医療情報システムの安全管理ガイドライン第7.0版｜診療所が押さえる改定点と保守委託機関編【2026年】

第7.0版とは

第7.0版は、令和8年6月29日の厚生労働省の通知（産情発0629第1号）で策定が知らされた版です。通知は、改定の背景として、医療機関へのサイバー攻撃が続いていること、サイバー対処能力強化法（令和7年法律第42号）の成立、国家サイバー統括室（NCO）の安全基準等策定指針の改定、経済産業省・総務省の「2省ガイドライン」の第2.0版への改定を挙げています。

ガイドラインの対象は、病院・一般診療所・歯科診療所・助産所・薬局・訪問看護ステーション・介護事業者・医療情報連携ネットワーク運営事業者などの医療機関等で、医療情報を扱う情報システム全般です。医療情報を含まない、患者への費用請求の情報だけを扱う会計・経理システムなどは含まれません。

主な改定点

策定通知の「改定の概要」を整理すると、次のとおりです。

5編の構成と診療所が読む編

第7.0版は、概説編・経営管理編・企画管理編・システム運用編・保守委託機関編の5編です。どの編を読むかは、すべてのサーバのセキュリティアップデートの責任を事業者に委託しているかで分かれます。

• 概説編は、ここでいう「サーバ」を医療情報の保存や主要な処理を担う機器としていて、電子カルテのアプリを端末に入れてその機器の上で処理が完結する場合は、そのPCなどの端末も「サーバ」に含むとしています
• 事業者がセキュリティアップデートの責任を負うことが、契約書・約款・サービスレベル合意書（SLA）などに書かれているかで判断します。書かれていない・はっきりしない場合は医療機関側の責任になっている可能性があるとして、はっきりしなければ必ず契約している事業者に直接確かめるよう求めています
• 保守委託機関編は、専任のシステム担当者がいない小規模な医療機関を想定した編で、クラウドサービス（特にSaaS型）を積極的に採用すれば、特別な契約を交わさなくても保守の委託ができることを想定しています

保守委託機関編で求められること

保守委託機関編は、遵守する項目をチェック欄つきの一覧で示しています。電子カルテの選定と契約に関わる主な項目は次のとおりです。

• 医療情報システムは、可能な限りクラウドサービスを選び、ソフトウェアアップデートなどの保守管理を事業者に委託する（難しい場合は医療機関等が自ら定期的にアップデートする）
• 外部保存の委託先は、プライバシーマーク・ISMS（情報セキュリティマネジメントシステム）またはこれと同等の規格の認証を受けている事業者を選ぶ。あわせて、安全管理の方針・体制・バックアップの状況・認証（ISMAP・プライバシーマーク・ISMSなど）の取得状況・保存場所を確かめ、情報機器などが国内法の適用・執行の及ぶ範囲にあることを確実にする
• 医療情報の外部保存の委託先との契約に、サーバのセキュリティアップデートを含む保守の責任が事業者にあること、PCやネットワーク機器などの端末の保守の責任がどちらにあるか、再委託の事前承認、契約終了時の医療情報の返却などが含まれているかを確かめる
• サイバー攻撃などで医療の提供に支障が出るおそれがあるときは、厚生労働省・都道府県警察などに連絡する
• 電子カルテの記録の確定（入力者・確定者の識別、更新履歴、代行入力など）について、真正性・見読性・保存性を確保できるシステムを選ぶ
• 医療情報システムを入れるときは、事業者にMDS/SDS（製造業者・サービス事業者による医療情報セキュリティ開示書）の提出を求める

電子カルテを選ぶときは、これらの項目を事業者の提案や契約書で確かめます。厚生労働省の電子カルテの認証制度の状況と各製品の対応は電子カルテの認証制度と対応状況にまとめています。

二要素認証の期限

二要素認証は、令和9年度（令和9年4月1日時点）に稼働していることが想定されるシステムを、今後新しく入れるとき・機器の入れ替えを伴う更改をするときに採用することが求められています。

• システム運用編は、クライアント端末では電子カルテなどのアプリケーションのログイン時に、サーバではOSのログイン時に、二要素認証を実装するとしています。技術的な理由などで令和9年度までの対応が難しい場合は、令和9年度以降、直近の次期の医療情報システムの更新までが期限です
• 保守委託機関編の遵守項目では、クライアント端末のアプリケーションのログイン時は令和9年度までに二要素認証を採用し、院内にオンプレミスのサーバがある場合はOSのログイン時に二要素認証を採用するとしています。どちらも、対応が難しい場合は令和9年度以降のシステム更新時に対応できる事業者を選ぶとしています
• パスワードは、二要素認証を前提にすると8桁（PINなら4桁）以上で英数字の混在、二要素認証を採用していない場合は13桁以上です。13桁以上に設定できないシステムでは、設定できる最大の桁数にして、直近のシステム更新で対応します。いずれの場合も、定期的な変更は不要とされています

次の第7.1版

厚生労働省は、パブリックコメントを受けて積み残した2つの課題（医療機器の二要素認証、国内法の執行に関する規制）を引き続き検討し、可能な限り早く第7.1版へ改定することを目指すとしています。第7.1版の時期は示されていません。

診療報酬で電子カルテに関わる加算は電子的診療情報連携体制整備加算とはにまとめています。クラウド型の電子カルテはクラウド型電子カルテの比較、電子カルテ全体は電子カルテの比較で比べられます。無床の診療所は無床診療所向けのページも参考にしてください。

よくある質問

小さな診療所もガイドラインを守る必要がありますか

ガイドラインが対象として想定する医療機関等には一般診療所・歯科診療所が含まれ、規模で対象を分ける記述はありません。第7.0版は、専任のシステム担当者がいない小規模な医療機関を想定して保守委託機関編を設け、サーバの保守を事業者にすべて委託していれば、概説編と保守委託機関編への対応で守っているとみなすとしています。

クラウド型の電子カルテなら保守委託機関編だけでよいですか

保守委託機関編で済むのは、すべてのサーバ（電子カルテのアプリを入れて処理が完結するPCなどを含む）のセキュリティアップデートの責任を事業者に委託している場合です。その責任が契約書・約款・SLAなどに書かれているかを確かめ、はっきりしない場合は事業者に直接確かめるよう、概説編は求めています。

パスワードの定期変更はもうしなくてよいですか

第7.0版のシステム運用編は、パスワードの定期的な変更は不要としています。代わりに、使い回しの禁止と、一定回数の失敗でアカウントをロックすることが求められています。桁数は二要素認証ありで8桁以上、なしで13桁以上です。

旧版（第6.0版）の資料はまだ使えますか

概説編は、ガイドラインを使う場合は最新の版であることに十分留意するよう求めています。2026年10月時点の最新は第7.0版で、Q&Aは令和8年9月版が厚生労働省のページに載っています。