自己点検 — サイバーセキュリティ対策チェックリスト 19 項目

厚生労働省が立入検査で確認する「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」（令和8年度版）の 19 項目を、事務長の言葉に言い換えて並べました。
「はい」「いいえ」「分からない」で答えると、区分ごとの達成と、ベンダーに聞くべき項目が分かります。

回答はこのブラウザの中だけに保存します。サーバーには送りません。別の端末やブラウザには引き継がれません。

回答 0 / 19 はい 0　いいえ 0　分からない 0
  • 1 体制構築 0 / 1
  • 2 医療情報システムの管理と運用 0 / 14
  • 3 インシデント発生に備えた対応 0 / 3
  • 4 規程類の整備 0 / 1

下の項目に答えると、ここに集計が出ます。

「全国の病院」は、厚生労働省の病院調査で「している」と答えた病院の割合です。
設問の文言はチェックリストと同じではないので、調査の設問も添えています。
出典: 厚生労働省 医政局 医療情報担当参事官室『「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について』（令和7年度調査。n=5,736。未定稿）。取得日 2026-09-24

1体制構築1 項目

1-① 医療情報システム安全管理責任者を設置している。

システムの安全を「誰が」見るのか、名前で決まっていますか。

全国の病院 86.3% （調査の設問: 医療情報システム安全管理責任者を設置している）

主に動く人: 事務長

2医療情報システムの管理と運用14 項目

2-① 現物 サーバ、端末、ネットワーク機器の台帳管理を行っている。

院内のサーバ、パソコン、ルーターなどの一覧表（どこに、誰が、何のソフトを）がありますか。

全国の病院 92.8% （調査の設問: サーバ、端末PC、ネットワーク機器の台帳管理を実施している（医療機器を除く））

主に動く人: 情シスベンダー

2-② リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した。

ベンダーが外から入ってきて保守している機器がどれか、ベンダーに聞いて答えを持っていますか。

主に動く人: 事務長ベンダー

2-③ 事業者から製造業者／サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう。

ベンダーから「うちの製品はここまで安全対策をしています」という開示書をもらっていますか。

全国の病院 63.9% （調査の設問: MDS/SDSを用いて点検している）

主に動く人: 事務長ベンダー

2-④ 利用者の職種や担当業務別の情報区分毎のアクセス利用権限を設定している。管理者権限対象者の明確化を行っている。

職種ごとに見られる範囲が分かれていて、「管理者権限」を持つ人が限られていますか。

主に動く人: 情シスベンダー

2-⑤ 退職者や使用していないアカウント等、不要なアカウントを削除または無効化している。

辞めた人のアカウントが残っていませんか。

主に動く人: 情シス

2-⑥ セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。

サーバ、パソコン、ルーターなどの更新プログラムが当たっていますか。
古くて当てられない機器はありませんか。

全国の病院 サーバと端末のパッチ（2-⑥） 62.6% （調査の設問: サーバ、端末PCに対して定期的にセキュリティパッチを適用している） ネットワーク機器のパッチ（2-⑥） 73.7% （調査の設問: ネットワーク機器に対して定期的にセキュリティパッチを適用している）

主に動く人: ベンダー情シス

2-⑦ パスワードは英数字の混在した 8 桁以上としている。二要素認証を採用するまでの期間は 13 桁以上としている。

パスワードは英数字まじりで、二要素認証がないシステムは 13 桁以上ですか（定期的な変更は求められていません）。

主に動く人: 情シスベンダー

2-⑧ パスワードの使い回しを禁止している。

複数の機器やサービスで同じパスワードを使っていませんか。
ベンダーが全顧客で同じパスワードを使っていませんか。

主に動く人: 情シスベンダー

2-⑨ USB ストレージ等の外部記録媒体や情報機器に対して接続を制限している。

誰でも USB メモリを挿せる状態になっていませんか。

主に動く人: 情シスベンダー

2-⑩ サーバ、端末 バックグラウンドで動作している不要なソフトウェア及びサービスを停止している。

使っていないソフトや機能が裏で動いたままになっていませんか。

主に動く人: ベンダー情シス

2-⑪ 端末 アプリケーションログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。

電子カルテなどにログインするとき、パスワードに加えて IC カードや指紋などがありますか。
無ければ、次のシステム更改で入れる予定が決まっていますか。

全国の病院 10.5% （調査の設問: 二要素認証を導入している）

主に動く人: 事務長ベンダー

2-⑫ サーバ OS ログイン時の二要素認証を実装している。または令和9年度以降の初回システム更改時に実装予定である。

サーバそのものに入るときも二要素認証ですか（踏み台方式の「みなし措置」もあります）。
無ければ、次の更改で入れる予定が決まっていますか。

全国の病院 10.5% （調査の設問: 二要素認証を導入している）

主に動く人: ベンダー事務長

2-⑬ サーバ 確認あり アクセスログを管理している。

誰がいつ何をしたかの記録が残り、定期的に誰かが見ていますか。

主に動く人: ベンダー情シス

2-⑭ ネットワーク機器 接続元制限を実施している。

院内の無線 LAN やルーターに、決められた機器以外がつなげない設定になっていますか。

主に動く人: ベンダー情シス

3インシデント発生に備えた対応3 項目

3-① 現物 インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある。

「何かあったら誰に電話するか」が 1 枚の図になっていて、職員が知っていますか。

主に動く人: 事務長

3-② インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している。

バックアップがあるだけでなく、「戻せる」ことと「戻す順番」を確かめていますか。
ネットから切り離した保存先がありますか。

全国の病院 77.5% （調査の設問: オフラインバックアップを確保している。分母は電子カルテ導入病院数）

主に動く人: ベンダー事務長

3-③ 現物 サイバー攻撃の想定を含む事業継続計画（BCP）を策定している。

システムが止まったとき、紙で診療を続ける手順と「どこまで診るか」の判断基準が文書になっていますか。

全国の病院 74.6% （調査の設問: サイバー攻撃を想定したBCPの策定）

主に動く人: 事務長

4規程類の整備1 項目

4-① 現物 上記 1〜3 のすべての項目について、具体的な実施方法を運用管理規程等に定めている。

ここまでの項目の「やり方」が、院内の規程として文書になっていますか。

主に動く人: 事務長

立入検査の準備には原文を

この自己点検は「どこから手を付けるか」を決めるための道具です。
立入検査では、原文のチェックリストに確認日と目標日を書いたものを確認されます。
次の 2 つを印刷してお使いください。

  • 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（厚生労働省PDF）医療機関・薬局確認用と、ベンダーに渡す事業者確認用の 2 枚
  • 同 チェックリストマニュアル（厚生労働省PDF）各項目の考え方と確認方法。台帳や連絡体制図の例つき

立入検査で「現物」を確認されるのは、台帳（2-①）、連絡体制図（3-①）、BCP（3-③）、規程類（4-①）の 4 点です（マニュアル I-3）。

← 講座のトップに戻る