第3章 国が求める最低限の措置 19 項目

厚生労働省が病院に求めている「最低限の措置」とは、具体的に何でしょうか。
中身はチェックリストの 19 項目で、立入検査で確認されます。
この章では、19 項目をそのままの順で見て、難しい言葉を言い換え、「自院でどう確かめるか」「主に誰が動くか」を添えます。

19 項目は 4 つの区分に分かれます。
ほとんどが区分 2 で、事務長が自分で動くのは区分 1、3、4 と、区分 2 のうち「ベンダーに聞く」項目です。

• 区分 1体制構築1項目責任者を名前で決める
  主に動く人: 事務長
• 区分 2医療情報システムの管理と運用14項目台帳、権限、パスワード、更新、二要素認証
  主に動く人: 情シス、ベンダー
• 区分 3インシデント発生に備えた対応3項目連絡体制図、バックアップ、BCP
  主に動く人: 事務長
• 区分 4規程類の整備1項目ここまでの「やり方」を規程に
  主に動く人: 事務長

チェックリストとは何か

正式には「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」（厚生労働省PDF）といいます。
厚生労働省が、医療情報システムの安全管理に関するガイドラインの中から「まず優先的に取り組むべきこと」を抜き出して 1 枚にまとめたものです。
書き方と考え方はチェックリストマニュアル（厚生労働省PDF）にあります。

根拠は、令和 5 年 4 月に施行された医療法施行規則の改正の通知（厚生労働省PDF）です。
管理者が講じなければならない「必要な措置」の中身として、このチェックリストが通知されました。
対策は努力目標ではなく、管理者の義務です（条文と経緯は第 1 章）。

いまの版は、ガイドラインの第 7.0 版と同時に改まった「令和8年度版」で、項目は 18 から 19 になりました。
厚生労働省は「令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」と書いています。

立入検査で「現物」を見られる 4 つ

19 項目のうち、立入検査で書類そのものを確認されると明記されているのは次の 4 点です（マニュアル I-3）。
「はい」と答えるだけでなく、現物を用意しておく必要があります。
まだ無いなら、ここから手を付けるのが近道です。

• 2-①機器の台帳サーバ、パソコン、ネットワーク機器の一覧。
  設置場所、利用者、OS とソフトの版、稼働か停止か機器台帳のひな形（Excel）
  マニュアル 6 ページの例（厚生労働省PDF）をもとに作成
• 3-①連絡体制図院内の責任者から、ベンダー、厚生労働省、都道府県警察までを 1 枚に連絡体制図のひな形（Excel）
  マニュアル 16 ページの例（厚生労働省PDF）をもとに作成
• 3-③BCP（事業継続計画）システムが止まったときに、どの診療を続け、どう紙で回し、どの順で復旧するかBCP のひな形（厚生労働省Word）
  策定の確認表（厚生労働省Excel）
• 4-①運用管理規程ここまでの項目の「やり方」を院内の規程として文書に運用管理規程の文例（厚生労働省PDF）

このほか、サーバのアクセスログ（2-⑬）も「立入検査の際に直接確認する可能性がある」とされています。

ここからは 19 項目を 1 つずつ見ていきます。
見出しは言い換えた問いで、右の印は主に動く人と、立入検査で現物を見られる項目です。
項目を押すと、原文の要旨と自院での確かめ方が開きます。

区分 1 体制構築（1 項目）

• 1-①システムの安全を「誰が」見るのか、名前で決まっていますか事務長

  原文の要旨: 医療情報システム安全管理責任者を設置している

  自院での確かめ方: 辞令や規程に名前があるか。
  経営層が就くのが望ましく、規模によっては情報システムの担当者が兼ねてもよいとされています。
  情報処理安全確保支援士や情報セキュリティマネジメント試験の合格者が望ましいとされますが、必須ではありません。

令和 7 年度の病院調査（厚生労働省PDF）では、ほとんどの病院が責任者を置いています（割合は区分 2 の末尾の図）。
一方で、その責任者が情報処理の資格を持っている割合は 2 割弱です。
まず「名前を決める」ことが第一歩で、資格は後からで構いません。

区分 2 医療情報システムの管理と運用（14 項目）

いちばん項目が多い区分です。
「医療情報システム」とは電子カルテだけではなく、次のものまで含みます。

• レセプトコンピュータ
• 部門システム
• それらが動くサーバとパソコン
• 院内のルーターや無線 LAN

システム全般（①〜⑩）

• 2-①院内の機器の一覧表がありますか情シスベンダー現物

  原文の要旨: サーバ、端末、ネットワーク機器の台帳管理を行っている

  自院での確かめ方: 台帳を出してもらう。
  無ければベンダーに「納品した機器の一覧」をもらい、自院で買った機器を足す。
  立入検査で現物を確認されます。

• 2-②ベンダーが外から入って保守している機器がどれか、答えを持っていますか事務長ベンダー

  原文の要旨: リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した

  自院での確かめ方: ベンダーごとに「遠隔で保守している機器と回線」を書面で確認する。
  病院側が外部との接続点を把握しきれていないことが、被害の大きな要因です。

• 2-③ベンダーから「安全対策の開示書」をもらっていますか事務長ベンダー

  原文の要旨: 事業者から医療情報セキュリティ開示書（MDS/SDS）を提出してもらう

  自院での確かめ方: 電子カルテなど主要なシステムのベンダーに「MDS/SDS をください」と言えば通じます。
  ベンダーと契約していない機器（買い切り）は記入不要ですが、その分の責任は病院にあります。

• 2-④職種ごとに見られる範囲が分かれ、「管理者権限」を持つ人が限られていますか情シスベンダー

  原文の要旨: 職種や担当業務別のアクセス権限を設定し、管理者権限の対象者を明確化している

  自院での確かめ方: 利用者 ID の台帳（所属、氏名、ID、権限）があるか。
  全員に管理者権限が付いていてウイルス対策ソフトを無効化され、被害が広がった事例が多発しています。

• 2-⑤辞めた人のアカウントが残っていませんか情シス

  原文の要旨: 退職者や使用していないアカウントを削除または無効化している

  自院での確かめ方: 2-④ の台帳と人事の退職者名簿を突き合わせる。
  年 1 回でよいので日を決める。

2-①（台帳）と 2-⑤（不要なアカウント）の要点を図にしたもの

• 2-⑥更新プログラムが当たっていますか。
  古くて当てられない機器はありませんかベンダー情シス

  原文の要旨: セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している

  自院での確かめ方: ベンダーに「パッチの適用は保守契約の範囲か、最後に当てたのはいつか」を聞く。
  古い OS で当てられない機器は、それ自体が攻撃の対象になります。

  IPA の白書から: 脆弱性が公開されてから悪用されるまでの期間は、以前より短くなっています（p.25）。
  警察庁の統計では、侵入経路になった機器で最新のパッチが当たっていたのは 71 件中 31 件でした（p.16）。
  白書は、VPN 機器などは「サポート終了（EoL）の状況の棚卸し」と後継の製品への移行計画を優先して整えるよう勧めています（p.40〜41）。

• 2-⑦パスワードは英数字まじりで、二要素認証がないシステムは 13 桁以上ですか情シスベンダー

  原文の要旨: パスワードは英数字の混在した 8 桁以上。
  二要素認証を採用するまでは 13 桁以上

  自院での確かめ方: 定期的な変更は求められなくなりました（令和 8 年度版で削除）。
  付箋でモニターに貼る管理は「絶対に避けなければならない」と書かれています。

• 2-⑧複数の機器で同じパスワードを使っていませんか情シスベンダー

  原文の要旨: パスワードの使い回しを禁止している

  自院での確かめ方: ベンダーが全顧客に同じパスワードを使い回して攻撃を受けた事例があります。
  事業者確認用で、ベンダーに「使い回していない」と宣言してもらいます。

2-⑦（パスワードの桁数）、2-⑧（使い回しの禁止）、2-⑪（二要素認証）の要点を図にしたもの

• 2-⑨誰でも USB メモリを挿せる状態になっていませんか情シスベンダー

  原文の要旨: USB ストレージ等の外部記録媒体や情報機器に対して接続を制限している

  自院での確かめ方: 持ち出しに使える媒体を限定し、持ち出しと持ち帰りの手続を規程に書く。
  ベンダーに「USB の接続制限ができるか」を聞く。

• 2-⑩使っていないソフトや機能が裏で動いたままになっていませんかベンダー情シス

  原文の要旨: バックグラウンドで動作している不要なソフトウェアとサービスを停止している（サーバ、端末）

  自院での確かめ方: ベンダーに「使っていないサービスや通信ポートを止めているか」を聞く。
  病院側で判断するのは難しいので、聞くこと自体が対策です。

端末とサーバとネットワーク機器（⑪〜⑭）

• 2-⑪端末電子カルテなどにログインするとき、パスワードに加えて IC カードや指紋などがありますか事務長ベンダー

  原文の要旨: アプリケーションログイン時の二要素認証を実装している。
  または令和 9 年度以降初回のシステム更改時に実装予定である

  自院での確かめ方: 無ければ「次のシステム更改で入れる」予定を決め、文書にしておけば「はい」にできます（猶予）。
  二要素認証の導入には費用が見込まれるので、計画的な更新が推奨されています。

• 2-⑫サーバサーバそのものに入るときも二要素認証ですかベンダー事務長

  原文の要旨: OS ログイン時の二要素認証を実装している。
  または令和 9 年度以降初回のシステム更改時に実装予定である

  自院での確かめ方: 踏み台端末を経由する「みなし措置」が認められています（マニュアル 13 ページ）。
  ベンダーに「サーバの OS ログインは二要素か、みなし措置に当たるか」を聞く。

• 2-⑬サーバ誰がいつ何をしたかの記録が残り、定期的に誰かが見ていますかベンダー情シス確認あり

  原文の要旨: アクセスログを管理している

  自院での確かめ方: ログイン時刻、アクセス時間、操作内容が分かる形で記録し、担当者が定期的に確認する。
  立入検査で直接確認される可能性があります。

• 2-⑭ネットワーク機器院内の無線 LAN やルーターに、決められた機器以外がつなげない設定になっていますかベンダー情シス

  原文の要旨: 接続元制限を実施している

  自院での確かめ方: ベンダーに「接続元を IP アドレスや電子証明書で限定しているか」を聞く。
  MAC アドレスだけの制限は効果が限定的とされています。

全国の病院はどこまでできているのでしょうか。
令和 7 年度の病院調査（厚生労働省PDF）から、「している」と答えた病院の割合を項目ごとに並べます。

1. 機器の台帳（2-①） 92.8%
2. 安全管理責任者の設置（1-①） 86.3%
3. オフラインバックアップ（3-②） 77.5%
4. サイバー攻撃を想定した BCP（3-③） 74.6%
5. MDS/SDS で点検（2-③） 63.9%
6. 職員の情報セキュリティ研修 62.9%
7. サーバと端末のパッチ（2-⑥） 62.6%
8. 二要素認証の導入（2-⑪） 10.5%

「している」と答えた病院の割合。オフラインバックアップの分母は電子カルテを導入している病院です。

出典: 厚生労働省 医政局 医療情報担当参事官室『「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について』（令和7年度調査。未定稿）。取得日 2026-09-24

いちばん低いのが二要素認証です。
導入できない理由（下の図）は自院だけの事情ではなく、だからこそ猶予が設けられています。

27.1% 26.3% 24.1% 15.8%

1. システムが未対応 27.1%
2. 予算不足 26.3%
3. 令和 9 年度までに導入予定 24.1%
4. 人員不足 5.5%
5. ベンダーが対応しない 1.1%
6. その他 15.8%

二要素認証を導入していない病院の回答。自院だけの事情ではありません。

出典: 厚生労働省 医政局 医療情報担当参事官室『「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について』（令和7年度調査。n=5,131。未定稿）。取得日 2026-09-24

区分 3 インシデント発生に備えた対応（3 項目）

• 3-①「何かあったら誰に電話するか」が 1 枚の図になっていて、職員が知っていますか事務長現物

  原文の要旨: インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある

  自院での確かめ方: 院内の責任者、ベンダー、セキュリティ事業者、外部有識者、都道府県警察、厚生労働省（医政局医療情報担当参事官室 03-6812-7837）を 1 枚に。
  立入検査で現物を確認されます。

• 3-②バックアップがあるだけでなく、「戻せる」ことと「戻す順番」を確かめていますかベンダー事務長

  原文の要旨: 診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している

  自院での確かめ方: ベンダーに「バックアップは何世代あるか、3 世代目以降はネットワークから切り離しているか（オフライン）、復元の手順書はあるか、最後に復元を試したのはいつか」を聞く。

• 3-③システムが止まったとき、紙で診療を続ける手順と「どこまで診るか」の判断基準が文書になっていますか事務長現物

  原文の要旨: サイバー攻撃の想定を含む事業継続計画（BCP）を策定している

  自院での確かめ方: 災害用の BCP に「サイバー攻撃」の想定が入っているか。
  BCP があっても運用できず復旧できなかった事例が多数あるので、訓練が望ましいとされています。
  立入検査で現物を確認されます。
  令和 8 年度の診療報酬改定では、電子的診療情報連携体制整備加算 1（入院料の加算。外来の初診料などにある同じ名前の加算 1 には、この要件が無い）が「年 1 回程度の BCP の訓練」を施設基準にしました（届出率は医療事故講座 第 6 章）。

バックアップについては、令和 7 年の統計（警察庁サイト）が示すことがあります。
図を上から順に読んでください。

出典: 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編 P128〜P130（2026-09-24 取得）

バックアップは「ある」だけでは足りず、「切り離して」「戻せる」ことが要る、というのが 3-② の意味です。
IPA の白書も、バックアップをネットワークから隔離して置き、「バックアップからの復旧が実際に可能なことを、何らかの方法で確認しておく」よう勧めています（p.26）。
この統計の読み方と、復元できた割合の年ごとの動きは、第 5 章の「数字で見る」で扱います。

区分 4 規程類の整備（1 項目）

• 4-①ここまでの項目の「やり方」が、院内の規程として文書になっていますか事務長現物

  原文の要旨: 上記 1〜3 のすべての項目について、具体的な実施方法を運用管理規程等に定めている

  自院での確かめ方: 機器の管理方法、異常が起きたときの対応（BCP に従う）、職員の教育と訓練、の 3 つが例示されています。
  運用管理規程の文例（厚生労働省PDF）を土台に自院の言葉に直せば足ります。
  立入検査で現物を確認されます。

IPA の言う対策と、19 項目は同じ

IPA の情報セキュリティ白書2026（IPAサイト）は、企業や組織の全般に向けて、ランサム攻撃への対策をまとめています（p.24〜26）。
病院に向けた資料ではありませんが、並べると 19 項目とほとんど同じ中身です。

国の 19 項目は、病院だけに特別なことを求めているのではありません。どの業種でも勧められている基本を、病院向けに番号を振って並べたものと読めます。

中小企業向けには、IPA が「情報セキュリティ 6 か条」を示しています。
2026 年 3 月の中小企業の情報セキュリティ対策ガイドライン第 4.0 版（IPA PDF）で、5 か条に「バックアップを取ろう！」が加わりました。
6 か条を 19 項目と並べると、次のようになります。

• 1OS やソフトウェアは常に最新の状態にしよう！更新プログラム2-⑥
• 2ウイルス対策ソフトを導入しよう！19 項目に番号はありません第 2 章の 4 件
• 3パスワードを強化しよう！長さ、使い回しの禁止、二要素認証2-⑦、2-⑧、2-⑪、2-⑫
• 4共有設定を見直そう！見られる範囲と、外から入れる相手2-④、2-⑭
• 5バックアップを取ろう！第 4.0 版で加わった項目3-②
• 6脅威や攻撃の手口を知ろう！19 項目に番号はありません第 6 章の研修

番号の無い 2 つも、軽く見てよいものではありません。
第 2 章の 4 件では、止まっていたウイルス対策ソフトが院内に広がった理由の 1 つでした。
手口を知るための研修は、第 6 章で扱います。

令和 7 年度版から変わったこと

自院で確かめること

1. 現物 4 点があるか。
   台帳、連絡体制図、BCP、規程類。
   無いものが「最初の仕事」です。
2. ベンダーに事業者確認用を送り、返ってきた紙があるか。
   原文（厚生労働省PDF）の 2 枚目です。
   「対象外」に印が付いた項目は、責任が病院にあります。
   返ってきた紙が、第 4 章の材料になります。
3. 自己点検の 19 項目に答えられるか。
   「分からない」が多くても構いません。
   分からない項目は、ベンダーに聞けば分かることがほとんどです。

本文中の「令和 7 年度の病院調査」の数値は、令和 7 年度調査の未定稿の資料によります。
国の資料に沿って解説していますが、国が監修したものではありません。