医療機関のサイバーセキュリティ立入検査対応【令和8年度版チェックリスト】｜現物確認される4点と19項目の読み方

1. なぜ立入検査で確認されるのか——法令上の位置づけ

• 医療法施行規則の改正（令和5年4月施行）により、病院・診療所等の管理者にはサイバーセキュリティの確保のために必要な措置を講じることが義務付けられています（薬局は医薬品医療機器等法施行規則）
• チェックリストのマニュアルには「医療法第25条第1項に基づく立入検査では、病院、診療所及び助産所においてサイバーセキュリティ確保のために必要な取組を行っているかを確認する」と明記されています（薬局は薬機法に基づく立入検査で確認）
• チェックリストは、厚労省「医療情報システムの安全管理に関するガイドライン」のうち優先的に取り組むべき事項を抜き出したものです。つまり「最低限ここまで」の位置づけです

2. 令和8年度版（2026年7月7日改定）で変わったこと

変更点	内容
ガイドライン第7.0版対応	「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月）の策定を踏まえて項目を見直し
医療機関用と薬局用を統合	従来の「医療機関確認用」「薬局確認用」は項目が共通のため、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」に一本化（医療機関・薬局確認用／事業者確認用の2種構成）
二要素認証の期限明記	端末アプリ・サーバOSログインの二要素認証は「実装している。または令和9年度以降初回のシステム更改時に実装予定である」という選択肢に（§6参照）
パスワード要件	英数字混在8桁以上。ただし二要素認証を採用するまでの期間は13桁以上とする注記つき

3. 立入検査で確認されるもの——「記入」と「現物」

マニュアルには立入検査での確認方法が具体的に書かれています。準備すべきものは2段階です。

（1）チェックリスト全項目の記入

• 「医療機関・薬局確認用」「事業者確認用」のすべての項目について、確認日と回答等が記入されていることを確認されます
• 「いいえ」の項目には令和8年度中の対応目標日を記入します（年度内にすべて「はい」となるよう取り組むことが求められています）
• 「事業者確認用」は各事業者に記入してもらい、医療機関側で回収して保管しておきます（マニュアルに「医療機関等は各事業者からチェックリストを回収しておきましょう」と明記）

（2）現物を確認される4点セット

次の4つは書類の現物を確認するとマニュアルに明記されています。「立入検査までに作成してください」とされている、準備の最優先事項です。

チェックリスト項目	現物確認されるもの	実務メモ
2-①	サーバ・端末・ネットワーク機器の台帳	リース・持込みPC・複合機も漏れなく。書式46の台帳シートを利用可
3-①	インシデント発生時の連絡体制図	組織内＋外部関係機関（事業者・厚生労働省・警察等）への連絡先を図式化。立入検査時に作成済みかを確認すると明記
3-③	サイバー攻撃の想定を含むBCP（事業継続計画）	自然災害向けBCPに「サイバー攻撃で医療情報システムが停止した場合」の章を追加する形が現実的（§7参照）
4-①	運用管理規程等	チェックリスト1〜3のすべての項目について具体的な実施方法を規程に定める必要あり（§5参照）。規程類も確認対象と明記

4. チェックリスト19項目の読み方（医療機関・薬局確認用）

技術用語に見えても、事務側の仕事は「誰に・何を確認して・どこに記録するか」です。項目ごとに整理します。

分類	項目（要旨）	事務側の動き方
1 体制構築	①医療情報システム安全管理責任者の設置	経営層が就くことが望ましい（規模により企画管理者の兼務も可）。辞令・任命記録を残す
2 管理・運用 （システム全般）	①機器の台帳管理	現物確認対象。書式46台帳に記入し年1回棚卸し
	②リモート保守機器の有無を事業者に確認	事業者へ文書・メールで照会し、回答を保管
	③医療情報セキュリティ開示書（MDS/SDS）の提出を受ける	事業者へ提出を依頼し、受領日を台帳に記録
	④職種・業務別のアクセス権限設定（管理者権限の明確化）	誰が管理者権限を持つか一覧化。設定作業自体は事業者と協議
	⑤退職者等の不要アカウントの削除・無効化	退職時チェックリストに「アカウント削除依頼」を組み込む（人事→システム担当の連絡ルート）
	⑥セキュリティパッチの適用	適用の実施者（自院か事業者か）を保守契約で確認し、実施記録を残す
	⑦パスワードは英数字混在8桁以上（二要素認証採用までは13桁以上）	院内ルールを規程に明記。現状のパスワード運用の棚卸し
	⑧パスワードの使い回し禁止	同上（規程＋職員周知・研修記録）
	⑨USBメモリ等の外部媒体・機器の接続制限	「誰がどの媒体を使ってよいか」のルール化。技術的制限は事業者と協議
	⑩不要なソフトウェア・サービスの停止（サーバ・端末）	事業者に確認を依頼し、回答を保管
2 管理・運用 （端末・サーバ）	⑪端末アプリのログイン時二要素認証（または令和9年度以降初回更改時に実装予定）	§6参照。現時点では「実装予定」の回答でも可
	⑫サーバOSログイン時二要素認証（同上・みなし措置あり）	§6参照
2 管理・運用 （ネットワーク）	⑬アクセスログの管理	保存場所・期間・出し方を事業者に確認（立入検査で直接確認の可能性）
	⑭接続元制限の実施	事業者に実施状況を確認し、回答を保管
3 インシデント対応	①連絡体制図（組織内＋事業者・厚労省・警察等）	現物確認対象。書式46の初動カードとセットで整備
	②診療継続に必要な情報の検討・バックアップ確保・復旧手順の確認	「システムが止まったら何の情報が要るか」を院内で協議し、バックアップの取り方・復旧手順は事業者に確認
	③サイバー攻撃想定を含むBCP	現物確認対象。§7参照
4 規程類の整備	①上記1〜3の全項目の具体的実施方法を運用管理規程等に定める	現物確認対象。§5参照（書式46の規程追記例を利用可）

5. 「4 規程類の整備」が最大の山——規程への落とし込み方

チェックリストの最後の項目は「上記1〜3のすべての項目について、具体的な実施方法を運用管理規程等に定めている」です。つまり、①〜⑭とインシデント対応の一つひとつについて「自院では誰が・いつ・どうやるか」を文書化する必要があります。ここが一番手間のかかる部分です。

• ゼロから規程を書き起こす必要はありません。既存の「医療情報システム運用管理規程」への追記（条文の追加）で対応するのが現実的です
• 書式46に、チェックリスト項目に対応した規程追記例（Word）を用意しました。自院の体制・名称に合わせて修正してご利用ください
• 規程を作ったら、台帳・体制図・BCPと相互に整合しているか（責任者名・連絡先が同じか）を確認します。立入検査で見られるのはこの整合性です

6. 二要素認証——「令和9年度以降初回のシステム更改時」に備える

• ガイドライン第7.0版では、令和9年度（2027年度）以降に初めて行うシステム更改の際に、二要素認証を採用するシステムの導入（又はこれに相当する対応）が求められています。チェックリストの回答も「実装している／実装予定である」の形です
• 導入・改修には一定程度の費用が見込まれるため、次回のシステム更改・電子カルテ更新の見積り時に、二要素認証対応を要件に含めておくことが実務上のポイントです
• サーバのOSログインについては、一定の代替措置が施されていれば二要素認証を実装しているものとみなす措置が示されています（立入検査時に同等性を説明できることが想定されています）。具体的な構成は事業者にご相談ください
• 医療機器への二要素認証は第7.0版では改定が見送られましたが、今後のガイドライン改定で検討される方向性が示唆されています。最新情報に留意してください

7. サイバーBCP——3-③は「BCPの現物」が確認されます

チェックリスト3-③「サイバー攻撃の想定を含む事業継続計画（BCP）を策定している」は、立入検査で現物確認の対象です。自然災害向けのBCPしかない施設は、「サイバー攻撃により医療情報システム（電子カルテ・レセコン等）が使用できなくなった場合」の章を追加するところから始めてください。

• BCPをまだ整備していない施設は、当サイトのBCP作成ツール（無料・厚労省ガイドライン準拠）と「BCPテンプレート・ひな形（無料）」から着手できます
• サイバー章に最低限入れる要素：紙運用への切替手順（外来受付・処方・会計）／連絡体制図との接続／復旧の意思決定者／訓練の記録
• 施設の実情に合わせたサイバーBCPの作成・既存BCPへのサイバー章追加のカスタマイズは、料金・サービス案内より有料で承っています

8. 無料ダウンロード｜書式46（台帳・初動カード＋規程追記例）

9. 年間運用に組み込む

• チェックリストの点検は少なくとも年1回実施することとされています。届出・報告の年間スケジュールに「サイバーチェックリスト点検」の行を追加しておくと漏れません
• 立入検査の通知が来てから慌てないよう、①台帳 ②体制図 ③BCP ④規程の4点は保管場所を1つのファイルにまとめておきましょう
• 電子カルテ・医療DX関連の施設基準（電子的診療情報連携体制整備加算等）でもサイバーセキュリティ対策・ウェブサイト掲載が絡みます。届出済み基準との整合も定期点検を

FAQ｜よくある質問

Q1. 立入検査では具体的に何を見られますか？

チェックリスト（医療機関・薬局確認用と事業者確認用）のすべての項目に確認日と回答が記入されていることに加え、①機器の台帳（2-①）②インシデント連絡体制図（3-①）③サイバー攻撃想定を含むBCP（3-③）④運用管理規程等（4-①）の4点は書類の現物が確認されます。アクセスログを直接確認される可能性もあります。

Q2. 「いいえ」の項目があるとどうなりますか？

「いいえ」の項目には令和8年度中の対応目標日を記入します。チェックリストには「令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」と明記されているため、目標日を設定し、計画的に対応を進めてください。

Q3. 医療機関用と薬局用でチェックリストは別ですか？

令和8年度版（2026年7月7日改定）から、項目が共通であることを踏まえて「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」に統合されました。医療機関・薬局が記入する「医療機関・薬局確認用」と、システム事業者に記入してもらう「事業者確認用」の2種構成です。

Q4. システム事業者と契約していない小規模診療所はどうすればよいですか？

事業者と契約していない場合、2-②（リモート保守の確認）と2-③（MDS/SDSの提出）の確認は求められません。ただしその場合、医療情報システムの保守管理の責任は医療機関自身が負うことになります。それ以外の項目（台帳・体制図・BCP・規程等）は同様に必要です。