医療機関のサイバーセキュリティ対策とは？チェックリスト内容と未対応のリスク 

「サイバーセキュリティ対策が義務化されたと聞いたが、うちのクリニックは何をすればいいのだろうか」

このようにお考えの先生も多いのではないでしょうか。令和5年4月の医療法施行規則の改正により、すべての医療機関にサイバーセキュリティ対策が義務づけられました。対象は大きな病院だけでなく、診療所や薬局も含まれます。

本記事では、サイバーセキュリティ対策の義務化の背景からチェックリストの具体的な内容、未対応の場合に生じるリスク、さらに医院継承（M&A）への影響までをわかりやすく解説します。

令和8年度版チェックリスト（案）の変更点もまとめましたので、ぜひ最後までご覧ください。

医療機関におけるサイバーセキュリティ対策は令和5年4月に義務化

医療機関のサイバーセキュリティ対策は、令和5年（2023年）4月1日の医療法施行規則改正によって法的な義務になりました。それまでの「やったほうがよい」という努力目標から、医療法に基づく対応事項へと格上げされた形です。

何をどこまで対応すべきかは、厚生労働省が令和5年5月31日に発出した「医療情報システムの安全管理に関するガイドライン（第6.0版）」に示されています。対応状況は都道府県の立入検査で確認されるため、「知らなかった」では済まされません。

対象は病院だけでなく診療所・薬局も含む

義務化の対象は大規模な病院だけではありません。診療所（クリニック）も含まれており、薬局についても薬機法施行規則の改正によって同様の対応が求められています。

病床規模の大小は関係なく、医療情報システムを扱うすべての医療機関が対象です。電子カルテやオンライン資格確認を導入しているクリニックであれば、規模に関わらず対応が必要になります。

対応状況は都道府県の立入検査で確認される

令和5年4月以降、都道府県が実施する医療機関への立入検査にサイバーセキュリティの項目が追加されました。検査では「医療機関におけるサイバーセキュリティ対策チェックリスト」が用いられ、各項目の対応状況が確認されます。

立入検査では、令和8年度中にすべての項目で「はい」と回答できる状態を整えなければなりません。「いいえ」の項目がある場合は対応目標日を記入したうえで改善を進めなければならず、放置すれば改善指導の対象になります。

医療機関を狙うサイバー攻撃の脅威は高まり続けている

サイバーセキュリティ対策が義務化された背景には、医療機関を狙ったサイバー攻撃の急増があります。件数は年々増え続けており、電子カルテが停止して診療不能に陥った事例も出ました。

ここでは、脅威の現状を3つ確認しておきましょう。

サイバー攻撃は過去最多の水準まで増えている

情報通信研究機構（NICT）の観測によると、サイバー攻撃関連の通信は年々増加し、2024年は過去最高を記録しました。インターネットに接続された機器1台あたりに届く不審な通信の数は、2015年の年間24.6万回から2024年には242.8万回へと約10倍に増えています。

出典：NICTER観測レポート2024（2025年2月公表）｜NICT

警察庁の統計でも、ランサムウェアの被害報告件数は令和3年の146件から令和7年の226件へと高止まりの状態です。被害企業の約6割は中小企業であり、規模を問わず狙われている状況といえるでしょう。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁

電子カルテが全停止し診療継続が不可能になった病院がある

2021年10月に徳島県の病院、2022年10月に大阪府の医療センター、2025年2月には栃木県のクリニックと、電子カルテがランサムウェアで停止する被害が相次いでいます。

電子カルテが使えなくなれば、診療そのものが止まります。その間の収入はゼロになり、患者の紹介元からの信頼も失われるでしょう。大病院だけの問題ではなく、クリニック規模でも実際に被害が出ている状況です。

AIの悪用で攻撃はさらに高速・大規模になっている

AIの悪用により、サイバー攻撃の速度と規模が増しています。脆弱性が発見されてから悪用されるまでの時間も短くなっており、「対応が間に合わない」リスクが現実のものになっています。

そこで2026年5月、厚生労働省が医療機関向けにAI悪用への注意喚起を発出しました。電子カルテなどの安全確保とチェックリストの確認が改めて要請されています。攻撃側の手口は進化を続けており、一度対応すれば終わりというものではありません。

多くの医療機関でサイバーセキュリティ対策が進んでいない

義務化から3年が経過しましたが、多くの医療機関で対策が十分に進んでいない実態があります。厚生労働省の調査によると、二要素認証を導入できた病院は令和8年3月末時点でわずか10.5%にとどまっています。

出典：病院における医療情報システムのサイバーセキュリティ対策に係る調査｜厚生労働省

ソフトウェアの弱点を修正する更新プログラム（セキュリティパッチ）の適用は62.6%、職員へのセキュリティ研修は62.9%、攻撃を受けた想定で動く訓練（BCP訓練）は43.1%と、いずれもすべての項目を満たすには遠い状況です。

出典：病院における医療情報システムのサイバーセキュリティ対策に係る調査｜厚生労働省

進まない主な要因はシステム未対応と予算不足

二要素認証を導入できない理由として最も多かったのは「システムが未対応」の27.1%で、次いで「予算不足」の26.3%でした。「令和9年度までに導入予定」と回答した病院も24.1%ありますが、具体的な計画が立っていないケースも含まれています。

導入済みの病院でも費用は1,000万〜3,000万円未満が最多で、まとまった投資が必要になることが導入のハードルといえるでしょう。

小規模な病院ほど人員も足りず対策が遅れている

予算だけでなく、対策を担う人材の不足も深刻です。情報システム部門に常勤専任の職員が0人の病院は全体の26.0%にのぼり、規模の小さい病院ほどこの傾向が顕著になっています。

出典：病院における医療情報システムのサイバーセキュリティ対策に係る調査｜厚生労働省

20〜199床の小規模病院では、セキュリティ研修の実施率が52.2%、BCP訓練が35.4%と、全体平均をさらに下回っています。やるべきことはわかっていても、院内に担える人材がいなければ対策は進みません。

サイバーセキュリティ対策のチェックリストの内容

立入検査で使われる「サイバーセキュリティ対策チェックリスト」は、大きく4つの区分で構成されています。令和8年度版（案）では全項目に「はい」と回答できることが目標になっています。

それぞれの区分で何が求められているかを確認しておきましょう。

出典：令和8年度版 医療機関等におけるサイバーセキュリティ対策チェックリストについて（案）｜厚生労働省

1. 体制構築：医療情報システム安全管理責任者を設置する

チェックリストの最初の項目は、医療情報システム安全管理責任者の設置です。厚生労働省のデータによると令和8年3月末時点で設置済みの病院は86.3%ですが、20〜199床の小規模病院では82.5%と全体平均を下回っています。

名目上の責任者を置くだけでは足りません。サイバーセキュリティ対策を実際に推進できる体制を整えることが求められています。

2. 管理・運用：台帳管理から二要素認証まで10項目以上

管理・運用の区分には、10を超える確認項目があります。主な内容は次のとおりです。

• 院内で使用しているサーバ・端末・ネットワーク機器の台帳管理
• セキュリティパッチの適用
• アクセス権限の適切な設定と不要アカウントの削除
• パスワード要件（英数字混在8桁以上）の適用
• USB接続の制限と不要ソフトウェアの停止
• 二要素認証の実装（次回のシステム更新時に導入予定であれば現時点では未導入でも可）
• オフラインバックアップの確保

オフラインバックアップについては、令和8年3月末時点で電子カルテ導入病院の77.5%が確保済みです。

3. インシデント対応：BCP策定と外部連絡体制の構築

サイバー攻撃を受けた場合に備えて、次の3点を整備することが求められています。

1つ目は、インシデント発生時の連絡体制です。組織内だけでなく、事業者・厚生労働省・警察などの外部関係機関への連絡先と手順をあらかじめ定めておく必要があります。

2つ目は、診療継続に必要な情報の整理とバックアップの確保です。電子カルテが使えなくなった場合にどの情報があれば診療を続けられるかを事前に検討しておきましょう。

3つ目は、サイバー攻撃の想定を含む事業継続計画（BCP）の策定です。BCP策定率は令和8年3月末時点で74.6%に上昇しましたが、実際にBCP訓練を行っている病院はまだ43.1%にとどまっています。

出典：病院における医療情報システムのサイバーセキュリティ対策に係る調査｜厚生労働省

4. 規程類の整備：具体的な対応方法を運用管理規程に明文化

上記1〜3のすべての項目について、具体的な実施方法を運用管理規程などに文書化しておく必要があります。

「実際にやっている」だけでは不十分で、規程として明文化し、職員に周知されている状態が求められます。立入検査では、規程の有無も確認対象になる点に注意しましょう。

令和8年度版（案）で変わる4つ3つのポイント

令和8年（2026年）5月29日、厚生労働省が令和8年度版チェックリスト（案）を公表しました。ガイドラインの改定やBCP強化を反映した変更が加えられています。

ここでは主な変更点を3つ確認しておきましょう。

※令和8年度版は現在「案」の段階です。正式版は今後厚労省から通知される予定です。

二要素認証の対象と令和9年度対応期限が明記された

従来のチェックリストでは曖昧だった二要素認証の対象範囲が、「サーバOSログイン」と「端末アプリケーションログイン」として具体的に明記されました。

令和9年度以降の初回のシステム更改時に実装予定であれば、現時点で未導入でも「はい」と回答できる猶予期間の整理も行われています。

パスワードは8桁以上・定期変更要件は撤廃された

NIST（米国国立標準技術研究所）など最新の知見に基づき、従来の「定期変更必須」と「記号混在必須」の要件が廃止されました。

基本要件は英数字混在8桁以上です。ただし、二要素認証を導入するまでの間は、より長い13桁以上が求められます。パスワードの使い回し禁止は引き続き必須です。

医療IT事業者にもBCP策定が求められるようになった

医療機関向けのチェックリストだけでなく、事業者確認用のチェックリストにもBCP策定の項目が追加されました。

電子カルテなどのシステムを提供する事業者がサイバー攻撃を受ければ、その影響は医療機関にも及びます。こうしたサプライチェーンリスクへの対応として、医療IT事業者にもBCPの策定が必要になりました。

取引先を含むセキュリティ評価制度（SCS）が始まる

セキュリティ対策は医療機関だけで完結するものではありません。電子カルテの提供元やシステム保守会社など、業務上つながっている取引先のどこか一社でも攻撃を受ければ、医療機関にも被害が及びます。

こうした取引先の連なり全体のセキュリティを底上げするため、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を創設しました。令和8年度末頃（2027年1〜3月頃）に申請受付を開始する予定です。

SCS評価制度とは、企業のセキュリティ対策を共通の基準で評価し、★3〜★5の段階で可視化する仕組みです。業種や規模を問わず、電子カルテベンダーやM&A仲介会社なども対象になります。

医療機関にとっては、自院の情報を扱う取引先のセキュリティ水準を客観的に確認できるようになる点が大きな変化です。

取引先がSCS評価を取得していれば、セキュリティ体制が第三者基準で担保されていることになり、万が一の情報漏えい時にも「取引先の選定に合理的な基準を持っていた」と説明できます。

取引先の選定や継続判断において、SCS評価の有無が判断材料の一つになっていくと考えられます。

出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜経済産業省

サイバーセキュリティ対策を怠った医療機関のリスク

サイバーセキュリティ対策を怠った医療機関には、法的な措置、個人情報保護法上の責任、診療報酬への影響、被害時の損害という4つのリスクがあります。

いずれも経営に直結する内容となっているので、ここで確認しておきましょう。

立入検査における改善に従わなければ医療法上の措置の対象になる

立入検査でチェックリストの項目に「いいえ」がある場合、まず改善計画書の提出と改善指導を受けます。それでも改善しなければ、都道府県から措置命令が出されます。

未対応そのものに直接の罰金規定はありませんが、行政指導→改善命令→措置命令と段階的に対応が重くなる仕組みです。

患者の病歴情報が漏れれば個人情報保護法の重い責任を問われる

患者の病歴や診療情報は、個人情報保護法において「要配慮個人情報」に該当します。通常の個人情報よりも厳格な取り扱いが求められるデータです。

ランサムウェアなどによって漏えい（またはそのおそれ）が生じた場合、個人情報保護委員会への報告と患者本人への通知が義務づけられています。個人情報保護委員会の命令に違反した場合は、行為者に1年以下の拘禁刑または100万円以下の罰金、法人には最大1億円以下の罰金が科される重い制裁です。

出典：よくある質問（漏えい等報告）｜個人情報保護委員会

診療録管理体制加算が算定できず収益にも影響する

令和6年度の診療報酬改定により、診療録管理体制加算1（140点）の施設基準に、サイバーセキュリティ対策の要件が組み込まれました。

主な要件は、オフラインを含む複数方式でのバックアップ確保（日次・3世代以上）、サイバー攻撃を想定したBCPの策定、年1回以上の訓練・演習の実施です。許可病床200床以上の病院では、専任の医療情報システム安全管理責任者の配置も求められます。

つまり、「毎日バックアップを取り、ネットから切り離した場所にも直近3回分を保管しておくこと」「攻撃を受けたらどう動くかの計画を作り、年1回は実際に訓練すること」が加算の条件になったということです。

これらの要件を満たせない場合、加算1を算定できず、診療報酬の面でも収益に影響が出ます。

出典：令和6年度診療報酬改定について｜厚生労働省

ランサム被害に遭うと高額な復旧費用や患者からの信頼を失う

警察庁の調査では、ランサムウェア被害の復旧に総額1,000万円以上を要した組織が全体の5割を超えています。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁

医院が影響を受けるのは復旧費用だけではありません。診療停止中の収入がなくなり、患者や紹介元からの信頼も損なわれます。さらに患者から損害賠償を請求されるおそれもあり、金銭面・信用面の両方で大きな損害を受けることになります。

サイバーセキュリティ対策の不備は医院継承（M&A）にも影響が出る

サイバーセキュリティ対策の不備は、日常の診療や法的リスクだけでなく、医院を「継ぐ・売る」場面にも影響します。対策の遅れが医院の評価額を下げ、継承の交渉にも不利に働く可能性がある点を押さえておきましょう。

立入検査での指摘やサイバー攻撃の被害が評価額を下げる

医院継承（M&A）では買い手側がデューデリジェンス（買収前の調査）を行い、過去の行政指導やサイバー攻撃の被害履歴も確認対象になります。

立入検査で改善指導を受けた事実や、攻撃による診療停止の経歴が判明すれば、評価額の引き下げや交渉の打ち切りにつながりかねません。

サイバーセキュリティが未導入の場合は買い手側に高額な整備コストが発生する

評価額だけでなく、継承後のコストも問題になります。義務化項目への未対応が残っていれば、その整備コストは買い手側が全額負担しなければなりません。

二要素認証の整備だけでも1,000万〜3,000万円規模の費用がかかり、複数項目が未整備であればさらに膨らみます。売却を見据えている先生は、チェックリストへの対応を早めに進めておくことが、医院の価値を守ることにつながります。

医療機関のサイバーセキュリティ対策に関するよくある質問

サイバーセキュリティ対策について、先生からよく寄せられる質問にお答えします。

Q1. 小規模なクリニック（診療所）でも対策は必要ですか？

必要です。義務化の対象は「病院」だけでなく、診療所（クリニック）や薬局も含まれています。チェックリストの項目は規模に関わらず対応が必要です。

Q2. チェックリストに未対応だとどうなりますか？

「いいえ」の項目がある場合は、令和8年度中の対応目標日を記入しなければなりません。複数項目が未対応のまま放置されると、立入検査において改善勧告の対象となりえます。

Q3. 二要素認証の導入にはいくらくらいかかりますか？

厚労省の調査によると、導入費用を把握している病院では1,000万〜3,000万円未満が最も多い金額帯です。小規模なクリニックであれば数十万〜数百万円程度で導入できる場合もあります。

経済産業省が実施するIT導入補助金にセキュリティ対策の枠が設けられている場合もあります。

まとめ｜サイバーセキュリティへの対応が医院の信頼性と継承価値を守る

医療機関のサイバーセキュリティ対策は令和5年4月に義務化され、立入検査でチェックリストの対応状況が確認されています。

未対応のまま放置すれば行政上の措置や個人情報漏えい時の責任、診療報酬への影響といったリスクが重なり、医院継承（M&A）でも評価額を下げる要因になりえます。今後はSCS評価制度の開始により、取引先のセキュリティ体制も可視化されていく流れです。

まずはチェックリストの現状を確認し、未対応の項目から計画的に取り組んでいきましょう。

私たちエムステージマネジメントソリューションズも、SCS評価制度への対応を進めながら、サイバーセキュリティ対策を含む医院の現状整理から継承の進め方まで、先生の状況に合わせてサポートしています。

▶医院継承・医業承継(M&A)のご相談は、エムステージ医業承継サポートにお問い合わせください。

この記事の監修者

【免責事項】
本コラムは一般的な情報提供を目的としたものであり、特定の取引や個別の状況に対する税務・法務・労務・行政手続き等の専門的なアドバイスを提供するものではありません。個別案件については必ず専門家にご相談ください。