公開：2026年11月6日／出典：厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル」（令和8年6月）
要点（3行）
- 厚生労働省は令和8年6月、医療機関と薬局のサイバーセキュリティ対策チェックリストを一つにまとめ、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」とマニュアルを公開しました（令和7年度版までは「医療機関用」「薬局用」に分かれていました）。
- 医療機関等は「医療機関・薬局確認用」について、令和８年度中にすべてのチェック項目で「はい」にマルがつくよう、事業者と連携して取り組むよう求められています。
- 医療法第25条第１項に基づく立入検査で、チェックリストの記入を確認します。台帳・連絡体制図・BCP・規程類は現物を確認するとされています。
何が出たか
| 項目 | 一次資料に書かれていること |
|---|---|
| 公開されたもの | チェックリスト（令和８年６月）、チェックリストマニュアル～医療機関・薬局・事業者向（令和８年６月）、Excel版の「医療機関・薬局確認用」と「事業者確認用」 |
| 統合 | チェック項目が医療機関と薬局で同じであることから、一つのチェックリストに統合 |
| 位置づけ | 「医療情報システムの安全管理に関するガイドライン」のうち、まず医療機関等が優先して取り組む事項をまとめたもの |
| 使い分け | 医療機関等は「医療機関・薬局確認用」、事業者は「事業者確認用」。医療機関等は事業者に「事業者確認用」を送り、システムを提供している事業者ごとに確認を求める |
| 事業者と契約していない場合 | 製品の売買契約だけで運用・保守の契約がないシステムは「事業者確認用」の確認は不要。ただし、そのシステムのセキュリティアップデートなどの責任は医療機関等が負う |
記入のしかたと点検の回数
| 場面 | 一次資料に書かれていること |
|---|---|
| 記入 | 各項目に「はい」か「いいえ」でマルをつけ、確認した日付を記入。「いいえ」のときは、令和８年度中の目標日を記入。紙でも電子でもよい |
| 事業者の回答 | 「はい」＝保守契約の範囲で事業者が対応済み。「いいえ」＝範囲内だが未対応（令和 8 年度中の対応目標日を記入）。「対象外」＝保守契約の範囲外で、その項目の責任は医療機関等が負う |
| 点検の回数 | 少なくとも年に１回は、チェックリストを用いた点検を行う |
| 立入検査 | 「医療機関・薬局確認用」「事業者確認用」のすべての項目に確認日と回答等が記入されていることを確認。２-①の台帳、３-①の連絡体制図、３-③の事業継続計画（BCP）、４-①の規程類は現物を確認するので、立入検査までに作る |
チェック項目（医療機関・薬局確認用）
| 分野 | 項目 |
|---|---|
| １ 体制構築 | ① 医療情報システム安全管理責任者を設置している |
| ２ 医療情報システムの管理・運用 | ① サーバ・端末・ネットワーク機器の台帳管理 ② リモートメンテナンス（保守）を使っている機器の有無を事業者に確認 ③ 事業者から医療情報セキュリティ開示書（MDS/SDS）を出してもらう ④ 職種・担当業務別のアクセス利用権限の設定 ⑤ 退職者などの不要なアカウントの削除・無効化 ⑥ セキュリティパッチの適用 ⑦ パスワードは英数字の混在した８文字以上（二要素認証を採用するまでの期間は 13 桁以上） ⑧ パスワードの使い回しの禁止 ⑨ USBストレージ等の接続の制限 ⑩ 不要なソフトウェア・サービスの停止 ⑪ アプリケーションログイン時の二要素認証（又は令和９年度以降初回のシステム更改時に実装予定） ⑫ OSログイン時の二要素認証（サーバ。同じく更改時に実装予定でもよい） ⑬ アクセスログの管理 ⑭ 接続元制限 |
| ３ インシデント発生に備えた対応 | ① 組織内と外部関係機関（事業者・厚生労働省・警察等）の連絡体制図 ② 診療を続けるために必要な情報を検討し、バックアップの実施と復旧手順を確認 ③ サイバー攻撃の想定を含む事業継続計画（BCP）の策定 |
| ４ 規程類の整備 | ① １～３のすべての項目について、具体的な実施方法を運用管理規程等に定めている |
BCPの策定には、同じページにある「サイバー攻撃を想定したBCP策定の確認表」・手引き・BCPのひな形（令和６年６月発出）が参考として示されています。
一次資料：医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル（PDF）／医療情報システムの安全管理に関するガイドラインのページ（チェックリスト・BCPの確認表を掲載）
病院・クリニックで確かめること
- 令和7年度版の「医療機関用」チェックリストを使っている場合は、令和８年６月の統合版に切り替えます。
- 電子カルテ・レセコン・画像システムなど、契約している事業者ごとに「事業者確認用」を送り、回収できているかを確かめます。「対象外」と回答された項目は、院内で責任を持つ項目です。
- 立入検査で現物を確認する4つ（機器の台帳、連絡体制図、BCP、運用管理規程等）がそろっているかを確かめます。
- 「いいえ」の項目には、令和８年度中の目標日を書いておきます。立入検査の進め方は、所在地の都道府県（保健所設置市・特別区）の案内をご確認ください。
関係する記事
書き方・要件の記事 神マナでできることこの記事に関係するページ
書類づくりの文例を、LINEでお届けしています
公式LINEで、サービス別の文例集（PDF）と書き方のコツ（週1回）をお送りしています。売り込みはしません・いつでも解除できます。
更新履歴：初版。チェックリストやマニュアルが改められたときは、この記事を更新します。
この記事の執筆・編集
介護のマナ編集部（株式会社ライフシフト）
介護記録AI「神マナ（介護のマナ）」を開発・提供する株式会社ライフシフトの編集部。訪問看護ステーションを運営する看護師（CSO）をはじめ、介護・看護の現場とともに、記録・書類・制度の実務情報を発信しています。
介護のマナ ／ SERVICE
あなたの事業所のサービスへ
記録・書類の作成をAIで自動化。利用者さま3名まで期限なく無料／カード登録不要
