医療機関のサイバーセキュリティ対策チェックリスト（令和8年度版）｜診療所が立入検査までに用意するもの【2026年】

チェックリストの位置づけ

医療法施行規則第14条第2項は、「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない」と定めています。令和8年度の立入検査の通知（医政発0612第10号）は、この「必要な措置」について、医療情報システムの安全管理に関するガイドラインの最新版を参照しつつ、チェックリストとマニュアルで取組の状況を確認するとし、チェックリスト・マニュアルは最新版を利用するよう留意するとしています。

立入検査の通知は、診療所についても検査の必要性に基づいて適宜対応するとしています。マニュアルは、医療法第25条第1項の立入検査で、病院・診療所・助産所がサイバーセキュリティ確保のために必要な取組を行っているかを確認するとしています。

19項目と、診療所が用意するもの

チェックリストの項目名の番号は、マニュアルの見出しの番号と対応しています。「用意するもの」は、マニュアルの解説を診療所向けに短くしたものです。

パスワードと二要素認証の期限

チェックリストの⑦は、パスワードを英数字の混在した8桁以上とし、二要素認証を採用するまでの期間は13桁以上としています。⑪⑫の二要素認証は、実装済みでなくても「令和9年度以降初回のシステム更改時に実装予定である」なら「はい」にできる書き方です。ガイドライン第7.0版での二要素認証の期限とパスワードの要件は 安全管理ガイドライン第7.0版の記事 にまとめています。

第7.0版のどの編を読むか

チェックリストの項目の考え方は、医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月29日策定）に沿っています。第7.0版は、概説編・経営管理編・企画管理編・システム運用編・保守委託機関編の5編で、概説編の判断フローは、すべてのサーバのセキュリティアップデートの責任を事業者に委託しているかで読む範囲を分けています。

• 委託している（契約書・約款・SLAなどにその旨が書かれている）場合は、概説編と保守委託機関編で足ります
• 概説編は、ここでいう「サーバ」を医療情報の保存や主要な処理を担う機器とし、PCなどの端末は原則含めないものの、電子カルテのアプリを端末にインストールしてその機器の上で処理が完結する場合は含むとしています
• 委託の範囲が不明確なら、必ず契約している事業者に直接確認するとしています

診療所が使う電子カルテの提供会社が、サーバのセキュリティアップデートを担うと公式サイトに書いているかは、電子カルテの比較 の各製品ページの「セキュリティ」の節に、二要素認証の記載などと一緒に載せています。

事業者に頼むもの

チェックリストには「医療機関・薬局確認用」と「事業者確認用」があり、事業者確認用は令和8年度中にすべての項目で「はい」または「対象外」になるよう取り組むものです。マニュアルは次のように説明しています。

• 「対象外」は、医療機関との保守契約の範囲外で、その項目の責任を医療機関が負うという意味です。責任分界の認識にずれがないか、事業者側から医療機関に確認するとしています
• 医療機関は、各事業者から事業者確認用を回収しておきます（事業者名を記入する欄があります）
• 事業者と契約していない場合は、医療機関・薬局確認用の2-②と2-③の確認は求められません。ただし、その場合の保守管理の責任は医療機関が負います
• 医療機関と直接の契約関係にない事業者は、事業者確認用を作る必要がありません

提供会社がISMSやISMAPを取得しているかは、電子カルテの認証要件とのかかわりを 認証要件のページ で説明しています。

バックアップとBCP

マニュアルは、インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを複数の方式で世代管理することを求めています。例として、3世代以上で管理する場合に日次でバックアップを行う形を挙げ、3世代目以降のバックアップはオフライン（物理的あるいは論理的に書き込みができない状態）にするなどの方法を示しています。BCPについては、医療機関と事業者のいずれにおいても訓練を実施することが望ましいとしています。

運用管理規程に定める例として、マニュアルは、アクセス権限と操作ログの確認に関すること、非常時はBCPに従うこと、職員の情報セキュリティに関する教育や訓練に関することなどを挙げています。

事故が起きたときの連絡先

マニュアルは、連絡体制図に、施設内の連絡先に加えて、事業者、情報セキュリティ事業者、外部有識者、都道府県警察の担当部署、厚生労働省や所管省庁などを明示することを想定しています。

研修の教材

厚生労働省の委託事業として運営されているMIST（医療機関向けセキュリティ教育支援ポータルサイト）には、経営者向け、システム・セキュリティ管理者向け、職員向けの研修・e-learningと教材があります。チェックリスト4-①の運用管理規程に職員の教育・訓練を定めるときの教材として使えます。

無床診療所向けの製品は 無床診療所のページ にまとめています。

よくある質問

診療所も立入検査でチェックリストを確認されますか

マニュアルは、医療法第25条第1項の立入検査で、病院・診療所・助産所がサイバーセキュリティ確保のために必要な取組を行っているかを確認するとしています。令和8年度の立入検査の通知は、診療所についても検査の必要性に基づいて適宜対応するとしています。

令和7年度版のチェックリストを使っていてもよいですか

令和8年度の立入検査の通知は、チェックリストとマニュアルは最新版を利用するよう留意するとしています。令和8年度版は厚生労働省のガイドライン第7.0版の掲載ページに載っています。

二要素認証がまだのシステムでも「はい」にできますか

チェックリストの⑪（端末のアプリケーションログイン）と⑫（サーバのOSログイン）は、「または令和9年度以降初回のシステム更改時に実装予定である」という書き方なので、更改時の実装が決まっていれば「はい」にできます。二要素認証を採用するまでの期間は、パスワードを13桁以上にします。

電子カルテの提供会社と保守契約がない場合はどうなりますか

マニュアルは、事業者と契約していない場合は2-②（リモートメンテナンス機器の有無の確認）と2-③（MDS/SDSの提出）の確認は求められないとしています。ただし、その場合の医療情報システムの保守管理の責任は医療機関が負うとしています。