【2026年7月最新版】ガイドライン第7.0版ついに策定！医療情報システム安全管理責任者の役割・二要素認証・保守委託機関編・ChatGPTのNG理由・AI効率化・補助金まで全部この1本で解決

医療情報システム安全管理責任者

Posted at 2026-07-09

「医療情報システム安全管理責任者に任命されたけど、何をすればいい？」
「ガイドラインが第7.0版になったって本当？何が変わったの？」
「二要素認証って、うちのクリニックもやらなきゃいけないの？」
「なぜChatGPTに患者情報を入れてはいけないの？」
「兼任でしんどい…AIで楽にできない？補助金は？」

——この記事1本でまとめて解決します。

⚠️ 先に結論：2026年に押さえるべき3つの変化

この記事は長いので、先にいちばん大事な結論をお伝えします。

ガイドライン第7.0版が2026年6月29日付で正式策定されました。第6.0版からの大改定で、「保守委託機関編」が新設され4編→5編構成になりました。当初「第6.1版」として検討されていたものが、パブリックコメント294件を経て「第7.0版」に格上げされた大型改定です。
二要素認証は令和9年度（2027年度）から。第7.0版で対象が「クライアント端末およびサーバ」と明確化されました。令和9年4月1日時点で対応困難な場合は次期システム改修での対応を許容する緩和措置もあります。
補助金は「デジタル化・AI導入補助金2026」に刷新。旧IT導入補助金から名称変更され、AI導入が明確に補助対象になりました。3次申請の締切は2026年7月21日17時です。

⚠️ 大事な前置き

この記事は、臨床工学技士×AIエンジニアとして医療ITに関わる筆者の現時点での個人的見解を含みます。法的助言ではありません。実装時は必ず顧問弁護士・医療情報安全管理責任者・院内法務・関係行政機関と相談したうえで判断してください。

この記事のポイント（5行まとめ）

第7.0版が2026年6月29日に正式策定。根拠法に「サイバーセキュリティ基本法」が追加され、重要インフラとしての医療の位置づけが明確に
新設の「保守委託機関編」は、セキュリティ人材が不足する小規模医療機関のための「外部委託を前提とした安全管理」の道筋
二要素認証の対象は「クライアント端末およびサーバ」。2027年度が本番、2026年度は準備の年
患者情報をChatGPT等の外部生成AIに入力するのは、個人情報保護法・ガイドライン・守秘義務の3方向からNG
兼任負担はAI活用と補助金で軽減できる。デジタル化・AI導入補助金2026は最大450万円

1. 🔰 そもそも「医療情報システム安全管理責任者」って何者？

一言でいうと、病院の電子情報を守る最高責任者です。

カルテ・検査結果・処方情報など、医療現場ではあらゆる情報がデジタル化されています。これらが漏れたり壊れたりしたとき、患者さんの人生に直接影響します。

⚠️ 「安全管理責任者」と「企画管理者」は別の役職です

ガイドライン上の役割は3層構造で整理されています（第7.0版でもこの構造は継承）。

┌─────────────────────────────────┐
│ 経営層（院長・理事長）＝安全管理責任者     │
│ → 方針を決め、全体に責任を持つ           │
├─────────────────────────────────┤
│ 企画管理者                              │
│ → ルールを作り、現場を管理する           │
├─────────────────────────────────┤
│ システム運用担当者                       │
│ → 日々の運用・点検・対応を行う           │
└─────────────────────────────────┘

第5.2版（旧版）では「医療情報システム安全管理責任者」が本文の正式名称でした
第6.0版以降は本文が「企画管理者」に統一。ただし厚労省の研修・チェックリスト等では「安全管理責任者＝経営層が担う役職」として引き続き使われています
「企画管理者が安全管理責任者を兼務することは妨げられない」（厚労省パブコメ回答）とされ、小規模クリニックでは実質同じ人が兼ねるケースが多いです

法律上の義務でもある

医療法施行規則第14条第2項により、病院・診療所の管理者がサイバーセキュリティ確保の措置を講じることは法律上の義務です（2023年4月施行）。薬局も医薬品医療機器等法施行規則第11条第2項第1号で同様の義務があります。

さらに第7.0版では、ガイドラインの根拠法にサイバーセキュリティ基本法が追加され、「重要インフラのサイバーセキュリティに係る安全基準等策定指針」との整合性が確保されました。医療は電力・金融と並ぶ重要インフラとして扱われる、ということです。

2. 🔰 まず前提：第6.0版で何が確立したか（30秒でおさらい）

第7.0版を理解するには、前版の第6.0版（2023年5月）で確立した構造を知っておく必要があります。

経営層の責任明確化：「IT担当者任せ」の終焉。院長・理事長が安全管理の最終責任者に
4編構成：概説編・経営管理編・企画管理編・システム運用編（読者別に再編）
ゼロトラスト：「院内は安全」という前提を捨てる
クラウド利用と責任分界点：書面での明確化
背景：2021年徳島県の病院がランサムウェアで約2か月電子カルテ停止など、医療機関へのサイバー攻撃の深刻化

この土台の上に、第7.0版が乗ります。

3. 🆕【本題】第7.0版で何が変わったのか【2026年6月29日正式策定】

策定までの経緯（時系列）

2026年3月：「第6.1版（案）」としてパブリックコメント募集
意見294件が寄せられる
2026年5月29日：医療等情報利活用ワーキンググループで、内容を再整理した「第7.0版（案）」として提示（マイナー改定ではなく大改定と位置づけ直し）
2026年6月29日：正式策定。産情発0629第1号として都道府県知事等に通知

変更点①：「保守委託機関編」の新設（4編→5編構成へ）

第7.0版の最大の目玉です。

なぜ新設されたのか： セキュリティ専門人材が不足し、ガイドライン対応が困難な医療機関（特に小規模医療機関）が現実に多数存在するためです。「自前で全部やる」のではなく、クラウドサービスを積極的に活用し、セキュリティ対策を適切に外部事業者に委託するという現実的な道筋が公式に示されました。

保守委託機関編の主な内容：

医療機関等と委託先事業者の責任分界を書面等で可視化し、適切に管理すること
通常時・非常時それぞれの責任を文書化して管理する体制
医療情報システムで取り扱う情報のリスト作成と速やかな確認体制
外部保存の委託先選定では、プライバシーマーク・ISMS等の認証取得、ISMAP登録状況、保存場所（国内法の適用が及ぶか）を確認
別紙として「MDS/SDSにおけるセキュリティ確認事項」を収録

重要な実務ポイント： システム運用編の脚注では、「事業者がセキュリティアップデート責任を負うこと」が契約書や約款、SLA等に記載されている場合にのみ保守委託構成を選択できる、という趣旨の整理が示されています。「なんとなくベンダーに任せている」は通用しません。契約書の確認が第一歩です。

変更点②：二要素認証の対象と期限の明確化

従来から「令和9年度（2027年度）に向けて二要素認証」という方向性はありましたが、対象が曖昧でした。第7.0版では：

対象の明確化：医療情報システムのうち「クライアント端末およびサーバ」について対応することが明記
「サーバ」の定義：医療情報の保存や主要な処理を担う機器。原則PCやタブレット等のクライアント端末は含まないが、電子カルテアプリ等を端末にインストールし端末上で処理が完結する場合はその端末も「サーバ」に含む
緩和措置：令和9年4月1日時点で対応が困難な場合は、次期システム改修での対応を許容

なお、医療機器に関する二要素認証は今回の改定で直ちに全面義務化とはならず、引き続き検討が必要な論点として整理されています。医療機器・情報端末・サーバ・リモート保守経路を分けて考えることが重要です。

変更点③：診療報酬との連動が強まった

令和8年度診療報酬改定では、医療DX推進体制整備加算等の見直しに加え、電子的診療情報連携体制整備加算が新設され、その施設基準の論点として医療情報システムの安全管理ガイドラインへの準拠が挙げられています。

つまりガイドライン対応は「努力目標」から、診療報酬・立入検査・委託契約と一体で確認される実務要件へと性格を変えつつあります。

変更点④：チェックリストの統合

令和8年度版から、従来「医療機関用」「薬局用」に分かれていたサイバーセキュリティ対策チェックリストが「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」として統合されました。二要素認証の対象明確化を受けて、チェックリストの中身も更新されています。

今すぐやるべき5ステップ

第7.0版の構成を確認：自院が「保守委託機関編」を適用できる構成（保守委託を前提とした体制）か、従来どおりシステム運用編の遵守が必要かを判定
安全管理責任者と報告ルートの確認：誰が責任者で、経営層への報告がどう流れるか
契約書の総点検：保守契約に「セキュリティアップデート責任」「非常時の連絡体制」「再委託の承認プロセス」が明文化されているか
ベンダーにMDS/SDSの提示を要求：最新のサービス仕様適合開示書を収集し、自院のリスク評価と突き合わせる
二要素認証の対象棚卸し：電子カルテ、部門システム、サーバ、リモート保守経路、特権IDを洗い出し、2027年度更改計画に組み込む

4. 🔰 安全管理責任者の主な6つの仕事

情報セキュリティ方針・規程の整備：院内ルールの策定と年次見直し（厚労省の運用管理規程文例が参考になります）
リスクアセスメント：年1回以上、危険の洗い出しと評価
職員教育・研修：全職員向けセキュリティ研修の企画・実施（厚労省の無料e-learningが利用可能）
ベンダー管理：契約・責任分界点・監査（第7.0版で最重要領域に格上げ）
インシデント対応・BCP：サイバー攻撃を想定した事業継続計画の策定（厚労省のBCPひな形あり）
ログ管理・アクセス制御：誰が何にアクセスできるかの管理と記録

守り方は技術・物理・組織・人の4層で考えます。ファイアウォールだけあっても、職員がフィッシングメールに引っかかれば突破されます。

5. ⚠️ 個人情報保護法との関係

患者の診療情報は「要配慮個人情報」（法第2条第3項）に分類され、一般の個人情報より厳しいルールが適用されます。

病歴・診療記録・処方情報・健康診断結果などが該当
取得・第三者提供には原則として本人の明示的な同意が必要
要配慮個人情報はオプトアウト（事後拒否方式）による第三者提供が認められない（法第27条第2項）——これが外部AI利用の決定打になります

違反時の罰則：

個人：1年以下の懲役または100万円以下の罰金（法第178条）
法人：1億円以下の罰金（法第184条）
さらに刑法第134条（秘密漏示罪）、臨床工学技士法第40条など職種別の守秘義務も

民法715条（使用者責任）：職員が勝手に外部AIを使って漏洩した場合（シャドーAI）でも、組織が責任を問われます。

6. 🚨 なぜChatGPTに患者情報を入れてはいけないのか【2026年最新版】

気持ちはわかります。カルテ要約、紹介状の下書き——生成AIが得意な仕事ばかりです。でも患者情報の入力は複数の理由からNGです。

理由① 外国にある第三者への「提供」になる

ChatGPTのサーバーは米国にあります。入力した瞬間、OpenAI社（米国）にデータが送られ、個人情報保護法第28条が定める「外国にある第三者への提供」に該当しえます。患者の個別同意なしの送信は法律違反になる可能性があります。

理由② 要配慮個人情報の無断提供

診療情報は要配慮個人情報。オプトアウトによる第三者提供は法律上認められておらず（法第27条第2項）、外来でそんな同意を取っているはずがありません。

理由③ データ保持リスク（2026年時点の各社ポリシー）

規約は頻繁に変わるため、最新の一次情報での確認が必須です。参考として：

ChatGPT（一般向け）：削除した会話でも最大30日間サーバーに残る。ポリシー違反検知目的では最大2年間保存の可能性
- 出典：https://openai.com/enterprise-privacy/
Claude（個人向け）：2025年9月の規約改訂後、学習オプトインの場合最大5年間保持。標準でも30日
- 出典：https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data
Gemini（個人プラン）：学習対象になる可能性あり

つまり「削除したから大丈夫」は成立しません。

理由④ 3省2ガイドラインへの不適合

医療情報を扱うクラウドサービスには「3省2ガイドライン」（厚労省ガイドライン＋経産省・総務省の事業者向けガイドライン）準拠が求められます。一般向けChatGPT/Claude/Geminiはこれを保証していません。

厚労省のQ&A（企Q-26、令和7年5月公開）では、海外サーバーAIに医療情報を入れる条件として「保存されないこと」が「契約等で担保されていること」を要求しています。一般向けサービスでは満たせず、法人向けのZDR（Zero Data Retention＝データを一切残さない契約）等が必要です。しかもこれは3省2ガイドライン上の論点のみで、個人情報保護法27条・28条のハードルは別途残ります。

出典：https://www.mhlw.go.jp/content/10808000/001145860.pdf （p.44）

理由⑤ 守秘義務違反

医師法・保助看法・臨床工学技士法等の守秘義務があり、患者の同意なく外部AIにデータを送ることは職業倫理上も問題です。

✅ じゃあどうすればいいのか（安全な使い方3原則）

患者情報を含まない形で使う（匿名化・仮名化してから。ただし匿名化したつもりでも日時・属性・症状の組み合わせで特定されうるため慎重に）
院内完結型のローカルAIを使う（Ollama等で院内サーバー上にLLMを構築すればデータが外部に出ない）
業務契約を結んだ事業者を選ぶ（ZDR契約・国内リージョン処理などが担保されたエンタープライズ契約）

7. 🔧 医療機器安全管理責任者と兼任するとどうなる？

小規模病院・クリニックでは、医療情報システムの担当と医療機器の担当を1人で兼任するケースが現実に発生します。

それぞれの法的根拠（正確に）

医療情報システム側：医療法施行規則第14条第2項（サイバーセキュリティ確保）＋ガイドライン第7.0版
医療機器側：医療法第6条の10＋施行規則第1条の11第2項第3号（医療機器安全管理責任者の業務：研修実施・保守点検計画・添付文書管理・安全情報収集）

第7.0版で医療機器との連携も明記

第7.0版システム運用編では、IoT機器の取扱要件とあわせて、医療機器のサイバーセキュリティについて「医療機器のサイバーセキュリティ導入に関する手引書」等を踏まえ、医療機器の製造販売業者と必要な連携を図ることが明記されています。SBOM（ソフトウェア部品表）への言及もあり、医療機器×ITセキュリティの垣根は今後さらに低くなります。

兼任のしんどいポイント

年度末・年度初めに両方の「年次見直し」が重なる（3〜4月が最も過重）
インシデント発生時（機器故障＋サイバー攻撃が同時）に対応が1人に集中
研修資料が2本立てになり準備工数が倍増
ベンダー対応窓口が集中して日常業務が止まる

なお、業界では「医療情報システム安全管理責任者と医療機器安全管理責任者の一人二役」の可能性が研究レベルで考察されています（現時点で制度化されているわけではなく、すべてのCEに今すぐ求められる役割ではありません）。兼任の負担は大きく、だからこそ次章のAI効率化が意味を持ちます。

8. 🔧 AIで効率化できる範囲

安全性の前提（国内処理・匿名化・患者情報を含まない）を満たしたうえでの活用例です。

✅ 安全に効率化できる業務

研修資料のたたき台作成（患者情報ゼロで作れる）
規程・マニュアルのドラフト作成と改定案の比較
第6.0版→第7.0版の差分整理（まさに今が使いどき。改定対応表の読み解きをAIに手伝わせる）
ベンダーからの技術文書・MDS/SDSの読み解き補助
インシデント対応訓練のシナリオ作成・BCPひな形のカスタマイズ
院内FAQチャットボット（在庫・シフト・手順など非患者情報）

⚠️ 要注意

患者情報の直接処理：匿名化・仮名化するか、院内オンプレAIが必要

院内オンプレAIという選択肢

Ollama + オープンソースLLM（Llama系、Qwen系など）を院内サーバーで動かせば、データが外部に出ないため法的リスクを大幅に下げられます。GPU搭載PC1台からスモールスタートでき、補助金の対象にもなりえます。

9. 🔧 使える補助金【2026年7月版・締切間近】

「IT導入補助金」は「デジタル化・AI導入補助金2026」に変わりました

2025年度までのIT導入補助金は全募集を終了し、2026年度から「デジタル化・AI導入補助金」として刷新されています。

主な変更点：

AI導入が明確に補助対象に追加され、AIツールを絞り込み検索できる仕組みも導入
通常枠・インボイス枠・セキュリティ対策推進枠・複数者連携枠の構成で、最大450万円
2026年3月30日から交付申請受付開始
🚨 3次申請の締切は2026年7月21日17時（本記事執筆時点であと約2週間）

医療法人も対象です

対象は「中小企業・小規模事業者等」の定義に合致する法人・個人事業主で、医療法人・社会福祉法人・NPO法人も条件を満たせば対象です。判定は資本金ではなく従業員規模（医療含むサービス業では常時使用する従業員300人以下等）で行われます。

第7.0版対応との相性： セキュリティ対策推進枠は、まさに二要素認証やセキュリティ強化投資と相性の良い枠です。2027年度の二要素認証対応を補助金で前倒しする、という戦略も検討の価値があります。

申請の基本ステップ

GビズIDプライム取得（発行に時間がかかるため最優先）
SECURITY ACTION 自己宣言
IT導入支援事業者と共同申請（ベンダーが登録事業者か確認）

一次情報：

デジタル化・AI導入補助金2026 公式：https://it-shien.smrj.go.jp/
事業スケジュール：https://it-shien.smrj.go.jp/schedule/

※補助金情報は2026年7月時点。締切・予算枠は変動します。必ず公式サイトで最新情報を確認してください。

10. 🎯 クラウド利用の考え方【第7.0版でさらに後押し】

クラウドは「逃げ」ではなく公式ルートになった

第6.0版時点でも「事業者に一部業務を委託する方が、結果としてより安全な情報セキュリティ対策を講じることが可能となることも想定される」とされていましたが、第7.0版では保守委託機関編の新設により、外部委託を前提とした安全管理が正式な選択肢として体系化されました。

人材がいない小規模医療機関にとって「餅は餅屋に任せ、任せ方を管理する」ことが公式の道筋になった、と言えます。

医療機関がやるべき3つのこと

業者選定：3省2ガイドライン準拠・ISMS（ISO 27001）/プライバシーマーク/ISMAP等の認証・MDS/SDSの提出可否・データ保存場所（国内法の適用が及ぶか）を確認
責任分界点を契約書に明記：セキュリティアップデート責任／障害時のSLA／漏洩時の通知責任／契約終了時のデータ返却・削除／再委託の有無と承認プロセス
定期監査・自己点検：定期的な自己点検＋必要に応じた外部監査。医療法に基づく立入検査で第三者に確認される場面も想定して「説明できる状態」を保つ

外部保存が認められる3条件

見読性：必要なときに画面・印刷で正確に確認できる
真正性：誰が・いつ・何を記録したか証明でき、改ざんされていない
保存性：法定保存期間（診療録は5年）を通じてデータが保持される

可用性の落とし穴：オフライン対策

クラウド型電子カルテは、通信障害で使えなくなります。「紙運用ルール」「ダウン時手順書」の整備、サイバー攻撃を想定したBCP策定（厚労省のひな形・確認表あり）もガイドラインが求める安全管理の一部です。

✅ 院内ですぐ使えるチェックリスト【第7.0版対応】

体制

安全管理責任者（経営層）と企画管理者が明確に決まっている
経営層への報告ルートが機能している
医療機器安全管理責任者との役割分担・兼任負荷を確認した

第7.0版対応

第7.0版の5編構成（概説・経営管理・企画管理・システム運用・保守委託機関）を確認した
自院が保守委託機関編を適用できる構成か判定した
ベンダーにMDS/SDS（サービス仕様適合開示書等）の提示を求めた
保守契約に「セキュリティアップデート責任」が明文化されているか確認した
統合版チェックリスト（令和8年度版）を実施した
サイバー攻撃想定BCPを策定・更新した

二要素認証（2027年度に向けて）

対象（クライアント端末・サーバ・リモート保守経路・特権ID)の棚卸しが完了している
2027年度更改に向けた認証方針・予算計画を2026年度中に決める計画がある
対応困難なシステムは「次期改修時対応」の記録を残している

生成AI

職員向けに「患者情報を外部AIに入れない」ルールを明文化・周知した
シャドーAI（無断利用）の実態を把握する仕組みがある
AI活用したい業務を「患者情報あり／なし」で仕分けした

補助金

GビズIDプライムを取得済み
SECURITY ACTION を宣言済み
デジタル化・AI導入補助金の次回締切（3次：7/21）を確認した

📖 専門用語ミニ辞典

用語	意味
ランサムウェア	データを暗号化して身代金を要求するウイルス
ゼロトラスト	院内・院外を問わずすべてを疑い、常に認証・検証する考え方
責任分界点	トラブル時に医療機関とベンダーのどちらが対応するかの境界線
二要素認証	パスワード＋ICカード等、2種類の要素で本人確認する方式
MDS/SDS	ベンダーが自社サービスの安全対策を開示する文書（サービス仕様適合開示書等）
SLA	稼働率・復旧時間などサービス品質を書面で合意したもの
ISMS / ISMAP	情報セキュリティ管理の認証（ISO 27001）／政府のクラウドサービス評価制度
SBOM	ソフトウェア部品表。医療機器等に含まれるソフト部品の一覧
3省2ガイドライン	厚労省の医療機関向け＋経産省・総務省の事業者向けガイドラインの総称
要配慮個人情報	病歴等、特に慎重な取り扱いが必要な個人情報。オプトアウト提供不可
ZDR	Zero Data Retention。入力データを一切保存しない契約
シャドーAI	組織の許可なく職員が個人的にAIサービスを使うこと
BCP	事業継続計画。サイバー攻撃・災害時にも診療を続けるための計画

まとめ：いちばん大事なことを、もう一度

第7.0版が2026年6月29日に正式策定された。保守委託機関編の新設により、「人材がいないから対応できない」ではなく「適切に委託し、委託を管理する」が公式ルートになった
二要素認証は2027年度が本番。対象はクライアント端末とサーバ。2026年度中に棚卸しと方針決定を
ガイドラインは診療報酬・立入検査と連動する実務文書に進化。「説明できる状態」を作ることが本質
患者情報×外部生成AIはNG。使うなら匿名化・ローカルAI・業務契約の3原則
兼任のしんどさはAIと補助金で軽減できる。デジタル化・AI導入補助金2026の3次締切は7月21日

⚠️ 最後にもう一度（免責）

本記事は筆者の現時点での個人的見解です。法的助言ではありません。ガイドライン・法令・補助金制度は頻繁に更新されるため、実装・申請時は必ず一次情報を確認し、顧問弁護士・関係行政機関等と相談のうえ判断してください。筆者は、本記事の内容を実際の業務で使われたことに起因するいかなる損害についても責任を負いません。

出典・参考資料（一次情報一覧）

ガイドライン第7.0版関連（厚生労働省）

医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）掲載ページ：https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
第7.0版保守委託機関編 PDF：https://www.mhlw.go.jp/content/10808000/001716297.pdf
第32回医療等情報利活用ワーキンググループ（第7.0版（案）提示）：https://www.mhlw.go.jp/stf/newpage_73213.html
医療情報Q&A（企Q-26 含む・令和7年5月）PDF：https://www.mhlw.go.jp/content/10808000/001145860.pdf
医療機関向けセキュリティ教育支援ポータル（無料e-learning）：https://mist.mhlw.go.jp/

法令（e-Gov法令検索）

個人情報保護法：https://elaws.e-gov.go.jp/document?lawid=415AC0000000057
医療法：https://elaws.e-gov.go.jp/document?lawid=323AC0000000205
臨床工学技士法：https://elaws.e-gov.go.jp/document?lawid=362AC0000000060

生成AI関連

個人情報保護委員会生成AI注意喚起（2023年6月）：https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
OpenAI Enterprise Privacy：https://openai.com/enterprise-privacy/
Anthropic データ保持ポリシー：https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data