サイバーセキュリティ対策チェックリストと遠隔画像診断

医療機関のサイバーセキュリティ対策は、医療法第25条第1項に基づく立入検査（医療監視）で確認される項目のひとつです。2026年（令和8年）には、医療情報システムの安全管理に関するガイドライン第7.0版の策定を踏まえた令和8年度版のチェックリストが公表されました。ここでは、遠隔画像診断サービスを外部に委託している医療機関が、このチェックリストのどの項目について事業者に確認を取る必要があるのかを整理します。

令和8年度版サイバーセキュリティ対策チェックリストとは

チェックリストは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」のうち、医療機関等がまず優先的に取り組むべき事項を抜き出してまとめたものです。ガイドライン本体が5編構成の詳細な指針であるのに対し、チェックリストは「最低限ここまで」を示す位置づけといえます。

令和8年度版では、ガイドライン第7.0版の策定を踏まえて項目の見直しが行われました。あわせて、従来は「医療機関確認用」と「薬局確認用」に分かれていたものが、項目が共通であることから統合され、「医療機関・薬局確認用」と「事業者確認用」の2種類の構成になっています。医療機関・薬局確認用は、体制構築・管理運用・インシデント対応・規程類の整備の4分類で構成されています。

マニュアルには、立入検査での取り扱いについても明記されています。両方のチェックリストのすべての項目に確認日と回答が記入されていることが確認され、このうち機器の台帳、インシデント発生時の連絡体制図、サイバー攻撃の想定を含むBCP、運用管理規程等の4点については書類の現物が確認されます。また、アクセスログについても立入検査の際に直接確認する可能性があるとされています。

医療情報システム安全管理
ガイドライン第7.0版についての詳細

遠隔画像診断を委託している場合、どの項目が関係するか

マニュアルには、複数の医療情報システムを利用している場合、システムを提供している事業者ごとに確認を求めるよう記載されています。遠隔画像診断システムを外部の事業者から提供を受けている場合、その事業者に対しても事業者確認用チェックリストへの記入を求めることが想定されます。

ただし、ここでいう「事業者と契約している」とは、運用または管理・保守に関する契約等がある場合を指し、製品購入の売買契約のみの場合は「契約していない」扱いとされています。また、医療機関等と直接の契約関係にない事業者については、事業者確認用の作成は不要とされています。自院の遠隔画像診断サービスがどちらに該当するかは契約内容によるため、事業者に直接確認するのが確実です。

遠隔画像診断を委託している医療機関が、特に事業者との確認が必要になりやすい項目は次の通りです。

マニュアルでは、リモートメンテナンスに用いる外部接続点からのサイバー攻撃が相次いでおり、医療機関側が接続点を把握しきれていないことが要因のひとつと指摘されています。遠隔画像診断は院外との通信を前提とするサービスであるため、この点は特に確認しておきたい項目です。

事業者確認用チェックリストの読み方——「対象外」が意味すること

事業者確認用チェックリストには、医療機関・薬局確認用にはない「対象外」という選択肢があります。この3択の意味は、マニュアルに次のように定義されています。

保守契約でカバーされていて、かつ事業者側がすでに対応済みの項目には「はい」がつきます。契約の対象ではあるものの、事業者側の対応がまだ終わっていない項目には「いいえ」がつき、あわせて対応予定の時期が記入されます。そしてそもそも保守契約の範囲に含まれていない項目には「対象外」がつき、この場合は医療機関側がその項目の責任を引き受けることになります。

つまり、事業者から返ってきたチェックリストに「対象外」が付いている項目は、その分の責任が自院側に残っているということです。マニュアルでも、事業者側から医療機関等に対して責任分界の認識に齟齬がないか必ず確認するよう求められています。回収して保管するだけでなく、「対象外」の項目について自院で何をすべきかを把握しておく必要があります。

なお、事業者と保守契約を結んでいない場合、医療機関・薬局確認用のリモートメンテナンスの確認とMDS/SDSの提出に関する項目については記入が求められません。ただしその場合、医療情報システムの保守管理の責任は医療機関側が負うことになる点に留意が必要です。

遠隔画像診断サービスの
委託契約チェックポイントについての詳細

二要素認証の項目にどう答えるか

二要素認証に関する項目は、「実装している。または令和9年度以降初回のシステム更改時に実装予定である」という選択肢になっています。ガイドラインでは令和9年度時点で稼働している医療情報システムを新規導入・更新する際に二要素認証を採用したシステムの導入、またはこれに相当する対応を求めており、導入や改修には一定程度の費用が見込まれるため計画的なシステム更新が推奨されています。

サーバのOSログインについては、大規模な院内ネットワークの再構築が必要になる場合があることから、一定の条件を満たせば二要素認証を実装しているものとみなす「みなし措置」が示されています。踏み台端末経由の接続に限定したうえで踏み台端末側に二要素認証を実装する方式などが例示されており、医療機関等の外部からの接続をVPN経由に限定する構成もそのひとつに挙げられています。遠隔画像診断でVPN接続を利用している場合は、この構成が該当しうるかを事業者と確認しておくとよいでしょう。

なお、医療機器に対する二要素認証の導入については、ガイドライン第7.0版への改定時には改変が見送られています。ただし今後求められていく方向性に変わりはないとされているため、最新のガイドラインの内容に留意して対応することが求められます。

年1回の点検として運用に組み込む

マニュアルでは、少なくとも年に1回はチェックリストを用いた点検を実施することとされています。また、医療機関・薬局確認用については、令和8年度中にすべての項目で「はい」にマルが付くよう、事業者と連携して取り組むことが求められています。「いいえ」の項目には令和8年度中の対応目標日を記入します。

遠隔画像診断サービスの導入や更新を検討している段階であれば、事業者選定の際に、事業者確認用チェックリストへの記入とMDS/SDSの提出に応じてもらえるかをあらかじめ確認しておくことで、導入後の点検作業がスムーズになります。

遠隔画像診断サービスの
セキュリティについての詳細

まとめ

令和8年度版のサイバーセキュリティ対策チェックリストは、遠隔画像診断サービスを委託している医療機関にとって、事業者との責任分界を書面で確認する機会にもなります。事業者確認用チェックリストを回収し、「対象外」とされた項目について自院の対応を整理しておくことが、立入検査への備えと、実効性のあるセキュリティ対策の両方につながります。

遠隔画像診断サービス
おすすめ3選を見る

読影の見落としを防ぐためには？
患者に正しい診断結果を届ける
読影専門メディアを見る

※外部サイトに飛びます。