訪問診療や訪問看護では、電子カルテを入れたタブレットやスマートフォン、紙の指示書や同意書を毎日のように院外へ持ち出します。院内で完結する外来とは事故の起き方が違うため、ガイドラインのどこが自分たちに関係するのかが見えにくくなりがちです。この記事では、厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版（令和8年6月）のうち在宅医療に関係の深い項目を、個人情報保護法の要件とあわせて事務長・医事担当・管理者向けに整理します。
この記事でわかること
- 第7.0版で変わった点と、クラウド型電子カルテで「保守委託機関編」を使えるかの判定
- 訪問先への端末の持ち出し、私物端末、チャットツール、紙書類の扱い方
- 端末を紛失したときの初動と、漏えい等報告の期限
- 二要素認証とパスワードの要件、サイバー攻撃を想定したBCPとバックアップ
- 立入検査で確認されるチェックリスト（令和8年度版）と、現物を見られる書類
第7.0版の要点と、自院がどの編を読むべきか
ガイドラインは令和5年5月の第6.0版以来の改定で、令和8年6月に第7.0版が公表されました（通知は令和8年6月29日付け産情発0629第1号）。概説編・経営管理編・企画管理編・システム運用編に、新たに「保守委託機関編」が加わった5編構成で、Q&Aは令和8年9月版が掲載されています。対象の「医療機関等」には訪問看護ステーションや介護事業者も含まれ（概説編2.1）、対象文書は法定の保存義務の有無を問いません（同2.2）。
| 改定点 | 第7.0版の内容 | 在宅医療で確認すること |
|---|---|---|
| パスワード | 使い回しの禁止とアカウントロックを追記。「定期的な変更」の要件は削除 | 訪問用端末とクラウドサービスで同じパスワードを使っていないか |
| 二要素認証 | 端末はアプリケーションのログイン時、サーバはOSのログイン時に実装することを明確化。令和9年4月1日時点で困難な場合は次期システム改修での対応を許容 | 次の更改時期と、その時に対応できる製品・契約か |
| 保守委託機関編 | すべてのサーバのセキュリティアップデートを事業者に委託（クラウド利用を含む）していれば、この編の遵守で他の編も遵守とみなす | 契約書・約款・SLA（サービスレベル合意書）に事業者の責任が書かれているか |
| クラウド・委託先 | クラウドサービスの積極活用、事業者との役割分担、サプライチェーンリスクを追記 | 事業者からMDS/SDS（医療情報セキュリティ開示書）を受け取っているか |
保守委託機関編を使えるかの判定
概説編のフローチャートで「すべてのサーバのセキュリティアップデート責任を事業者に委託している」に「YES」と答えられれば、概説編と保守委託機関編への対応でガイドラインを遵守しているとみなされます。判定で迷いやすいのは次の点です。
- 事業者の責任が契約書・約款・SLA等に記載されている場合にのみ「YES」。実際に更新していても記載がなければ対象と判断できません（保守委託機関編Q&A Q3）。
- 「サーバ」は医療情報の保存や主要な処理を担う機器です。PCやタブレットは原則含みませんが、電子カルテアプリを端末にインストールし端末上で処理が完結する場合は含まれます。
在宅医療の診療所では、電子カルテはクラウドでも、レセプトコンピュータや共有用のNAS（ネットワーク接続型の記憶装置）が院内に残っていることがよくあります。これらが医療情報を保存しているなら判定に入ると考えられ、その保守契約まで確かめないと「すべてのサーバ」とは言えません。
クラウドでも医療機関の責任は残ります。Q&A（企画管理編Q5）は、委託先のクラウド型電子カルテ事業者から漏えいした場合でも、医療機関等は管理主体として責任を負うとしています。事業者からMDS/SDSを提出してもらい、保守委託機関編の「別紙」の項目がすべて「はい」か「対象外」かを確認し、「対象外」は医療機関側で対応します（同Q17）。また、保守委託機関編の対象でも、持ち出し・破棄の規程、機器の台帳、盗難・紛失時の手順、私物端末の規程と台帳、不要アカウントの削除、端末の二要素認証、離席時の画面ロックは医療機関自身の遵守項目として残ります。
訪問先へのタブレット・スマートフォンの持ち出し
企画管理編8.2は、医療情報の持ち出しを3つの経路で考えるよう求めています。在宅医療では一日の訪問の中でこの3つが同時に起きます。
| 経路 | 在宅医療での例 | 規程で決めること |
|---|---|---|
| 記録媒体・情報機器（8.2.2） | 訪問用タブレット、スマートフォン、USBメモリ | 持ち出せる機器の限定、持ち出し時・持ち帰り時の手続 |
| ネットワークサービス（8.2.3） | クラウドストレージへの保存、メッセージアプリでの写真送信 | 企画管理者が承認したサービスだけを使える措置 |
| 外部からのアクセス（8.2.4） | 訪問先や自宅から電子カルテを閲覧・入力 | 認める条件と制限、技術的な対策 |
端末の要件はシステム運用編7章とQ&A（システム運用編Q14）に具体的に書かれています。訪問用端末のルールに落とすと、最低限次のとおりです。
- 起動時の認証を必須にし、医療情報が端末に残るなら記録媒体を暗号化、カルテを表示・編集するアプリの起動にもパスワード等を設定する
- 業務に不要なアプリを入れない・入れさせない。利用者に管理者権限を原則与えない
- 公衆無線LANを使った後に端末の安全性を確認する手順を決める
- 端末と可搬媒体の所在を台帳で管理し、定期的に棚卸しする
- 長時間離れるときの自動画面ロックを設定する（システム運用編12.3.2）
訪問先から院内システムに接続させる場合は、接続できる職員と権限を事前に決め、盗聴・なりすまし防止とアクセス管理を備えたVPN技術等で安全性を確保したうえで、仮想デスクトップ等を使う運用要件を設定します（システム運用編7章遵守事項⑬）。どこまで持ち出すかについて、Q&A（企画管理編Q27）は、医療情報を保存する機器は原則持ち出さず、必要性がリスクを上回る場合に限って承認と防護措置を講じ、必要性・残存リスク・承認者・期限を記録するよう求めています。患家では家族などが近くにいるため、画面ののぞき見防止も組み合わせます（同Q30）。
居宅同意取得型のオンライン資格確認でモバイル端末を持参する場合も、同じルールで管理するのが筋です（仕組みは在宅医療の医療DX：居宅同意取得型オンライン資格確認と令和8年度改定の加算）。また、ウェアラブル端末や在宅設置のIoT機器を患者に貸し出す際は、事前にリスクと留意点を説明して同意を得て、異常時の問い合わせ先を伝えることが求められています（システム運用編7章遵守事項⑧）。
紛失・盗難が起きたときの初動と報告
ガイドラインは、持ち出した機器の盗難・紛失時の対応を規程に定め（企画管理編8章遵守事項⑦）、手順を作って可能な範囲で事前措置を講じること（システム運用編7章遵守事項⑮）を求めています。同7.4は、対象機器の特定やネットワーク接続の防止、MDM（モバイルデバイス管理）による遠隔制御などを挙げています。
患者の病歴は要配慮個人情報にあたり、これを含む個人データの漏えい等が発生した（おそれを含む）場合は、個人情報保護委員会への報告と本人への通知が必要です（個人情報保護法第26条、施行規則第7条）。医療・介護関係事業者向けガイダンスは、診療情報を記録したUSBメモリーの紛失を例に挙げています。報告は、速報が知った時点から概ね3～5日以内、確報が30日以内（不正の目的によるおそれがある事態は60日以内）です。通則ガイドラインは「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合は報告を要しないとしており、端末の暗号化はこの判断にも関わります。
サイバー攻撃が疑われる場合は、平成30年10月の厚生労働省通知に基づき保守会社等に連絡し、漏えいや医療提供体制への支障が生じる（おそれがある）と判断されれば厚生労働省医政局医療情報担当参事官室へ連絡します（同ガイダンス、企画管理編12章）。Q&Aは、厚生労働省の医療機関向けセキュリティ教育支援ポータルサイトから報告でき、専門家チームによる初動支援もあるとしています。
紛失・盗難時の初動手順（例）
- 気づいた職員がすぐ責任者へ連絡する（夜間・休日の連絡先も決めておく）
- 台帳で端末を特定し、ログイン中のアカウントとアクセスできた情報の範囲を確認する
- 遠隔ロック・データ消去、該当アカウントの停止やパスワード変更を行う
- 暗号化の状況と、端末内に残っていた写真やファイルを確認する
- 漏えい等報告・本人通知の要否を判断し、速報の期限から逆算して準備する
- 盗難なら警察へ届け出て、経緯と判断理由を記録し、持ち出しルールを見直す
二要素認証・パスワード・アカウント管理
二要素認証は「記憶」「生体情報」「物理媒体」のうち2種類を組み合わせる方式です（例：パスワード＋指紋、ICカード＋パスワード）。システム運用編14章は、令和9年度（令和9年4月1日時点）に稼働が想定される医療情報システムを新規導入または機器の入替等を伴って更改する際に二要素認証を採用し、技術的な理由等で難しい場合は令和9年度以降の直近のシステム更新までを期限としています。端末はアプリケーションのログイン時、サーバはOSのログイン時に実装し、「OSで一要素、アプリで一要素」という分け方は認められません。
パスワードは、チェックリストで「英数字混在の8文字以上（二要素認証を採用するまでは13桁以上）」と「使い回しの禁止」が問われ、システム運用編14章は一定回数の失敗でログインを止める仕組みも求めています。モニターへの付箋貼りは絶対に避けるべきとマニュアルに明記されています。
在宅医療で抜けやすいのはアカウントの棚卸しです。非常勤医師や応援の看護師など入れ替わりが多く、契約終了後のアカウントや複数人で使う「訪問用」共有アカウントが残りがちです。システム運用編14.1.1は全職員・関係者に本人を識別・認証する手段を用意するよう求めており、共有アカウントはこの考え方に合いません。チェックリストでは職種別のアクセス権限と管理者権限の明確化（2-④）、不要アカウントの削除・無効化（2-⑤）が問われるため、人事の入退職情報と月次で突き合わせる仕組みにしておくと漏れが減ります（突合の仕組み化は在宅医療事務の効率化：Excel・RPA・API連携でできる突合と期限管理も参照）。
私物端末（BYOD）とチャットツールの判断基準
ガイドラインはBYOD（個人所有端末の業務利用）を一律には禁止していませんが、利用許諾の条件・範囲・管理方法を規程に定め、許諾状況も含めて台帳管理すること（企画管理編9章遵守事項⑦）、OS設定の変更制御やOSレベルでの管理領域の分離などで十分な安全性を確保することを求め、管理されていない端末でのBYODは許可してはならないとしています（システム運用編8.5）。現場で起こりがちなのは、個人のスマートフォンで撮った創部の写真が端末の写真フォルダや個人のクラウドバックアップに自動で残るケースです。同7.1は、許可したサービス以外の接続遮断や、無許可サービスの利用禁止を規則に盛り込む対応を挙げています。
チャットツールについて、Q&A（概説編Q10）は、SNS等のWebサービスは利用可能だが医療情報システムとして安全性を評価する必要があり、一般向けSNSを安易に使わないよう求めています。確認項目は、認証、アクセス制御、通信・保存時の暗号化、ログ、保存・削除、事故対応、責任分界です。同Q&Aが参照先に挙げる保健医療福祉情報安全管理適合性評価協会（HISPRO）の資料は、公開型のSNSは患者や家族の機微な情報の連携には不適切で、参加者を限定する非公開型が望ましいとし、患者・家族への説明と同意、端末紛失時の対応を決めておくことも挙げています。
避けたい運用
- 職員個人のアカウントで作ったグループに、患者の氏名・病状・写真を流す
- 退職者や担当を外れた他事業所の職員がグループに残ったまま
- 承認していない無料のファイル共有サービスに訪問記録を置く
整えておきたい運用
- 使ってよいサービスを企画管理者が承認したものに限り、規程に明記する
- 参加者の追加・削除を担当者が管理し、入退職や担当変更と連動させる
- やり取りする情報の範囲（氏名を書くか、写真を送るか）を決めて教育する
夜間の連絡にスマートフォンを使う場面が多い場合は、在宅医療のオンコール体制の作り方とあわせてルールを決めておくと運用が安定します。
紙書類の持ち運びとサイバー攻撃を想定したBCP
紙の書類を持ち運ぶとき
保守委託機関編は、管理対象は電子媒体だけでなく紙媒体も含むと明記しています。個人情報保護委員会の通則ガイドラインも、個人データを記載した書類等を持ち運ぶ場合は容易に判明しないよう安全な方策を講じるとし、封緘、目隠しシール、施錠できる搬送容器、中小規模事業者では封筒に入れて鞄で運ぶ等を例示しています。在宅医療では次の点を決めておきます。
- 持ち出す書類を絞り、患者ごとに封筒やファイルを分けて取り違えを防ぐ
- 車内に置いたまま離れない。患家で渡す書類は事前に患者ごとに分けておく
- 帰所時に持ち出し簿と照合し、不要な控えは復元できない方法で廃棄する
BCPとバックアップ
システム運用編11章は、紙での運用等の代替手段の準備、構成分離されたネットワーク、重要ファイルの数世代・複数方式のバックアップ（一部はマルウェアの影響が及ばない手段で管理）と復元手順の整備を求めています。チェックリストマニュアルは、3世代目以降をオフラインにする等が望ましいとしています。クラウド型電子カルテについては、Q&A（システム運用編Q22）が、抽出データを別媒体で保管する、普段はネットワークから切り離した外部媒体へ自動転送する、論理的に切り離された別領域に取る、の3例を挙げ、オフライン保管が契約書等に記載されているかの確認も求めています。
在宅医療のBCPで詰めておきたいのは「システムが止まった当日、訪問に何が必要か」です。数日分の訪問予定と担当者、患者・家族と連携先の連絡先、現在の処方と注意事項、紙の記録様式を、誰がどの形で確保するかを決めます。紙に出力して備えるなら、その紙も管理対象です。非常時に紙で運用した記録を後から入力する場合は、紙を原本として保存し、後日入力の入力者・日時・元記録との対応を残します（企画管理編Q33）。厚生労働省の「サイバー攻撃を想定した事業継続計画（BCP）策定の確認表」（令和6年6月）は平時・検知・初動対応・復旧処理・事後対応の5段階で確認項目を示しており、企画管理編12.2はサイバーセキュリティ対応計画を少なくとも年1回以上見直すよう求めています。
立入検査で確認されるチェックリスト（令和8年度版）
医療法施行規則第14条第2項は、病院・診療所・助産所の管理者にサイバーセキュリティ確保のための必要な措置を求めており、厚生労働省は令和5年度から医療法に基づく立入検査の項目にサイバーセキュリティ対策を位置付けています。令和8年度版のチェックリストは、令和8年度中にすべての項目で「はい」となるよう取り組み、「いいえ」には対応目標日を記入する形です。
| 区分 | 主な確認項目（医療機関・薬局確認用） | 立入検査での扱い |
|---|---|---|
| 1 体制構築 | ①医療情報システム安全管理責任者の設置 | 記入を確認 |
| 2 管理・運用 | ①サーバ・端末・ネットワーク機器の台帳管理 | 現物を確認 |
| ②リモートメンテナンス利用機器の確認 ③MDS/SDSの提出 ④アクセス権限 ⑤不要アカウントの削除 ⑥パッチ適用 ⑦パスワード長 ⑧使い回し禁止 ⑨USB等の接続制限 ⑩不要なサービスの停止 | 記入を確認（②③は事業者と契約がなければ不要） | |
| ⑪端末の二要素認証 ⑫サーバの二要素認証（いずれも令和9年度以降初回の更改時に実装予定でも可） ⑬アクセスログ管理 ⑭接続元制限 | アクセスログは直接確認される可能性あり | |
| 3 インシデント対応 | ①事業者・厚生労働省・警察等への連絡体制図 ③サイバー攻撃を想定したBCP | 現物を確認 |
| ②診療継続に必要な情報のバックアップと復旧手順 | 記入を確認 | |
| 4 規程類 | ①1～3の実施方法を運用管理規程等に定める | 現物を確認 |
立入検査では「医療機関・薬局確認用」と「事業者確認用」の全項目に確認日と回答が記入されているかが見られます。事業者確認用は、電子カルテ、レセプトコンピュータ、ネットワーク保守など契約先ごとに回収が必要です。「対象外」とされた項目は医療機関側の責任になるため、回収したら拾い出して院内の担当を決めます。点検は少なくとも年1回です。なお、マニュアルが立入検査の対象として挙げるのは病院・診療所・助産所と薬局で、訪問看護ステーションは含まれていませんが、ガイドラインの対象ではあるため、自己点検に同じチェックリストを使うと漏れを見つけやすくなります。新規開設時は在宅医療の開業・新規参入で必要な届出と体制づくりチェックリストもあわせてご覧ください。
よくある質問
Q. クラウド型電子カルテなら、院内でやることはほとんどありませんか？
A. いいえ。保守委託機関編の対象でも、持ち出し・破棄の規程、機器の台帳、紛失時の手順、アカウント管理などは医療機関の仕事です。対象になるには、事業者のアップデート責任が契約書・約款・SLA等に明記されている必要があります。
Q. 職員の私物スマートフォンを訪問業務に使わせてもよいですか？
A. 一律禁止ではありませんが、規程と台帳で管理し、医療機関の機器と同等の対策を講じることが前提で、管理されていない端末は認められません。写真や記録が端末本体や個人のクラウドに残らないかの確認も欠かせません。
Q. 二要素認証は令和9年4月までに必ず導入しなければなりませんか？
A. 令和9年度に稼働が想定されるシステムを新規導入・更改する際に採用するのが基本で、難しい場合は令和9年度以降の直近の更新までが期限です。チェックリストでも、初回の更改時に実装予定であれば「はい」と扱われます。
Q. 暗号化した端末を紛失した場合も報告は必要ですか？
A. 高度な暗号化等の措置が講じられていれば報告を要しないとされていますが、該当するかは事案ごとの判断です。院内の手順に沿って責任者に報告し、判断の根拠を記録したうえで決めてください。
まとめ
第7.0版は、パスワード要件の見直し、二要素認証の対象の明確化、クラウド利用を前提にした保守委託機関編の新設が柱です。在宅医療では端末と書類が毎日院外に出るため、持ち出しの3経路、紛失時の初動と報告期限、私物端末とチャットの承認ルールを、規程と台帳で回せる状態にしておくことが要になります。まずは令和8年度版チェックリストで「いいえ」を洗い出し、事業者確認用を回収して「対象外」の項目に院内の担当を割り振るところから始めてください。
参考資料
- 医療情報システムの安全管理に関するガイドライン 第7.0版（掲載ページ）（厚生労働省・令和8年6月）
- 「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について（産情発0629第1号）（厚生労働省・令和8年6月29日）
- 医療情報システムの安全管理に関するガイドライン改定について（医療等情報利活用ワーキンググループ資料）（厚生労働省・令和8年5月）
- 同ガイドライン第7.0版 概説編（厚生労働省・令和8年6月）
- 同ガイドライン第7.0版 企画管理編（厚生労働省・掲載ページの表記は令和8年5月）
- 同ガイドライン第7.0版 システム運用編（厚生労働省・令和8年6月）
- 同ガイドライン第7.0版 保守委託機関編（厚生労働省・第7.0版で新設）
- 同ガイドライン第7.0版 Q&A（厚生労働省・令和8年9月）
- 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（令和8年度版）（厚生労働省・令和8年6月）
- 同チェックリストマニュアル（令和8年度版）（厚生労働省・令和8年6月）
- サイバー攻撃を想定した事業継続計画（BCP）策定の確認表（厚生労働省・令和6年6月）
- 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（個人情報保護委員会・厚生労働省・令和8年4月一部改正）
- 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会・令和8年6月一部改正）
- 漏えい等の対応とお役立ち資料（個人情報保護委員会・2026年10月閲覧）
- 医療情報連携において、SNSを利用する際に気を付けるべき事項（保健医療福祉情報安全管理適合性評価協会・2016年1月、ガイドラインQ&Aの参照先）
本記事は2026年10月時点で公表されている資料をもとに作成しています。算定の可否は個別の状況で異なるため、最終的には告示・通知・疑義解釈や、管轄の地方厚生局・保険者にご確認ください。
