医療情報システムの安全管理に関するガイドラインとは｜歯科医院が確認すべきことと対策の進め方

情報漏えいで生じる責任と影響

患者情報が漏えいすると、患者さんへの説明や行政への報告、損害賠償などが必要になる場合があります。システムの停止による診療への影響や、復旧費用も医院の負担になります。［1］

実際に、医療機関では次のような被害が起きています。

• 私物のパソコン1台から、1,365件の患者情報が漏えいした可能性
  2026年6月、藤田医科大学病院は、患者情報を保存していた職員の私物パソコンがサポート詐欺の被害に遭ったと公表しました。氏名や病名などを含む情報に漏えいの可能性があり、対象患者への報告と相談窓口の設置を発表しています。［2］
• 電子カルテが使えず、通常診療の再開まで約2か月
  つるぎ町立半田病院では、2021年10月31日のサイバー攻撃で電子カルテなどが利用できなくなりました。通常診療を再開できたのは、年を越した2022年1月4日でした。［3］

医院に生じる主な対応と責任は、次のとおりです。

• 報告・本人通知
  診療情報などを含む個人データが漏えいした場合や、そのおそれがある場合は、原則として個人情報保護委員会への報告と本人通知が必要です。［4］
• 行政による指導・命令
  安全管理などの義務に違反した場合、個人情報保護委員会による指導・勧告・命令などの対象になることがあります。［5］
• 損害賠償
  患者さんに損害が生じた場合、民事上の責任を問われることがあります。［6］
• 刑事罰
  行政命令への違反や、不正な利益を得る目的での患者情報の提供など、法律で定められた行為が対象になります。［5］

患者情報と診療を守るために、国のガイドラインに沿って、日頃の対策と事故時の備えを整えておきましょう。

ガイドラインの概要

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、医療情報を安全に扱うための指針です。2026年10月時点の最新版は第7.0版です。［1］

ガイドラインは、医療情報システムの導入から運用、保守、廃棄までを対象に、必要な対策を立場ごとにまとめています。［1］

• 経営管理編
  院長など経営層が判断・指示すべきこと
• 企画管理編
  院内の体制や規程など、安全管理の仕組みづくり
• システム運用編
  パソコンやソフト、ネットワークの設定・運用
• 保守委託機関編
  保守を業者に任せている小規模な医療機関向けの対策

この記事では、厚生労働省のチェックリストの項目を中心に、歯科医院が院内で進めるべき対策を紹介します。

ガイドラインに沿った対策の進め方

ガイドラインに沿った対策を進めるうえで大切なのは、現状を確認し、優先度をつけて段階的に進めることです。次の4つのステップで、体制づくりから設定、日々の運用、事故への備えまで順に整えましょう。

ただし、進める中で不正アクセスの疑いやバックアップの不備が見つかった場合は、その対応を優先してください。

STEP 01責任者を決め、機器とシステムを把握する

まずは責任者を決め、院内のどこに患者情報があり、誰が使っているかを把握しましょう。対象は、院内で使っている端末（パソコン、タブレット、スマートフォンなど）やITツール（電子カルテ、レセコン、レントゲン、予約管理、院内の連絡ツール、業者との連携ツールなど）すべてです。把握した内容は機器台帳とシステム一覧にまとめ、チェックリストで点検します。

POINT 01安全管理の責任者を決める

• 医療情報システムの安全管理責任者を決め、書面に残します。
• 責任者が不在のときに対応する代行者も決めておきます。［8］

POINT 02機器台帳をつくる

院内のサーバー、パソコンやタブレット、ルーターなどのネットワーク機器を、すべて書き出します。

POINT 03システム一覧をつくる

患者情報を入力・保存・送信するシステムやサービスを書き出します。クラウドサービスや生成AI、患者さんとの連絡ツールも対象です。

POINT 04チェックリストで点検する

台帳と一覧ができたら、厚生労働省のサイバーセキュリティ対策チェックリストで、自院の対策を点検します。

• 責任者の設置、機器台帳、ID・パスワード、バックアップなどの項目に「はい」「いいえ」で答える形式です。
• 立入検査でも、このチェックリストの記入状況が確認されます。
• 「いいえ」の項目には、担当者と対応目標日を決めましょう。［8］

STEP 02アカウント・認証・権限を整える

IDと権限を一人ひとりに合わせて設定し、本人確認を強化しましょう。なりすましや不正利用を防ぎ、誰が操作したかを後から確認できるようにします。

POINT 01IDは使う人を決めて管理する

• 電子カルテなど患者情報を扱うシステムは、スタッフごとにIDを発行するのがおすすめです。
• 退職者や使っていないIDは、すぐに停止・削除します。
• 同じパスワードを複数のシステムで使い回しません。［7］［8］

POINT 02二要素認証を取り入れる

パスワードとスマートフォンの認証アプリのように、種類の異なる2つの要素を組み合わせて本人を確認します。

2027年4月1日時点で稼働が見込まれる医療情報システムを新たに導入・更新する際は、二要素認証またはそれに相当する対応が求められます。技術的な理由などですぐに難しい場合も、2027年度以降の直近のシステム更新までに対応が必要です。［7］

電子カルテなどのソフトとサーバーの両方について、対応状況を保守業者に確認しておきましょう。

POINT 03アクセスできる範囲を絞る

電子カルテだけでなく、GoogleドライブやOneDriveなどのファイル共有サービスも対象です。たとえば、患者情報や給与・人事の資料が入ったフォルダを、全スタッフが開ける状態になっていないでしょうか。フォルダごとに誰がアクセスできるかを確認し、必要な人だけに絞りましょう。

• 閲覧・修正・出力できる範囲を、担当業務に必要な分だけにします。
• 設定を変更できる管理者権限は、必要な人に限ります。
• 操作記録を残し、定期的に確認します。［7］［8］

誰にどのIDと権限を渡したかは、利用者ID台帳に記録しておきます。退職時の削除漏れを防ぎ、定期的な見直しもしやすくなります。

STEP 03ソフトと機器を整理し、運用ルールを決める

現在使っているソフトウェアや機器の状況を確認し、不要なものは削除や契約の解除で整理して、情報流出のリスクを減らしましょう。あわせて日々の運用ルールを決め、スタッフ全員で守ることで、院内のセキュリティを保ちます。［8］

POINT 01使用状況を確認し、ソフトと機器を整理する

• ソフトやサービスごとに、使っている人と使う頻度を確認します。
• 最後に使った時期を確認し、使われていないものを洗い出します。
• ほかのソフトと統合して、数を減らせないか検討します。
• 不要なものは削除するか、契約を解除します。
• パソコンやルーターなどの更新状況と、サポート期限を確認し、機器台帳に記録します。
• サポートが終了した機器を使い続ける場合は、対策と使用期限を決めます。
• 院外から接続できる人と機器を限定します。

統合や契約の解除は、診療や業務に影響が出ることがあります。まずは全く使っていないものや、なくなっても影響がないものから、少しずつ整理していきましょう。

POINT 02日々のルールをスタッフと共有する

• 席を離れるときは、画面をロックします。
• USBメモリや私物の端末は、責任者の許可を得たものだけを使います。
• 不審なメールや警告画面は自己判断で操作せず、直ちに責任者に報告します。

ルールは伝えるだけでなく、入職時と年1回以上の研修で、実際の画面や場面を使って確認しましょう。研修の実施日や内容は、記録に残しておきます。［9］

STEP 04バックアップと事故対応を準備する

万が一のトラブルに備えて、バックアップの運用をしっかり整えましょう。ただし、バックアップは取るだけでなく、「本当に戻せるか」まで確かめておくことが大切です。あわせて、システムが止まったときに診療を続ける手順と、異常に気づいたときの初動も決めておきます。

POINT 01バックアップの方法と保管場所を記録する

まずは、どのデータを、いつ、どこにバックアップしているかを台帳にまとめて記録しましょう。いざというときに、誰でも同じ手順で復旧に取りかかれます。

記録をもとに、次の点も確認しておきます。

• カルテ・レントゲン画像・予約情報が、バックアップの対象に入っているかを確認します。
• いつの時点まで戻せるか、復元にどのくらい時間がかかるかを確認します。
• バックアップのうち少なくとも1つは、ネットワークから切り離して保管します。
• 年1回以上、業者と復旧の手順を確認します。［7］［10］

POINT 02システム停止中の診療手順を決める

• 診療を続けるか延期するかの判断基準と、判断する人を決めます。
• 紙で患者情報や診療内容を記録し、受付・会計を行う手順を決めます。
• 患者さんへの説明方法と、院内・保守業者の緊急連絡先を決めます。

これらはBCP（事業継続計画）としてまとめ、パソコンが使えなくても確認できるよう紙でも保管しておきましょう。［10］

院内・業者・行政の緊急連絡先は連絡体制図にまとめ、受付や院長室に掲示しておくと、いざというときに迷わず動けます。［8］

POINT 03異常に気づいたときの初動を決める

異常に気づいたら、決めておいた手順に沿って機器の使用を止め、通信を遮断します。そのうえで、院内の責任者と保守業者に連絡してください。

自己判断で初期化はせず、発見した時刻や画面の状態を記録しておきます。サイバー攻撃が疑われる場合は、厚生労働省への連絡も必要です。［11］

まとめ

厚生労働省のガイドラインは、ハッキングや情報漏えいなどのリスクから医院を守り、適切に対処するための指針です。まずは自院の現状を確認し、対応が必要なところから早めに進めていきましょう。

対応したあとも、ルールどおりに運用できているかの確認や、ルールそのものの見直しが欠かせません。一度整えて終わりにせず、日々アップデートしていける体制をつくっていきましょう。