病院や薬局が患者の医療情報を守るために従う国の指針、「医療情報システムの安全管理に関するガイドライン」が第7.0版に改定されました。厚生労働省（大臣官房 医薬産業振興・医療情報審議官）が**令和8年（2026年）6月29日付（産情発0629第1号）**で、都道府県知事・保健所設置市長・特別区長あてに策定を通知しています。令和5年5月の第6.0版以来の全面的な見直しです。
何が変わるのか
大きな変更は、全体構成の見直しと、認証・パスワード運用の実務ルールの更新です。今回から**「保守委託機関編」が加わり、全5編構成**になりました。
| 編 | 主な位置づけ |
|---|---|
| 概説編 | ガイドライン全体の考え方・背景 |
| 経営管理編 | 経営層（病院長など）が担う責任・体制づくり |
| 企画管理編 | システムの企画・調達・管理を担う担当者向け |
| システム運用編 | 実際の運用・技術対策の具体策 |
| 保守委託機関編（新設） | システムの保守・運用を請け負う委託事業者向け |
技術面では、次の点が実務に直結します。
- 二要素認証…医療情報システムのうち、クライアント端末およびサーバで導入することが明確化されました。ただし、これまで対象がはっきりしていなかった経緯も踏まえ、令和9年（2027年）4月1日時点で対応が困難な医療機関等では、次期システム改修での対応を許容する緩和措置が設けられています。
- パスワード…使い回しの禁止やアカウントロックの導入を追記する一方で、セキュリティ強化につながらないとされてきた**「定期的な変更」の要件は削除**されました。
- 制度面…関連法令にサイバーセキュリティ基本法を追加し、サプライチェーンリスクへの注意や、医療機関と事業者の役割分担、クラウドサービスの積極的な活用などが追記されました。
なぜ改定したのか
厚生労働省は改定の背景として、次の状況を挙げています。
- 第6.0版（令和5年5月）の公表以降も、医療機関等を対象としたサイバー攻撃事案が継続していること
- サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律・令和7年法律第42号）の成立など、サイバーセキュリティへの社会的関心と重要性が高まっていること
- 内閣官房国家サイバー統括室（NCO）による「重要インフラのサイバーセキュリティに係る安全基準等策定指針」の改定
- 経済産業省・総務省が策定する「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（2省ガイドライン）の第2.0版への改定
- 医療情報システムの運用でクラウドサービスを導入する医療機関が増加していること
とくに、病院がランサムウェア被害で診療停止に追い込まれる事案が各地で起きており、こうした脅威と制度の動きに合わせて指針を最新化したものです。
新設された「保守委託機関編」
今回の目玉が、システムの保守・運用を請け負う事業者向けの**「保守委託機関編」の新設**です。背景には、専門人材が不足している小規模な医療機関では、自前で高度なセキュリティ対策を行うのが難しいという実情があります。
このため、すべてのサーバのセキュリティアップデートを委託（クラウドサービスの利用を含む）している医療機関等については、保守委託機関編を守ることで、他の編の項目も守れているものとみなす扱いが追記されました。ここでいうサーバには、たとえばCD-Rで電子カルテのアプリケーションをインストールして運用するなど、サーバ機能を果たすパソコン等の端末も含まれます。
小規模なクリニックが、外部の事業者やクラウドに任せる形でも一定の安全水準を満たせるように整理した、という位置づけです。
いつから、医療機関は何をすべきか
ガイドラインは令和8年（2026年）6月に公表され、医療機関等には本ガイドラインの遵守が求められています。二要素認証については、前述のとおり令和9年（2027年）4月1日が対応の一つの区切りとなります。
医療機関・薬局の管理者やシステム担当者は、まず厚生労働省ホームページで第7.0版の各編を確認し、自院の運用管理規程や対策を見直すことになります。あわせて公開されている**「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」を使い、自院の対応状況を点検できます。なお、ガイドラインに関するQ&A集は令和8年7月中に掲載予定**とされています。
パブリックコメントでのやり取り
この改定は、もともと**第6.1版（案）**として、**令和8年（2026年）3月27日から4月17日まで意見募集（パブリックコメント）**が行われ、271件の意見が寄せられました。寄せられた意見と厚生労働省の考え方は別紙として取りまとめられ、公表されています。
案の段階では第6.1版と呼ばれていましたが、改定内容の大きさに鑑み、最終的に「第7.0版」として公表されました。意見への回答（結果概要）は令和8年7月15日に公示されています。
誰に関係するか
直接の対象は、病院・診療所・薬局など医療情報システムを扱う医療機関等と、その情報システム担当者・経営層、そして**システムを提供・保守する事業者（クラウド事業者を含む）**です。
一般の患者や家族が、この改定のために何か手続きをする必要はありません。ただし、これは自分の医療情報（カルテや処方などの情報）を守るためのルールが強化されたものであり、通院先の医療機関がどのように情報を管理しているかを知るうえでの参考になります。