その立入検査、サイバーセキュリティ対策は指摘されませんか？医療機関に義務化された安全管理体制
和田 一宏こんにちは。柏市の行政書士だいち法務事務所です。
「サイバーセキュリティ対策と言われても、うちは小さな診療所だから関係ない」——そう思われている先生もいらっしゃるかもしれません。しかし医療法施行規則の改正により、病院・診療所・助産所は、規模を問わずサイバーセキュリティ確保のための体制整備が義務付けられているとされています。
この記事の結論
- 医療法施行規則の改正により、病院・診療所・助産所には、サイバーセキュリティ確保のための措置を講じることが求められているとされています。
- 具体的には、医療情報システム安全管理責任者の配置と、職員への年1回程度の定期的なセキュリティ研修が主な要件とされています。
- 保健所等の立入検査では、こうした取り組みの実施状況が確認事項の一つになっているとされ、令和8年度版のチェックリストも公表されているとされています。
なぜ「うちは小さいから関係ない」が通用しないのか
電子カルテやレセプトコンピュータなど、医療情報システムを扱う以上、病院に限らず診療所・助産所も、ランサムウェア等のサイバー攻撃の標的になり得るとされています。実際、規模の小さい診療所がランサムウェア被害に遭い、診療に支障が出た事例も報じられているとされています。こうした背景から、医療法施行規則の改正により、規模を問わずサイバーセキュリティ確保の措置が求められることになったとされています。
求められる主な対応、2つのポイント
具体的に求められているとされる主な対応は、次の2点です。
- 医療情報システムの安全管理を担う「医療情報システム安全管理責任者」を配置すること
- その責任者が中心となって、職員に対する年1回程度の定期的なセキュリティ研修を実施すること
専任のIT担当者を置くという大掛かりな話ではなく、既存の職員の中から責任者を定め、最低限の体制を整えることが出発点とされています。
立入検査でも確認される時代に
保健所等が行う医療機関への立入検査では、サイバーセキュリティ確保のための取り組みが行われているかどうかが、確認事項の一つになっているとされています。令和8年度版(ガイドライン第7.0版対応)のチェックリストが公表されており、医療機関用・薬局用が統合された形式になっているとされています。「言われて初めて何も準備していないと気づいた」という事態を避けるため、早めに自院の対応状況を確認しておくことが望ましいと考えられます。
確認しておきたいポイント
- ☐ 医療情報システム安全管理責任者を誰にするか、決めているか
- ☐ 直近1年以内に、職員向けのセキュリティ研修を実施したか(実施記録は残っているか)
- ☐ 電子カルテ・レセコン等のバックアップ体制を確認しているか
- ☐ 令和8年度版のチェックリストを一度確認し、自院の対応状況と照らし合わせたか
Q1. 紙カルテのみのクリニックでも対象になりますか？
A. 医療情報システムを利用していない場合の取扱いは個別に確認が必要とされていますが、レセプトコンピュータ等、何らかの電子的なシステムを利用している医療機関の多くは対象になり得ると考えられます。詳細は保健所等にご確認いただくことをおすすめします。
Q2. セキュリティ研修は外部業者に頼まないといけませんか？
A. 必ずしも外部業者への依頼が必須とされているわけではないとされています。厚生労働省やIPA(情報処理推進機構)等が公表している資料を活用した院内研修でも対応できる場合があると考えられます。
ワンポイントアドバイス:まずは「安全管理責任者を決める」「年1回の研修日を決めてカレンダーに入れる」という2点から始めると、体制づくりのハードルが下がります。院内規程の整備については、当事務所にもご相談いただけます。
まとめ
医療法施行規則の改正により、病院・診療所・助産所には規模を問わずサイバーセキュリティ確保のための措置が求められているとされています。医療情報システム安全管理責任者の配置と定期研修の実施が主な対応であり、立入検査でも確認事項になっているとされるため、早めの体制整備が望まれます。
ここまでが全体像です。ただし実務では、利用しているシステムの種類や院内体制によって確認すべき点が異なります。この段階でのご相談でも構いません。
※システムの技術的な設定・導入は専門のIT事業者、労務管理に関するご相談は社会保険労務士にご相談いただくことをおすすめします。
