はじめに

2026年6月、厚生労働省は「医療情報システムの安全管理に関するガイドライン 第7.0版」を公表しました。医療機関におけるサイバー攻撃被害が増加する中、本ガイドラインは医療情報システムの安全管理における重要な指針として位置づけられています。

第7.0版は単なる技術要件の追加ではありません。

今回の改定では、「対策を導入しているか」だけではなく、「適切に運用できているか」「説明できる状態になっているか」が強く求められる内容となっています。

医療情報システムの安全管理に関するガイドライン 第7.0版の概説

医療情報システムの安全管理に関するガイドライン 第7.0版の特徴は以下の通りです。

• 遵守事項の具体化（「何をやるか」→「どこで・どうやるか」へ）
• 技術対策と運用対策の一体化
• 医療機関だけでなく委託先を含めた責任分界の明確化
• サイバー攻撃を前提とした現実的対策

従来以上に、「導入していること」ではなく「実装できているか／説明できるか／計画がされているか」が問われる設計となっています。

第7.0版で何が変わったのか

第7.0版は、第6.1版（案）で提示された内容をベースにしつつ、パブリックコメントを踏まえて実務レベルでの具体化・整理が進んだ改定と位置付けられます。

主な変更点は以下の通りです。

医療機関に求められる対応

経過措置とスケジュール

二要素認証などは、令和9年（2027年）4月1日時点で稼働が想定されるシステムを新規導入・更新する際に遵守する建付けですが、以下の経過措置も整理されています。

• 令和9年度時点で未対応の場合 → 次期システム更新まで猶予
• 暫定措置（単一要素の場合）→ 「13桁以上のパスワード」を使用

重要なのは、「経過措置があるから未対応でも良い」のではなく、「対応計画を説明できること」が条件になった点です。

医療機関に求められる対応

1. 自院の立ち位置の判定（サーバー保守が自前か、全面的に外部委託か）
2. ベンダーへの確認（ガイドライン改定への対応状況、責任分界の整理）
3. 二要素認証導入の方針策定と対象範囲の整理（端末・サーバ・リモート保守）
4. 未対応部分の対応計画（いつ・どの更新で実施するか）の明文化
5. パスワードポリシーの見直し（使い回し禁止・アカウントロック）

まとめ

第7.0版は、医療機関とベンダーの責任分界を明確にし、サイバー攻撃を前提とした現実的な対策へと舵を切った改定です。即時の全面対応は求められませんが、次期システム更改の計画に組み込むことが不可欠です。
特に二要素認証は導入有無ではなく、適用範囲・実装方法・計画の説明が問われる領域となりました。

次回は、今回の改定で特に注目されている「二要素認証」について詳しく解説します。

関連記事

第１回：改定のポイントと医療機関に求められる対応（今回）

第２回：二要素認証はどう対応する？ガイドライン第7.0版が求める実装要件を解説（近日公開予定）

第３回：ガイドライン第7.0版への対応を支援　ARCACLAVISによる二要素認証ソリューション（近日公開予定）