医療情報システムの安全管理に関するガイドライン
いりょうじょうほうしすてむのあんぜんかんりにかんするがいどらいん ／ Guidelines for the Security Management of Medical Information Systems ／ 法令と報告
医療情報システムの安全管理に関するガイドラインとは、医療機関等が電子カルテなどの医療情報システムを安全に管理するために、厚生労働省が示している指針です。
略称：医療情報安全管理ガイドライン
位置づけ：3省2ガイドラインのうち、厚生労働省が医療機関等向けに示すガイドライン
「医療情報システムの安全管理に関するガイドライン」の概要
病院や診療所が、電子カルテなどの医療情報システムを安全に管理するために、厚生労働省が定めている指針です。
病院を狙ったランサムウェア被害が相次いだことを受けて、医療機関のサイバーセキュリティ対策の重要性が高まっています。このガイドラインは、経営層向け、システム管理者向けなど読み手ごとに分かれており、サイバー攻撃を想定した事業継続計画（BCP）の整備なども求めています。医療機関への立入検査でも、対策の状況が確認されています。
要点
- 2026年6月に第7.0版が公表され、概説編、経営管理編、企画管理編、システム運用編などに分かれています。
- サイバー攻撃を想定した事業継続計画（BCP）の整備や、インシデント発生時の連絡体制の整備を求めています。
- 医療法施行規則の改正により、病院等の管理者にはサイバーセキュリティの確保が義務づけられています。
構成
| 編 | 主な読み手 | 内容 |
|---|---|---|
| 概説編 | 全員 | ガイドラインの目的と全体像 |
| 経営管理編 | 経営層 | 経営層の責任、体制、予算 |
| 企画管理編 | 医療情報システムの管理者 | 規程の整備、リスク評価、委託先の管理 |
| システム運用編 | システム担当者 | 技術的な対策、運用 |
インシデント対応に関する主な内容
- サイバー攻撃を想定した事業継続計画の整備と訓練
- インシデント発生時の連絡体制と、所管官庁などへの連絡
- バックアップの確保と、システムから切り離した保管
立入検査との関係
医療法に基づく立入検査では、厚生労働省が示すチェックリストなどを用いて、サイバーセキュリティ対策の状況が確認されています。ガイドラインの内容は、検査で確認される事項の基礎になっています。
実務のポイント
- 経営管理編を経営層が読み、責任者を決めます。
- サイバー攻撃を想定したBCPを作成し、定期的に訓練します。
- インシデント発生時の連絡先（所管官庁、保守ベンダーなど）を一覧にします。
GuardPlanでできること
GuardPlan Responseは、サイバー攻撃を受けても、企業が迷わず動けるための「AI危機管理室」です。
GuardPlanは、医療機関の事故対応で必要となる判断、承認、報告期限、記録を一つの仕組みで管理することを支援します。ガイドラインの項目に沿った点検機能は、今後の対応を予定しています。
関連用語
参考資料
このページは法令の一般的な解説であり、個別の事案についての法的な助言ではありません。具体的な判断は、弁護士などの専門家にご相談ください。
執筆：GuardPlan編集部 最終更新日：2026年11月4日