サイバーセキュリティは管理者の義務、立入検査でも確認

クラウド型の生成AIサービスや、院外のサーバーで動く解析ツールを使う病院が増えています。クラウド型AIを病院で使う前にでは、こうしたサービスを使うときに参照すべき「医療情報システムの安全管理に関するガイドライン」を取り上げました。実はこのガイドラインへの対応は、単なる推奨にとどまりません。2023年の法改正により、サイバーセキュリティの確保は病院・診療所の管理者が守るべき法律上の義務になっており、毎年の立入検査でも確認される項目になっています。医事課・総務・情報システム担当者が押さえておきたい点を整理します。

医療法施行規則の改正で「義務」になった

厚生労働省は2023年(令和5年)3月10日、医療法施行規則の一部を改正する省令(令和5年厚生労働省令第20号)を公布し、同年4月1日から施行しました。この改正により、医療法施行規則第14条に第2項が新設され、「病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティ(サイバーセキュリティ基本法第2条に規定するサイバーセキュリティをいう。)を確保するために必要な措置を講じなければならない。」と定められました。これは医療法第17条に基づく、医療機関の管理者が遵守すべき具体的事項の一つです。厚生労働省の通知によれば、改正の背景には、医療機関を狙ったサイバー攻撃の増加により診療が停止した事例や、患者の個人情報が窃取される被害が生じたことがあるとされています。

「必要な措置」の中身はガイドラインとチェックリストで示される

施行規則の条文自体は「必要な措置を講じなければならない」という抽象的な書き方で、具体的に何をすべきかは定めていません。厚生労働省の通知は、この「必要な措置」として、最新の「医療情報システムの安全管理に関するガイドライン」を参照したうえで、サイバー攻撃への対策を含むセキュリティ対策全般に適切に対応するよう求めています。さらに、ガイドラインの中でも優先的に取り組むべき事項をまとめた「医療機関におけるサイバーセキュリティ対策チェックリスト」とその解説マニュアルが別途公表されており、最新版は令和7年度版です(令和7年5月14日付け通知)。自院の対応状況を確認する際は、まずこのチェックリストに目を通すのが実務的な出発点になります。

立入検査でも確認される項目に

医療法第25条第1項は、都道府県知事などが病院・診療所に立入検査を行えると定めています。厚生労働省が毎年度発出する立入検査の実施通知には、確認すべき項目が列挙されますが、令和8年度(2026年度)の通知には「サイバーセキュリティの確保について」という項目が明記されました。そこでは、2023年の施行規則改正の経緯を踏まえ、最新の安全管理ガイドラインを参照した対応を行っているか、またガイドラインの中でも優先事項をまとめたチェックリストとマニュアルを活用して必要な対策が取られているかを確認するよう、検査担当者に指示しています。つまり、サイバーセキュリティ対策は「余裕があれば整えるもの」ではなく、毎年実施されうる立入検査で実際に確認される項目になっているということです。

医事課・情報システム担当者が確認したいこと

まず、最新版のチェックリストとマニュアルを一度入手し、自院の対応状況と突き合わせることです。次に、立入検査で説明を求められた際に提示できるよう、対策の実施状況を文書やログで残しておくことです。チェックリストやガイドラインは適宜改定されるため、常に最新版を確認する担当を決めておくことも実務上重要です。また、生成AIやクラウド型AIサービスを新たに導入する場合も、この施行規則上の義務とガイドラインの枠組みの中で検討する必要がある点は、従来の院内システムと変わりません。

まとめ

• 2023年4月1日施行の医療法施行規則第14条第2項により、病院・診療所・助産所の管理者はサイバーセキュリティ確保の措置を講じる法的義務を負っています。
• 「必要な措置」の具体的な中身は、最新の「医療情報システムの安全管理に関するガイドライン」と「医療機関におけるサイバーセキュリティ対策チェックリスト」(最新は令和7年度版)で示されています。
• 令和8年度の立入検査実施通知には「サイバーセキュリティの確保について」という確認項目が明記されており、医療法第25条第1項に基づく立入検査で実際に確認されます。
• AI・クラウドサービスを新たに導入する場合も、この法的義務とガイドラインの枠組みの中で安全管理を検討する必要があります。

出典: 医療法施行規則の一部を改正する省令について(産情発0310第2号、令和5年3月10日付け厚生労働省大臣官房医薬産業振興・医療情報審議官通知) ／ 令和8年度の医療法第25条第1項の規定に基づく立入検査の実施について(医政発0612第10号、令和8年6月12日付け厚生労働省医政局長通知)

本サイトのコンテンツは一般的な情報提供および研究・教育を目的としたものであり、特定の患者に対する医学的診断や助言に代わるものではありません。