医療情報の安全管理に関する指針の全体像は、3省2ガイドラインの解説で触れました。本稿では、その次に出てきやすい「うちは保守委託機関編を使ってよいのか」という疑問に絞ります。
結論から書くと、判断の起点は施設の規模ではありません。すべてのサーバのセキュリティアップデート（安全上の修正の適用）の責任を事業者へ委託し、その責任が契約書・約款・SLA（サービス水準の合意書）等に記載されているかどうかです。
保守委託機関編とは何か
厚生労働省は医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）を公開しています。保守委託機関編の冒頭では、専任のシステム担当者が不在の医療機関等では、システム運用編を含むガイドラインのすべてを詳細に理解して対応することが難しくなっている、という認識が示されています。
そこで同編は、医療機関等が自ら実施すべき遵守事項を端的にまとめ、管理者の役割を事業者の選定、契約内容の確認、導入や運用の管理監督に置いています。主に想定されているのは、システム運用担当者が不在で、経営管理と企画管理の部門が分かれていない小規模医療機関等です。ただし同編は、実際の対象は判断フローチャートで判断するよう求めています。
対象かどうかを判断する3つの確認
フローチャートの問いは「すべてのサーバのセキュリティアップデート責任を事業者に委託している」かどうかです。「YES」なら保守委託機関編へ、「NO」なら経営管理編・企画管理編・システム運用編へ進みます。私は、次の3つに分けて確かめるのが分かりやすいと考えています。
1. 「サーバ」に当たる機器をすべて挙げたか
ここでいうサーバは、医療情報の保存や主要な処理を担う機器です。PCやタブレットなどの端末は原則として含みません。ただし、電子カルテアプリ等を端末にインストールし、その機器上で処理が完結する場合は、そのPC等もサーバに含みます。「うちにサーバはない」と思っていても、受付や診察室のPCが該当する場合があります。
2. 委託されているのは「作業」か「責任」か
第7.0版のQ&A（令和8年9月）の保守委託機関編Q3は、事業者が更新を実施しているようでも、契約書に記載がなければ対象とは判断できないとしています。
3. 責任の所在が文書で読み取れるか
事業者が責任を負うことが、契約書や約款、サービスレベル合意書等に記載されている場合にのみ「YES」を選べます。記載がない場合や不明確な場合は、医療機関側の責任となっている可能性があるとされています。不明確なら事業者に直接確認し、責任の所在を書面等で明確にします。
なお、同Q2は、規模だけで判断するものではないと答えています。一方で、事業者に委託せず自らシステムを構築して利用する場合は同編の対象とならず、システム運用編の遵守事項を確認して自ら対策を講じることになります。
対象になっても、医療機関等に残ること
同編の対象になることは、任せきりでよいという意味ではありません。同編は、システム運用編で求められる項目について、MDS/SDS（製品やサービスの安全対策を事業者が開示する資料）等で事業者の対応を確認し、管理することで、実施しているものとみなすとしています。この扱いの範囲を超えて、次のような事項は医療機関等の側に残ります。
- 医療情報システム安全管理責任者の設置（院長等の経営層が担うことも想定されています）
- 規程類の整備、職員への教育・訓練、非常時の業務継続計画（BCP）
- 職種や業務に応じたアクセス権限の設定、退職者や未使用のアカウントの削除または無効化
- サーバルーム等への入退室管理、離席時の画面ロック、記録媒体の保管ルール
- 端末やネットワーク機器の脆弱性対応（事業者に委託する場合は、委託内容と範囲の明確化）
- 年次などの頻度での、安全対策の運用状況の点検
認証についても期限が示されています。クライアント端末のアプリケーションログインには、令和9年度までに二要素認証（パスワードに別の要素を加える認証）を採用するものとされ、院内にオンプレミスのサーバがある場合はOSのログインも同様です。対応が困難な場合は、令和9年度以降のシステム更新時に対応可能な事業者を選定します。
インシデントの場面も同じです。Q&Aの経営管理編Q5は、事業者任せにはできず医療機関等も対応責任を負うとしています。医療機関等は患者への説明と善後策を担い、事業者は技術的な原因調査と対策に協力します。あわせて、早急に厚生労働省、都道府県警察、その他所管官庁等へ報告することが求められています。
MDS/SDSは「導入時に1回」では足りない
同編は、システムの導入時に事業者へMDS/SDSの提出を求め、別紙の項目が「はい」または「対象外」であることの確認を求めています。Q&Aの保守委託機関編には、次の整理があります。
- 提出してもらえない場合（Q5）: 契約書や製品仕様、事業者への問い合わせで別紙の項目を確認します。
- 「いいえ」がある場合（Q6）: 原則としてすべて「はい」または「対象外」の事業者を選定します。「いいえ」がある事業者を選ぶ場合は、不足する対策や代替措置を検討し、リスクを医療機関等の責任で評価して導入の可否を判断します。
- 導入後（Q7）: 製品の更新やサービス内容の変更、ガイドラインの更新で状況は変わるため、導入時の一度きりにせず確認します。
本文では、「いいえ」を含む事業者を選ぶ場合や約款に十分な記載がない場合について、立入検査や監査の際に適切に説明できる状態にすることも求めています。
医師・開発者としての見方
私は、この判断の核心は「誰かがやってくれているはず」を文書で確かめ直すことだと考えています。臨床でも、指示を出したことと実施されたことは分けて確認します。更新の責任も同じで、更新が行われているように見えることと、責任の所在が取り決められていることは別の事実です。
開発者の立場からは、「はい」の申告は確認の出発点であり、個々の環境での動作を実測した結果ではないとも考えています。同編は、契約書やSLAでも「非常時の対応は協議において決定する」といった一般的な記載に留まり、適切に対応できないケースがあると指摘しています。複数の事業者と契約している場合は、事業者どうしが互いのサービスを知り得ないため、医療機関側で整理を依頼する必要があるともしています。全体を見渡せるのは医療機関等だけ、という場面があることになります。
AIなどの新しいサービスを足すときも、サーバや委託先が増えていないかを確かめる必要があると私は考えています。一度「YES」と判断しても、その後の追加で前提が崩れることがあるためです。
医療現場と企業の健康管理への示唆
医療機関等では、まず次の順序で確認すると進めやすいと考えています。
- 導入しているシステム、委託先、製品名、委託業務の概要を一覧にする（同編に例があります）
- 端末で処理が完結するものを含め、サーバに当たる機器を洗い出す
- 契約書・約款・SLAで、更新の責任の記載を機器やサービスごとに確かめる
- 不明な点を事業者に確認し、書面等で明確にする（Q&Aの企画管理編Q11は、誰が何をどのタイミングで行うかの文書化を求めています）
- MDS/SDSを取り寄せ、別紙と照らし合わせて、確認の時期を決める
企業の健康管理部門については、このガイドラインが直接当てはまるかどうかは、扱う情報や組織の形態によって確認が必要です。ただ、健診データなどを外部のサービスに委ねる場面では、「作業」と「責任」を分け、責任の所在を文書で確かめるという考え方は参考になると考えています。
判断に迷う点は、まず契約先の事業者に確認することが同編の求める手順です。そのうえで、院内の整理の進め方などについて、ご不明な点があればお気軽にご相談ください。
この記事は note でも発信しています。