クリニックのサイバーセキュリティ対策チェックリスト｜令和8年度版で立入検査までに揃える台帳と記録

「保健所の立入検査で、サイバーセキュリティのチェックリストを見せてくださいと言われた。電子カルテの業者に聞けば分かると思っていたけれど、機器の台帳も連絡体制図も院内にはない」——院長と事務長が、検査の日程が決まってから慌てて準備を始める場面は珍しくありません。

2026年6月29日、厚生労働省は「医療情報システムの安全管理に関するガイドライン第7.0版」の策定にあわせて、チェックリストを令和8年度版に改定しました。これまで「医療機関確認用」と「薬局確認用」に分かれていた様式は、項目が共通であることから1つに統合されています。チェックリストの冒頭には「立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」と書かれています。

先に、要点をまとめます。

• 医療法施行規則14条2項により、診療所の管理者はサイバーセキュリティを確保するために必要な措置を講じる義務があり、医療法25条の立入検査でその取り組みが確認される
• 立入検査では、チェックリストの全項目に確認日と回答が記入されているかを見るほか、機器台帳・連絡体制図・BCP・運用管理規程の4点は現物を確認する
• チェックリストの「はい」は、台帳や記録の裏付けがあって初めて説明できる。年1回の点検で、どの記録を見て「はい」と答えたかまで残しておくと、次の年の点検と検査の準備が短く済む

この記事は、電子カルテやレセコンを使っている無床のクリニック・歯科医院の院長、事務長、システムの窓口を担っている職員の方に向けて、チェックリストの各項目を「何の記録で示すか」に置き換えて整理します。自院のシステム構成でどこまで対策が必要かは、契約している事業者や、厚生労働省・都道府県の相談窓口に確認してください。

クリニックのサイバーセキュリティ対策は、法律でどう求められているのか？

医療法施行規則14条2項が、病院・診療所・助産所の管理者に、医療の提供に著しい支障を及ぼすおそれがないようサイバーセキュリティを確保する措置を求めています。その取り組みは、医療法25条1項の立入検査で確認されます。

条文は「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない」というものです（e-Gov法令検索 医療法施行規則）。何をすれば「必要な措置」になるかの目安として、厚生労働省は「医療情報システムの安全管理に関するガイドライン」と、その中から優先して取り組む項目を抜き出したチェックリストを示しています。

令和8年度版のチェックリストマニュアルは、立入検査について次のように説明しています（厚生労働省 チェックリストマニュアル（令和8年6月））。

• 立入検査では「医療機関・薬局確認用」と「事業者確認用」のすべての項目について、確認日と回答が記入されていることを確認する
• このうち2-①の台帳、3-①の連絡体制図、3-③の事業継続計画（BCP）、4-①の規程類は現物を確認するので、立入検査までに作成しておく
• 少なくとも年に1回は、チェックリストを用いた点検を実施する
• 医療機関等は、各事業者から「事業者確認用」を回収しておく

電子カルテの保守を業者に任せていても、チェックリストに記入して保管するのはクリニック側です。業者が対応している項目も、業者から回収した事業者確認用で示すことになります。

令和8年度版のチェックリストには、何が書かれているのか？

「体制構築」「医療情報システムの管理・運用」「インシデント発生に備えた対応」「規程類の整備」の4区分です。各項目に「はい・いいえ」と確認日を書き、「いいえ」の項目には令和8年度中の対応目標日を書きます。

医療機関・薬局確認用の項目を、記録との対応がわかるように整理すると次のとおりです（厚生労働省 チェックリスト（令和8年6月））。

事業者確認用は、保守契約の範囲に含まれる項目を事業者が「はい・いいえ・対象外」で答える様式です。「対象外」は保守契約の範囲外で、その項目の責任は医療機関側が負うとされています。マニュアルは、医療機関と直接の契約関係にない事業者は事業者確認用の作成が不要であり、事業者と契約していない医療機関には2-②と2-③の確認が求められないと説明しています。

クリニックのサイバーセキュリティ対策チェックリストの構造図。4区分（体制構築、管理・運用、インシデントへの備え、規程類の整備）の各項目と、立入検査で現物を確認する機器台帳・連絡体制図・BCP・運用管理規程の4点、事業者から回収する事業者確認用、年1回の点検の関係を示している。

立入検査で現物を見られる4つの書類は、何を書けばよいのか？

機器台帳には機器の所在・利用者・ソフトウェアのバージョン、連絡体制図には院内と事業者・警察・厚生労働省などの連絡先を書きます。BCPと運用管理規程は、1〜3の項目を「誰がいつ何をするか」に落とした文書です。

マニュアルが示す書き方の要点は次のとおりです。

• 機器台帳（2-①）: 台帳で管理する内容として「情報機器等の所在や利用者、ソフトウェアやサービスのバージョン」が挙げられ、例として管理番号・メーカー・OS・ソフトウェアとバージョン・IPアドレス・コンピュータ名・設置場所・利用者・登録日・状態の列が示されています。院内で保有するすべてのサーバ・端末・ネットワーク機器について台帳管理をしていれば「はい」とされます
• 連絡体制図（3-①）: 院内の連絡先に加え、事業者、情報セキュリティ事業者、外部有識者、都道府県警察の担当部署、厚生労働省などが明示されていることが想定されています
• BCP（3-③）: 非常時に業務を続けるかの判断基準や、続ける業務の選び方を決めた計画です。マニュアルは、BCPを作っていても実際には運用できず、バックアップが復旧できない事例も多く起きているとして、訓練の実施が望ましいとしています。厚生労働省は「サイバー攻撃を想定したBCP策定の確認表のための手引き」も公開しています（厚生労働省 医療情報システムの安全管理に関するガイドライン 第7.0版のページ）
• 運用管理規程（4-①）: 1〜3のすべての項目について、具体的な実施方法を定めます。マニュアルは例として、利用者ごとにアクセス権限を付与して定期的に操作ログを確認すること、異常時はBCPに従うこと、職員への定期的な研修を挙げています

バックアップ（3-②）について、マニュアルは重要なファイルを複数の方式で世代管理すること、3世代目以降はオフライン（物理的または論理的に書き込みできない状態）にするのが望ましいことを説明しています。「バックアップを取っている」だけでなく、「復旧手順を確かめた日」を記録しておくと、BCPの訓練の記録と一緒に示せます。

院内の誰が、どの項目を担当すればよいのか？

医療情報システム安全管理責任者を決め、台帳と利用者IDは事務の担当者、保守の範囲は事業者、規程とBCPは院長と責任者で分けるのが現実的です。担当を決めても、年1回の点検は責任者がまとめて行います。

マニュアルは、医療情報システム安全管理責任者について、経営層が就くことが望ましいが、規模によっては安全管理の実務を担う担当者（企画管理者）が兼ねることもあると説明しています。無床のクリニックでは、院長が責任者になり、事務長や受付のリーダーが台帳の更新を担う形がよく見られます。

項目ごとの担当を分けるときの目安です。

• 事務長・事務の担当者: 機器台帳、利用者ID台帳、職員の入退職にあわせたアカウントの発行と無効化
• 電子カルテ・レセコンの事業者: 保守契約に含まれる項目（パッチ適用、アクセスログ、接続元制限など）。事業者確認用で回答を回収する
• 院長・責任者: 連絡体制図、BCP、運用管理規程の承認と、年1回の点検の実施

困りやすいのは、項目の担当と記録の置き場所がずれる場合です。台帳は事務のExcel、事業者確認用は院長の机の書類、BCPは開業時に作ったWordのまま、という状態だと、立入検査の前に3か所を探して最新かどうかを確かめる作業が毎年発生します。

年1回の点検を、どの順番で仕組みにするか？

まず機器台帳と利用者ID台帳を作り、次に事業者確認用を回収し、その後に連絡体制図・BCP・規程を台帳の内容に合わせて見直します。点検の結果は、項目ごとに「根拠にした記録」とあわせて残します。

• 機器の棚卸し（1〜2週間）: 受付・診察室・レントゲン室・事務室にあるパソコン、サーバ、ルーター、無線LANの機器を数え、設置場所と利用者を台帳に書きます。医療機器につながる端末も含めます。
• 利用者IDの棚卸し（1週間）: 電子カルテ・レセコン・予約システムなど、システムごとに発行しているIDを一覧にし、退職者のIDや共用IDが残っていないかを確認します。管理者権限を持つIDを最低限にします。
• 事業者確認用の回収（2〜4週間）: 保守契約を結んでいる事業者ごとに事業者確認用を依頼し、「対象外」とされた項目を院内の担当に割り振ります。リモート保守をしている機器の有無とMDS/SDSもここで受け取ります。
• 連絡体制図・BCP・規程の見直し（2〜4週間）: 1〜3で分かった機器と事業者の情報を連絡体制図に反映し、BCPと運用管理規程の記述が実際の機器構成とずれていないかを確かめます。
• 年1回の点検と記録: チェックリストに確認日と回答を記入し、「いいえ」には対応目標日を書きます。点検した日、根拠にした台帳の版、次の点検予定日を残します。

医療安全の指針や研修の記録と同じく、サイバーセキュリティの対策も「やっている」を記録で示せる形にすることが要点です。医療安全の記録の整え方はクリニックの医療安全管理の記録、毎年8月の報告の段取りはクリニックの施設基準管理で整理しています。

Excelや既製ソフトとの違いは？

Excelの台帳でも始められますが、機器・ID・事業者の回答・点検結果が別々のファイルになりやすいのが難点です。資産管理ソフトは機器の把握に強い一方、チェックリストの項目と記録の対応や、職員の入退職との連動までは持たないことが多くあります。

機器が少なく、事業者の保守範囲が広いクリニックであれば、Excelの台帳と事業者確認用の回収で十分なこともあります。判断の分かれ目は、職員の入退職や機器の入れ替えのたびに、台帳とチェックリストが自動的に追いつく状態をつくりたいかどうかです。

私たちならクリニックのサイバーセキュリティ点検の記録をこう設計する

ここからは、クリニックからチェックリストの記録の仕組みづくりを依頼された場合に、私たちが叩き台として示す構成を書きます。台帳の列や画面の並びは、貴院の機器構成と事業者との保守契約の範囲を確かめてから確定させます。

データ設計: 機器台帳×利用者ID×事業者×点検回を「チェック項目」でつなぐ

土台は「機器台帳」「利用者ID台帳」「事業者マスタ」「点検回」の4つです。機器台帳には管理番号・種別（サーバ・端末・ネットワーク機器）・メーカー・OS・ソフトウェアとバージョン・設置場所・利用者・リモート保守の有無・保守する事業者・状態を持たせます。利用者ID台帳はシステムごとに1件で、職員名簿とひもづけ、権限の区分と管理者権限の有無を持たせます。事業者マスタには契約の範囲と、年度ごとの事業者確認用の受領日・MDS/SDSの受領日を持たせます。点検回は年度ごとに1件とし、その配下にチェックリストの項目ごとの回答・確認日・対応目標日・根拠にした記録（台帳の版、事業者確認用、BCPの版など）をぶら下げます。

情報の流れ: 事務が台帳を更新し、事業者が回答し、院長が点検で確定する

職員が入職したら、事務長が職員名簿に登録した時点で、発行が必要なIDの一覧がタスクとして作られます。退職の手続きでは、その職員にひもづくIDの無効化がタスクになり、無効化した日が利用者ID台帳に残ります。機器を入れ替えたら、事務の担当者が台帳の状態を「停止」に変え、新しい機器を登録します。事業者確認用は事業者ごとに依頼と受領の日付を記録し、「対象外」の項目は院内の担当者に割り振ります。年1回の点検では、院長がチェックリストの項目ごとに根拠の記録を見ながら回答を確定し、確定した時点の台帳の版を保存します。

AIの回答設計: 点検の前に「抜け」を会話で確認できるようにする

台帳と点検の記録を社内AIチャットの参照先にすると、事務長が台帳を1つずつ開かずに状況を確かめられます。たとえば事務長が「立入検査で現物を見られる書類のうち、今年度に見直していないものはありますか」と尋ねたとします。AIは点検回と文書の版を照合し、「連絡体制図は2025年4月版のままで、その後に保守事業者が1社変わっています。BCPは今年度の訓練記録がありません。機器台帳と運用管理規程は今年度に更新済みです」と、根拠の記録とともに返します。

もう1つの使い方が、入退職との突き合わせです。「先月退職した職員のIDで、まだ無効化していないものは？」と聞けば、職員名簿の退職日と利用者ID台帳の状態を照合して一覧で返します。AIの役割は記録の抜けを示すところまでで、対策の要否や、インシデントが起きたときの判断は院長と事業者が行います。

権限・運用ルール: 台帳そのものを守る

機器台帳にはIPアドレスや設置場所、リモート保守の有無が入ります。攻撃する側にとっても役立つ情報なので、閲覧は院長・事務長・システムの担当者に限り、受付や診療の画面からは見えないようにします。台帳と回答を直すときは元の値を消さず、変更日・変更者・理由を追記します。この記録の基盤自体は患者の診療情報を扱わない設計にし、電子カルテとはデータをつながない形から始めます。

既存環境との連携・移行: 電子カルテとレセコンには手を入れない

電子カルテやレセコンの設定や保守は、今の事業者との契約のまま変えません。基盤側で持つのは、機器・ID・事業者の回答・点検の記録だけです。初年度は事務のExcelにある機器の一覧を取り込み、利用者IDはシステムごとの一覧を事業者から受け取って登録します。

よりどころべーすのクリニック向けダッシュボードのデモ画面（サンプルデータ）。本日予約・待機患者・今月診療数のKPIカード、月次推移のグラフ、カルテ記録や保険請求処理、備品発注などの直近タスクが並び、左のメニューに予約管理・診療記録・処方箋管理・スタッフ・シフト・ファイル管理・AIチャット・ナレッジがある。

上の画面は、よりどころべーすのクリニック向けダッシュボードのデモ画面（サンプルデータ）です。予約・待機患者・診療数のKPIカードと、担当者別の直近タスクが並び、メニューにはスタッフ・シフトやファイル管理、AIチャット・ナレッジがあります。表示されている件数や氏名はデモ用のサンプル値で、実在の医療機関のものではありません。機器台帳とチェックリストの点検の画面は、このデモには含まれていません。実際の構築では、この「スタッフ×タスク×ファイル×AIナレッジ」の骨格の上に、上で書いた台帳と点検の記録を載せて作り込みます。

IT資産管理ソフトと事業者の保守を別々に使う場合、機器の情報はそろっても、職員の入退職とIDの無効化、事業者確認用の回収、点検で何を根拠に「はい」と答えたかは、別の場所に残りがちです。よりどころべーすはクリニック向けのパッケージを出発点に、足りない台帳だけを個別に開発して加える作り方をとります。そのため、スタッフ・シフトやタスク管理と同じ基盤の中に機器台帳と点検の記録を追加し、職員名簿の入退職とIDの無効化を同じ流れで扱えます。要件定義では、エンジニアが院長や事務長から「誰がどの機器を使い、どの業者が何を保守しているか」を直接聞き取ります。機器が十数台の診療所と、分院や複数の保守事業者を抱える医療法人とでは、最初に整える台帳が変わります。どこから始めるかは、現状を伺ったうえで一緒に決めます。

まずは受付と診察室にあるパソコンの台数と、それぞれに誰がログインしているかを書き出してみてください。書き出した一覧と、手元にあるチェックリストの回答を見比べると、根拠を示せない「はい」がどれかが分かります。チェックリストの記録の仕組みづくりについては、お問い合わせフォームからご相談ください。

まとめ｜チェックリストの「はい」を記録で示せる状態へ

令和8年度版のチェックリストは、医療機関用と薬局用が統合され、ガイドライン第7.0版にあわせて一部の項目が見直されました。押さえておきたいのは次の3点です。

• 立入検査では全項目の確認日と回答を確認し、機器台帳・連絡体制図・BCP・運用管理規程の4点は現物を確認する
• 保守を事業者に任せている項目も、事業者確認用を回収してクリニック側で保管する。「対象外」の項目は医療機関側の責任になる
• 年1回の点検で、項目ごとに根拠にした記録まで残しておくと、翌年の点検と検査の準備が台帳の更新だけで済む

クリニック向けの業務システムの全体像は、クリニック向けAI業務システムの詳細で紹介しています。

よくある質問

Q. 無床の小さなクリニックも、チェックリストの対象ですか？

A. 医療法施行規則14条2項は、病院・診療所・助産所の管理者を対象にしています。無床の診療所も含まれ、医療法25条1項の立入検査でサイバーセキュリティの取り組みが確認されます。

Q. 立入検査では、チェックリスト以外に何を見られますか？

A. 令和8年度版のマニュアルでは、全項目の確認日と回答の記入に加えて、2-①の機器台帳、3-①の連絡体制図、3-③のBCP、4-①の規程類は現物を確認するとしています。立入検査までに作成しておくよう求められています。

Q. 二要素認証は、いつまでに導入すればよいですか？

A. チェックリストの端末とサーバの二要素認証の項目は、「実装している」か「令和9年度以降初回のシステム更改時に実装予定である」かで「はい」とする書き方です。マニュアルは、導入には費用がかかるため計画的なシステム更新を推奨しています。

Q. 電子カルテの保守を業者に任せていれば、クリニック側の作業は不要ですか？

A. 不要にはなりません。保守契約の範囲の項目は事業者が事業者確認用で回答しますが、回収して保管するのはクリニックです。また、事業者確認用で「対象外」とされた項目は、医療機関側が責任を負うとされています。

Q. バックアップは何世代残せばよいですか？

A. マニュアルは、重要なファイルを複数の方式で世代管理することを求め、例として3世代以上の管理と、3世代目以降をオフライン（書き込みできない状態）にすることが望ましいと説明しています。復旧手順を確認した日も記録しておくと、BCPの訓練の記録とあわせて示せます。