におけるサイバーセキュリティ対策チェックリスト」及び「令和６年度版 医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機
関・事業者向け～」として、別添１及び２のとおり改訂しました。
貴職におかれては、本通知について御了知の上、貴下団体会員等に周知徹底を図るよ
う、お願いいたします。
なお、チェックリストの項目中、「サイバー攻撃を想定した事業継続計画（BCP）を策定している。」については、今後 BCP 策定に関する手引きを作成し、別途お示しする予定です。

別添１
令和6年度版

医療機関確認用

医療機関におけるサイバーセキュリティ対策チェックリスト
チェック項目

備考

確認結果（日付）

医療情報シス 医療情報システムを導入、運用している。

はい・いいえ

テムの有無（（「いいえ」の場合、以下すべての項目は確認不要）/）*以下項目は令和6年度中にすべての項目で「はい」にマルが付くよう取り組んでください。
*1回目の確認で「いいえ」の場合、令和6年度中の対応目標日を記入してください。立入検査時、本チェックリストを確認します。

確認結果
（日付）
目標日

チェック項目
1回目
１体制構築

医療情報システム安全管理責任者を設置している。(1-(1))

備考/

はい・いいえ
）（

/

項目

2回目

はい・いいえ
（

R5年度

)

（

/

）

※

医療情報システム全般について、以下を実施している。
サーバ、端末PC、ネットワーク機器の台帳管理を行っている。(2-はい・いいえ(1))
リモートメンテナンス（保守）を利用している機器の有無を事業者（等に確認した。(2-(2)) ※事業者と契約していない場合には、記入
不要
事業者から製造業者/サービス事業者による医療情報セキュリティ
開示書（MDS/SDS）を提出してもらう。(2-(3))※事業者と契約していない場合には、記入不要/

はい・いいえ）（/)

はい・いいえ
（

/

/

/

）

はい・いいえ）（/)

はい・いいえ
（

（

（

/

/

)

（

/

※

）

はい・いいえ）（※※）

サーバについて、以下を実施している。

２

利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定

はい・いいえしている。(2-(4))（

退職者や使用していないアカウント等、不要なアカウントを削除しはい・いいえている。(2-(5))（

アクセスログを管理している。(2-(6))//

はい・いいえ
）（

/

)

/

）（

/

)

運用

（

/

）（

/

)

（

/

（

/

）

（

/

）

※
※
※

はい・いいえ）（/)

バックグラウンドで動作している不要なソフトウェア及びサービス はい・いいえ
を停止している。(2-(9))）

はい・いいえ医療情報シス セキュリティパッチ（最新ファームウェアや更新プログラム）を適 はい・いいえ
テムの管理・ 用している。(2-(7)/はい・いいえはい・いいえ
（

（

（

/

）

はい・いいえ
）（

/

)

（

/

）

端末PCについて、以下を実施している。
利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定 はい・いいえ

はい・いいえ（/）（
している。(2-(4))
退職者や使用していないアカウント等、不要なアカウントを削除し はい・いいえ/ている。(2-(5))

/

（

/

）（

)

（

/

)

（

/

）

（

/

）

はい・いいえ）（/)

バックグラウンドで動作している不要なソフトウェア及びサービス はい・いいえ
を停止している。(2-(9))/

はい・いいえセキュリティパッチ（最新ファームウェアや更新プログラム）を適 はい・いいえ
用している。(2-(7))

（

（

/

）

はい・いいえ
）（

/

)

（

/

）

ネットワーク機器について、以下を実施している。
セキュリティパッチ（最新ファームウェアや更新プログラム）を適

はい・いいえ用している。(2-(7))（

接続元制限を実施している。(2-(8))

３インシデント
発生に備えた
対応

/

）（

/

)

はい・いいえ（/インシデント発生時における組織内と外部関係機関（事業者、厚生

はい・いいえ労働省、警察等）への連絡体制図がある。(3-(1))
インシデント発生時に診療を継続するために必要な情報を検討し、（データやシステムのバックアップの実施と復旧手順を確認していはい・いいえ

/

）（

/

）

)

（

/

）

はい・いいえ
）（

/

)

（

/

）

はい・いいえ（/）（
る。(3-(2))
サイバー攻撃を想定した事業継続計画（BCP）を策定している。 はい・いいえ/(3-(3))///

はい・いいえはい・いいえ

（

（

）（

)

（

/

）

はい・いいえ
)

（

/

）

●

各項目の考え方や確認方法等については、「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」をご覧ください。

●

各チェック項目に記載された番号はチェックリストマニュアルのアウトラインに対応しています。

●

R5年度項目欄（※）：「医療機関におけるサイバーセキュリティ対策チェックリスト（令和５年６月版）」において令和 5 年度中に対応することを目標として掲げた項目※※※

令和6年度

事業者確認用

医療機関におけるサイバーセキュリティ対策チェックリスト*以下項目は令和6年度中にすべての項目で「はい」にマルが付くよう取り組んでください。

*1回目の確認で「いいえ」の場合、令和6年度中の対応目標日を記入してください。立入検査時、本チェックリストを確認します。

確認結果
（日付）
目標日

チェック項目
1回目
１
体制構築

備考

（

/

はい・いいえ
）（

/

項目

2回目

事業者内に、医療情報システム等の提供に係る管理責任者を設置してい はい・いいえる。(1-(1))

R5年度

)

（

/

）

※

医療情報システム全般について、以下を実施している。
リモートメンテナンス（保守）している機器の有無を確認した。

はい・いいえ(2-(2))（/

はい・いいえ）（/)

医療機関に製造業者/サービス事業者による医療情報セキュリティ開示書 はい・いいえ（MDS/SDS）を提出した。(2-(3))

（

/

（

/

）

はい・いいえ
）（

/

)

（

/

）

※
※

サーバについて、以下を実施している。
利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定して はい・いいえいる。(2-(4))（/

はい・いいえ）（/)

退職者や使用していないアカウント等、不要なアカウントを削除してい はい・いいえる。(2-(5))

（

/

（

/

）（

/

)

ている。(2-(7))

（

/

）（

/

)

（

/

）（

/

)

（

/

）（

/

)

（

/

）（

/

)

（

/

）（

/

)

（

/

/

）

※

（

/

）

（

/

）

（

/

）

（

/

）

はい・いいえ）（/)

バックグラウンドで動作している不要なソフトウェア及びサービスを停 はい・いいえ
止している。(2-(9))（※

はい・いいえセキュリティパッチ（最新ファームウェアや更新プログラム）を適用し はい・いいえている。(2-(7))）

はい・いいえ

退職者や使用していないアカウント等、不要なアカウントを削除してい はい・いいえる。(2-(5))/

はい・いいえ利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定して はい・いいえいる。(2-(4))（※

はい・いいえ医療情報シス バックグラウンドで動作している不要なソフトウェア及びサービスを停 はい・いいえ
テムの管理・ 止している。(2-(9))
端末PCについて、以下を実施している。
運用）

はい・いいえセキュリティパッチ（最新ファームウェアや更新プログラム）を適用し はい・いいえ

２/

はい・いいえはい・いいえアクセスログを管理している。(2-(6))

（

（

/

）

はい・いいえ
）（

/

)

（

/

）

ネットワーク機器について、以下を実施している。
セキュリティパッチ（最新ファームウェアや更新プログラム）を適用し はい・いいえている。(2-(7))（/

はい・いいえ）（/)

はい・いいえ接続元制限を実施している。(2-(8))

（

/

（

/

）

はい・いいえ
）（

/

)

（

/

）

事業者名：
●

各項目の考え方や確認方法等については、「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～」をご覧ください。

●

各チェック項目に記載された番号はチェックリストマニュアルのアウトラインに対応しています。

●

R5年度項目欄（※）：「医療機関におけるサイバーセキュリティ対策チェックリスト（令和５年６月版）」において令和 5 年度中に対応することを目標として掲げた項目

※
※

別添２
令和 6 年度版
医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～

本マニュアルは、「医療機関におけるサイバーセキュリティ対策チェックリスト（以下「チェックリスト」という。）」をわかりやすく解説するものです。チェックリストを活用する際に、ご覧ください。
～はじめに～○

医療機関等に対するサイバー攻撃は近年増加傾向にあり、その脅威は日増しに高まっています。医療機関が適切な対策をとることで、こうしたサイバー攻撃等の情報セキュリティインシデ
ントによる患者の医療情報の流出や、不正な利用を事前に防ぐことが重要です。医療情報システ
ムは、効率的かつ正確に医療行為を行う上で重要な役割を果たしています。医療の継続性を支える観点からも、適切な管理の下、医療情報システムを利用することが求められています。

○

医療機関等におけるサイバーセキュリティ対策については、厚生労働省が作成している「医療情報システムの安全管理に関するガイドライン（以下「ガイドライン」という。）」を参照の上、適切な対応を行うこととしているところ、このうち、まずは医療機関が優先的に取り組むべき事
項をチェックリストにまとめました。
本マニュアルは、医療機関におけるチェックリストを用いた確認の実行性を高めるために、サイバーセキュリティ対策に馴染みがない方にもご理解いただけるよう、チェック項目の考え方や確認方法、用語等についてなるべく平易な言葉で解説することを目指しました。

○

医療機関および医療情報システム・サービス事業者（以下「事業者」という。）は、本マニュアルを参照しつつチェックリストを活用して、日頃から実のあるサイバーセキュリティ対策を行って下さい。

1

目次
Ⅰ

チェックリストの使い方 ...................................................................................................................... 3

Ⅱ

各チェック項目の解説 .......................................................................................................................... 5
医療情報システムの有無【医療機関確認用】 .............................................................................. 5

医療情報システムを導入、運用している。 ......................................................................................... 5
１ 体制構築【医療機関確認用・事業者確認用】 ....................................................................... 5（１）医療情報システム安全管理責任者を設置している。................................................................ 5２ 医療情報システムの管理・運用【医療機関確認用・事業者確認用】 .................................. 6（１）サーバ、端末 PC、ネットワーク機器の台帳管理を行っている。（医療情報システム全般） 6（２）リモートメンテナンス（保守）を利用している機器の有無を事業者に確認した。
（医療情報システム全般） .................................................................................................... 7（３）事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。（医療情報システム全般） .......................................................................... 7（４）利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している。
（サーバ、端末 PC） ............................................................................................................. 8（５）退職者や使用していないアカウント等、不要なアカウントを削除している。
（サーバ、端末 PC） ............................................................................................................. 8（６）アクセスログを管理している。
（サーバ） ................................................................................ 9（７）セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。
（医療情報システム全般） .................................................................................................. 10（８）接続元制限を実施している。
（ネットワーク） ....................................................................... 11（９）バックグラウンドで動作している不要なソフトウェア及びサービスを停止している。
（サーバ、端末 PC） ........................................................................................................... 11
３ インシデント発生に備えた対応【医療機関確認用】 .......................................................... 12（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡
体制図がある。 .................................................................................................................... 12（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバッ
クアップの実施と復旧手順を確認している。 ..................................................................... 13（３）サイバー攻撃を想定した事業継続計画（BCP）を策定している。 ........................................ 13

凡例

本マニュアルの「Ⅱ各チェック項目の解説」では、それぞれのチ
ェック項目に紐づく「医療情報システムの安全管理に関するガイ
ドライン第 6.0 版」の該当箇所を右側に「▶」で示しています。

2

Ⅰ

チェックリストの使い方

１．チェックリストの用意○

チェックリストを使用するにあたり、医療機関においては「医療機関確認用」、事業者においては「事業者確認用」を用いて確認してください。事業者と契約していない医療機関においては「事業者確認用」による確認は不要です。
○

医療機関は事業者に「事業者確認用」を送付し、対策の状況を確認するよう求めてください。複数の医療情報システムを利用している場合、システムを提供している事業者ごとに確認を求めてください。なお、事業者に対しても別途本取組について周知を行っていきます。

２．チェックリストの記入方法○

各項目の実施状況を確認し、「はい」または「いいえ」にマルをつけて、確認した日付を記入してください。もし 1 回目の確認で「いいえ」の場合は、対策の実施にかかる令和 6 年度中の目標日を記入するようにしてください。チェックリストは紙媒体または電子媒体のどちらで使用して頂いても構いません。
○

医療機関は「医療機関確認用」について令和 6 年度中に全てのチェック項目で「はい」にマルがつくように、事業者と連携して取り組むようにしてください。
（※） 事業者と契約していない場合には、２（２）及び２（３）の記入は不要です。

○

複数の事業者と契約している場合、契約内容によっては「事業者確認用」の一部の項目の確認が不要になることもあります。「事業者確認用」には、事業者名を記入する欄を設けています。医療機関は各事業者から回収してください。

3．その他
○

チェックリストの確認結果は随時参照して、日頃の対策の実施に役立ててください。

○

少なくとも年に１回は、チェックリストを用いた点検を実施してください。

○

医療機関と直接契約関係にない事業者においては、「事業者確認用」の作成は不要です。

3

～立入検査時、チェックリストを確認します～
医療法第 25 条第１項に基づく立入検査では、病院、診療所および助産所においてサイバー
セキュリティ確保のために必要な取組を行っているかを確認することとしています。
立入検査では「医療機関確認用」、「事業者確認用」の全ての項目について、１回目の確認の日付と回答等が記入されていることを確認します（※）。このうち、３（１）の連絡体制図は現物を確認しますので、立入検査までに作成してください。
日頃の確認に加え、立入検査前は改めてチェックリストを用いてサイバーセキュリティ対策の状況を確認しましょう。
なお、医療機関は各事業者からチェックリストを回収しておきましょう。
（※） 事業者と契約していない場合には、「医療機関確認用」２（２）及び２（３）についての確認は求めら
れません。

4

Ⅱ

各チェック項目の解説

医療情報システムの有無【医療機関確認用】

医療情報システムを導入、運用している。
本チェックリストが対象とする医療情報システムは、医療情報を保存するシステ▶概説編 2.3

ムだけではなく、医療情報を扱う情報システム全般を想定します（例：レセコン、
電子カルテ、オーダリングシステム等）。これには、事業者により提供されるシス
テムだけでなく、医療機関等において自ら開発・構築されたシステムが含まれます。
本項目の「いいえ」にマルがつく場合、以下すべての項目は確認不要です。

１

体制構築

【医療機関確認用・事業者確認用】（１） 医療情報システム安全管理責任者を設置している。
医療機関等において、医療機関の経営層は安全管理を直接実行する医療情報シス
テム安全管理責任者を設置する必要があります。医療情報システム安全管理責任者
としての職務は、情報セキュリティ方針の策定及び教育・訓練を含む情報セキュリ
ティ対策を推進することです。情報セキュリティ対策の実効性を確保するために、経営層が医療情報システム安全管理責任者に就くことが望ましいですが、医療機関の規模・組織等によっては企画管理者が兼務することもあります。
また、事業者においても医療情報システム等の提供に係る管理責任者を設置する必要があります。
（用語の解説）企画管理者：医療機関において医療情報システムの安全管理の実務を担う担当者を指します。

5▶経営管理編3.1.2②
3.2

２

医療情報システムの管理・運用【医療機関確認用・事業者確認用】（用語の解説）医療情報システム全般：サーバ、端末 PC、ネットワーク機器を指します。
サーバ：電子カルテサーバやレセコンサーバ等、ネットワーク上で情報やサービスを提供するコンピュータを指します。
ネットワーク機器：無線 LAN やルータ等を指します。

（１） サーバ、端末 PC、ネットワーク機器の台帳管理を行っている。（医療情報システム全般）
医療情報システムで用いる情報機器等の安全性を確保するために、情報機器等の所在と、それらの使用可否の状態を適切に管理する必要があります。そのため、企▶経営管理編1.2.1＜管理責任＞②

画管理者は医療機関で所有する医療情報システムで用いる情報機器等について機器▶企画管理編台帳を作成して管理を行い、情報機器等が利用に適した状況にあることを確認でき9.1

るようにしてください。また、医療機関の経営層は定期的に管理状況に関する報告を受け、管理実態や責任の所在が明確になるよう、監督してください。台帳で管理する内容としては情報機器等の所在や利用者、ソフトウェアやサービスのバージョンなどが想定されます。
（用語の解説）情報機器等の所在：実際の設置場所やネットワーク識別情報等を指します。
（補足）
サーバ、端末 PC、ネットワーク機器のうち、自身の医療機関で保有する医療情報システムについて台
帳管理を行っていれば、「はい」にマルをつけてください。

●機器台帳の例
管理番号 メーカー

OS

ソフトウェア

ソフトウェアバージョン

IPアドレスコンピュータ名 設置場所

利用者

登録日

状態

001

A社

Win11

〇〇電子カルテ

2.0 192.168.〇.〇 Room1のPC１ Room1

a医師（〇〇科）

2020/12/1 稼働

002

A社

Win11

〇〇電子カルテ

1.2 192.168.〇.〇 Room1のPC2

Room1

b医師（〇〇科）

2020/12/1 停止

003

A社

Win8

〇〇電子カルテ

2.0 192.168.〇.〇 Room2のPC１ Room2

c医師（△△科）

2014/10/1 稼働

004

B社

Win11

〇〇管理システム

5.0.1 192.168.〇.〇 Room3のPC１ Room3

6

a医師（〇〇科）、b医師（〇〇科）、c医師（△△科）2021/8/1 稼働

説明

メンテナンス

（２） リモートメンテナンス（保守）を利用している機器の有無を事業者に確認した。
（医療情報システム全般）
リモートメンテナンス（保守）作業または保守環境に対するサイバー攻撃が想定されます。システム運用担当者は、このようなリスクに対応するために必要な措置を講じ、企画管理者に報告する必要があります。そのため、システム運用担当者▶企画管理編9.1▶システム運用編 10.1

は、２（１）で整理した情報をもとにリモートメンテナンスを利用している機器の有無を事業者に確認し、企画管理者へ報告してください。
なお、本項目は、事業者と契約していない場合には、チェックリストの記入は不要です。
（用語の解説）システム運用担当者：医療機関において医療情報システムの実装・運用を担う担当者を指します。

（３） 事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。（医療情報システム全般）
医療情報システムのセキュリティに関するリスク評価およびリスク管理を実施す
るにあたっては、事業者が作成する医療情報セキュリティ開示書（MDS/SDS）を確認することが有効です。企画管理者は事業者へ当該医療情報システムに関する
MDS/SDS の有無を確認し、事業者から回収してください。
なお、本項目は、事業者と契約していない場合には、チェックリストの記入は不要です。
（用語の解説）MDS/SDS：Manufacturer / Service Provider Disclosure Statement for Medical Information
Security））：医療情報セキュリティ開示書（製造業者/サービス事業者による医療情報セキュリティ
開示書の略称です。各製造業者/サービス事業者の医療情報システムのセキュリティ機能に関する説明の標準的記載方法（書式）を JIRA(一般社団法人 日本画像医療システム工業会)/JAHIS で定めた物
で、製品/サービス説明の一部として製造業者/サービス事業者によって作成され、セキュリティマネジ
メントを実施する医療機関等を支援するため、医療機関等側において必要な対策の理解を容易にすることなどの用途に用いられることが想定されています。

7▶概説編 4.5

（４） 利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している。
（サーバ、端末 PC）
医療情報システムの利用権限は、医療従事者の資格や医療機関内の権限規程に応じて設定することが重要です。企画管理者は情報の種別、重要性と利用形態に応じて情報の区分管理を行い、その情報区分ごと、組織における利用者や利用者グルー▶企画管理編13④
13.1.3

プごとに利用権限を規定してください。利用者に付与した ID 等については、台帳を作成して一覧化することが望ましいです。台帳で管理する項目としては、所属部
署・氏名・ユーザーID・権限等が想定されます。

●利用者 ID 台帳の例
№

所属部署

性

001

システム管理

abc

002

A科

003

A科

004

B科

・

・

名

電話番号

ユーザID

説明

権限

def

****

abc@def

安全管理責任者

Admin

使用可

efg

hij

****

efg@hij

使用者

User

使用可

klm

nop

****

klm@nop

使用者/退職予定

User

使用可（23年３月まで）

qrs

tuv

****

qrs@tuv

使用者

User

使用可

・

・

・

・

・

・

状態

・

（５） 退職者や使用していないアカウント等、不要なアカウントを削除している。
（サーバ、端末 PC）
企画管理者は２（４）で整理した情報を元に、退職者や使用していない ID 等が含まれていないかを確認してください。長期間使用されていない等の不要な ID は
不正アクセスに利用されるリスクがありますので、速やかに削除してください。

8

▶企画管理
編 13⑦

（６） アクセスログを管理している。（サーバ）
医療情報システムが適切に運用されているかを確認するために、システム運用担
当者は利用者のアクセスログを記録するとともに、企画管理者はそのログを定期的に確認してください。例えば不正アクセスがあった場合でも、その痕跡を発見して追跡する起点となることなどが期待されます。アクセスログは、少なくとも利用者のログイン時刻、アクセス時間及び操作内容が特定できるように記録することが必
要です。
（補足）
アクセスログへのアクセス制限を行い、アクセスログの不当な削除／改ざん／追加等を防止する対策を併せて講じてください。

●アクセスログの例
ユーザーID

氏名

時刻

カテゴリ

操作情報

abc@def

abcdef

2023/5/16 8:30:00

管理メニュー

ログイン

abc@def

abcdef

2023/5/16 8:30:20

管理メニュー起動

abc@def

abcdef

2023/5/16 8:31:00

入力メニュー起動

abc@def

abcdef

2023/5/16 8:32:00

入力メニュー

カルテ入力

abc@def

abcdef

2023/5/17 12:30:00

管理メニュー

ログオフ

ghi@jklghijkl2023/5/17 8:40:00

管理メニュー

ログイン

ghi@jklghijkl2023/5/17 8:40:30

管理メニュー

起動

ghi@jklghijkl2023/5/17 8:45:00

管理メニュー

ログオフ

・

・

・

・

9

・

▶経営管理編4.2▶企画管理編5.3▶システム運用編 17①②（７） セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。
（医療情報システム全般）
不正ソフトウェアは、電子メール、ネットワーク、可搬媒体等を通して医療情報システム内に侵入する可能性があります。対策としては不正ソフトウェアのスキャ▶システム運用編 8③
8.1

ン用ソフトウェアの導入が効果的であると考えられ、このソフトウェアを医療情報

8.2

システム内の端末、サーバ、ネットワーク機器等に常駐させることにより、不正ソ

13.2

フトウェアの検出と除去が期待できます。
しかし、不正ソフトウェア対策のスキャン用ソフトウェアを導入し、適切に運用したとしても、全ての不正ソフトウェアが検出できるわけではありません。このため、システム運用担当者がまず実施すべき対策として、スキャン用ソフトウェアの導入に加えて、パターンファイルの更新を含め、セキュリティ・ホール（脆弱性）が報告されているソフトウェアへのセキュリティパッチを適用することが挙げられます。
（用語の解説）パターンファイル：ウイルス対策ソフトがウイルスを発見するために使用するデータのこと。
（補足）
古い OS（Operating System の略。コンピュータを動作させるための基本的機能を提供するシステム
全般のこと）を使用している等の理由で、動作確認ができずパッチが適用されていない場合があります
が、こうした機器がサイバー攻撃の対象になることがありますので、本項目を通じてシステム状況を確認することが重要です。

10

（８） 接続元制限を実施している。（ネットワーク）
外部ネットワークに接続する際には、ネットワークや機器等を適切に選定し、監視を行うことが必要です。特に、無線 LAN を使用する際は不正アクセス対策として▶システム運用編 13⑪

適切な利用者以外に無線 LAN を利用されないようにすることが重要です。システ
ム運用担当者は、例えば、ネットワーク機器に接続出来る MAC アドレスが限定すること等、不正アクセス対策を実施してください。
（用語の解説）MAC アドレス：Media Access Control アドレスの略。LAN カードの中で、イーサネット（特に普及している LAN 規格）を使って通信を行うカードに割り振られた一意の番号。インターネットでは
IP アドレス以外にも MAC アドレスを使用して通信を行っています。LAN カードは、製造会社が出荷製品に対して厳密に MAC アドレスを管理しているため、同一の MAC アドレスを持つ LAN カードが２つ以上存在することはありません。
（補足）
MAC アドレスによるアクセス制限の効果は限定的であることに留意する必要がありますので、追加の対策はガイドラインや事業者とも確認をお願いします。

（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停止している。
（サーバ、端末 PC）
不正ソフトウェアは電子メール、ネットワーク等の様々な経路を利用して医療情報システム内に侵入する可能性があります。システム側の脆弱性を低減するため、まずは利用していないサービスや通信ポートを非活性化させることが重要です。システム運用担当者はプログラム一覧やタスクマネージャー等で不要なソフトウェア
やサービスが作動していないかを確認し、不要なものがある場合は企画管理者に相談の上、対策を講じてください。

11▶システム運用編 8.1

３

インシデント発生に備えた対応【医療機関確認用】（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡体制図がある。
医療機関の経営層は情報セキュリティインシデント発生に備え、事業者や外部有識者と非常時を想定した情報共有や支援に関する取決めや体制を整備するよう、企
画管理者に指示することが重要です。企画管理者はサイバーインシデント発生時、速やかに情報共有等が行えるよう、緊急連絡網を明示した連絡体制図を作成して下さい。連絡体制図には施設内の連絡先に加え、事業者、情報セキュリティ事業者、外部有識者、都道府県警察の担当部署、厚生労働省や所管省庁等が明示されていることが想定されます。
このような連絡体制が整備されていることで、速やかな初動対応支援が可能となり被害拡大の防止につながります。
立入検査時は、連絡体制図が作成されていることを確認します。
（用語の解説）CSIRT: 「Computer Security Incident Response Team」の略。コンピュータセキュリティにかかる
イシデントに対処するための組織の総称。インシデント関連情報、脆弱性情報、攻撃予兆情報を常に収集、分析し、対応方針や手順の策定などの活動をする。
CISO: 「Chief Information Security Officer」の略。最高情報セキュリティ責任者。施設や組織における情報セキュリティを統括する責任者を指す（補足）
サイバー攻撃を受けた疑いがある場合は、下記の厚生労働省の連絡先に御連絡ください。なお、いたず
ら防止のため、184 発信、公衆電話発信は受信不可としますので、医療機関の電話で御連絡願います。
【連絡先】厚生労働省医政局特定医薬品開発支援・医療情報担当参事官室 03-6812-7837●連絡体制図の例
インシデント報告

医療情報システム ンダー
医療機関内

経営層（院長等）情報セキュリティ事業者

CSIRT

外部有識者（情報セキュリティ責任者 CISO

都道府県警察の担当部署

医療情報システム安全管理責任者（システム管理者等）

部 責任者（〇〇部）

部

システムの管理者

医療従事者等部

機器の管理者

医療従事者等

厚生労働省

部 責任者（部等）

システムの管理者

医療従事者等部）

部

機器の管理者

医療従事者等

12▶経営管理編3.4.2①
3.4.3①▶企画管理編
12.3

（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバック
アップの実施と復旧手順を確認している。
非常時でも、稼働が損なわれた医療情報システムを復旧できるよう、情報システ
ムやデータ等のバックアップを適切に確保し、その復旧手順を整備・確認しておくことが求められます。企画管理者はバックアップを確保する際、重要なファイルについては、不正ソフトウェアの混入による影響が波及しないよう複数の方式で世代▶経営管理編3.4.1▶企画管理編11.2▶システム運管理するよう設計し、システム運用担当者は手順に従いバックアップを確保してく用編ださい。復旧手順の整備については、例えば、BCP に復旧手順を定めるなどの方法

11.1

が挙げられます。

12.2
18.1

（用語の解説）世代管理：バックアップの一種で、最新データだけでなく、それ以前のデータもバックアップする方法を指します。例えば、３世代以上で管理する場合、日次でバックアップを行うならば、「3 世代以上」とは「３日以上」のバックアップを確保することになります。
（補足）
３世代目以降のバックアップはオフライン（物理的あるいは論理的に書き込み不可の状態）にする等の対策が望ましいです。

（３）サイバー攻撃を想定した事業継続計画（BCP）を策定している。
医療機関の経営層は企画管理者と連携して非常時における業務継続の可否の判断
基準や継続する業務選定等の意思決定プロセスを検討し、サイバー攻撃を想定した
BCP 等を整備することとしています。この BCP を整備しておくことにより、万が一サイバー攻撃を受けても重要業務が中断しない、または中断しても短い期間で再▶経営管理編3.4.1▶企画管理編11.1

開することが期待できます。

～参考資料～◇[特集]

小規模医療機関等向けガイダンス

診療所や歯科診療所、薬局、訪看ステーション等の小規模医療機関等（以下「小規模医療機関等」という。）では、医療情報システムの安全管理を専任で対応する人材が十分に確保できないというケースも多くみられます。本ガイダンスは、小規模医療機関等において、ガイドラインに示されている安全管理対策を実施するために必要な内容の概略を簡易的に示しています。

◇[特集]

医療機関等におけるサイバーセキュリティ

本ガイダンスはサイバーセキュリティに関係する部分を要約し、サイバー攻撃の典型例など具体的な事例などもまとめています。チェックリス
トを用いた確認と併せて一読いただき、ぜひサイバーセキュリティに対する理解をさらに深めてください。

※

厚生労働省 HP「医療情報システムの安全管理に関するガイドライン第 6.0 版

13特集」に掲載しています。