2026年6月29日、厚生労働省は「医療情報システムの安全管理に関するガイドライン第7.0版」を正式に発出しました。今回の改定では、二要素認証の対象明確化や、専任のシステム担当者がいない医療機関向けの「保守委託機関編」の新設など、遠隔画像診断サービスを利用する医療機関にとっても実務に直結する見直しが含まれています。ここでは、遠隔画像診断に関わる変更点と、自院の規模に応じた対応の考え方を解説します。
「医療情報システムの安全管理に関するガイドライン」は、医療機関等が医療情報を安全に管理するために厚生労働省が定める指針です。2005年3月の初版策定以降、技術の進展や制度改定にあわせて数度の改定を重ねており、第7.0版は2026年6月29日付で正式に発出されました。今回の改定からは、根拠法として「サイバーセキュリティ基本法」が新たに追加され、政府が重要インフラと位置づける分野に対するサイバーセキュリティの安全基準等策定指針との整合性が確保されています。
第7.0版は、「概説編」「経営管理編」「企画管理編」「システム運用編」「保守委託機関編」の5編で構成されており、読者の立場（経営層・企画管理者・システム運用担当者など）によって参照すべき編が分かれる作りになっています。
第7.0版では、医療情報の保存や主要な処理を担う「サーバー」への二要素（多要素）認証の対応が求められる一方、原則としてPCやタブレットなどのクライアント端末は対象外とされています。ただし、電子カルテアプリなどを端末にインストールし、その端末上で処理が完結する場合には、当該端末も「サーバー」に含まれる点に注意が必要です。遠隔画像診断で用いる読影端末や画像送信用の専用端末が、この「サーバー」の定義に該当するかどうかは、事業者と協議のうえで確認しておく必要があります。
この対応の期限について、令和9年4月1日時点で対応が困難な医療機関等については、次期システム改修時での対応を許容する整理が示されています。自院のシステム更改のタイミングと照らし合わせ、いつまでにどこまで対応するかを事業者と確認しておくとよいでしょう。
従来推奨されてきた「パスワードの定期的な変更」は、セキュリティ強化への効果が限定的とされ、第7.0版では要件から削除されました。その代わりに、パスワードの使い回し禁止や、一定回数のログイン失敗によるアカウントロックの導入、退職者アカウントなど不要なアカウントの定期的な削除といった運用面の対策が求められています。
今回の改定で新設された「保守委託機関編」は、すべてのサーバーのセキュリティアップデートを事業者に委託できている医療機関等を対象としています。この要件を満たす医療機関等は、「概説編」と「保守委託機関編」の2つに対応することで、ガイドライン全体を遵守しているものとみなされます。想定されているのは、専任のシステム担当者が配置されておらず、経営層と企画管理者の役割が分かれていないことが多い小規模な医療機関等です。
ただし、この「みなし適用」が成立するのは、事業者がセキュリティアップデートの責任を負うことが、契約書や約款、SLAに明記されている場合に限られます。記載がない、または内容が不明確な場合は医療機関側の責任として扱われる可能性があるため、契約内容を必ず事業者に直接確認することが求められています。遠隔画像診断サービスをクラウド型（SaaS型）で利用している場合、この保守委託機関編の対象に該当しやすい構成であるとされていますが、実際の契約内容次第である点は変わりません。
遠隔画像診断サービスには、専用端末を院内に設置する「オンプレミス型」と、インターネット経由で利用する「クラウド型（SaaS型）」があります。第7.0版が示す考え方を踏まえると、それぞれ次のような傾向があります。
| 比較項目 | オンプレミス型 | クラウド型（SaaS型） |
|---|---|---|
| 二要素認証への対応 | 機器ごとの改修が必要になりやすい | 事業者側のアップデートで対応される場合が多い |
| 保守委託機関編の適用 | 契約内容次第（明記が必要） | 事業者委託の構成と親和性が高い |
| セキュリティアップデート | 保守契約に基づき個別対応 | 事業者側で継続的に適用されやすい |
いずれの方式であっても、「事業者がどこまでの責任を負うか」が契約書に明記されているかどうかが、ガイドライン適合の判断における共通の前提になります。方式そのものよりも、契約内容の明確さを優先して確認しましょう。
まずは、①院内の電子カルテ・PACS・遠隔画像診断システムについて、二要素認証の対応状況と、各機器が「サーバー」に該当するかどうかを棚卸しする、②利用中の事業者・これから契約する事業者に対してMDS/SDSまたはサービス仕様適合開示書の提出を求める、③保守委託機関編の適用を想定する場合は、事業者側のセキュリティアップデート責任が契約書に明記されているかを確認する、という3つから着手するとよいでしょう。
医療情報システムの安全管理ガイドライン第7.0版は、専任のIT担当者がいない医療機関でも対応しやすいよう、事業者への委託を前提とした枠組みが整備された改定です。遠隔画像診断サービスを利用・検討する際は、二要素認証の対応状況と、契約書における責任分界の明記という2点を軸に、自院に合った体制を整えていきましょう。
読影の見落としを防ぐためには？
患者に正しい診断結果を届ける
読影専門メディアを見る
※外部サイトに飛びます。
重要所見を見落とす主な原因と防ぐ方法を解説しているほか、遠隔画像診断サービスにより重要所見を拾い上げられた事例を掲載しています。
一般社団法人遠隔画像診断サービス連合会（ATS）に所属する企業委託型の遠隔画像診断サービスを対象として調査を実施（※1）。遠隔画像診断サービス選びにおいて欠かせない「品質・信頼性」「セキュリティ」「対応時間」という3つのポイント別に、おすすめの遠隔画像診断サービス提供企業を紹介しています。
部位・スライス加算がないため
質の高い診断で人手不足を補う。
診断結果へのアフターフォローも充実。
初期・月額費用も0円。
保健医療分野のPマーク取得企業(※2)
東西のデータセンターにて画像を保管
読影依頼・当日返却の要望に
24時間365日対応できる体制を構築
調査時期：2022年11月～12月時点／下記条件に沿って調査・選定
調査対象：一般社団法人遠隔画像診断サービス連合会（ATS）に所属する正会員55社のうち、公式HPにて遠隔画像診断サービスの詳細を確認できた27社（病院連携型を除く）
【選定条件】
(1)品質・信頼性：調査対象の中で、二次読影とレポートチェックを実施しており、登録読影医の個別情報（経験年数・資格・領域等）を唯一公開していたワイズ・リーディング
(2)セキュリティ：調査対象の中で、保健医療分野のプライバシーマーク（MEDIS）取得情報と、データセンターの多重拠点化情報（災害対策）を唯一確認できたセコム医療システム
(3)対応時間：調査対象の中で唯一、遠隔画像診断の依頼受付・当日返却を24時間・365日体制で実施している情報を確認できたドクターネット