医療情報システムの安全ガイドライン改定、「保守委託機関編」新設——IT担当者がいない訪問看護ステーションはどうする？

『うちにはITに詳しい人がいないから』——そんな理由で、セキュリティ対応を後回しにしていないでしょうか。

厚生労働省は2026年6月、「医療情報システムの安全管理に関するガイドライン」を第7.0版に改定しました。対象となる「医療機関等」には、病院や診療所だけでなく、訪問看護ステーションや介護事業者も明記されています。今回の改定の目玉は、専任のIT担当者がいない小規模な事業者向けに新設された「保守委託機関編」です。すべてのサーバーのセキュリティ更新を事業者に委託していれば、ガイドラインを遵守しているとみなされる仕組みになりました。医療機関を狙ったランサムウェア被害が深刻化するなか、経営層や企画管理者が分離していないような小規模事業所でも、クラウドサービスを積極的に使うことで特別な契約を交わさずに保守委託を実現できるよう想定されています。

ただし、注意も必要です。「委託はOKでも責任の丸投げはNG」とされており、委託先が契約どおりに対応しているかを確認・管理する責任は、医療機関等の側に残ります。今回の改定では、令和8年度中に対応すべき優先事項をまとめた「サイバーセキュリティ対策チェックリスト」も更新されており、都道府県による立入検査でも委託契約の中身やBCPの策定状況が具体的に問われる場面が出てくるといいます。

訪問看護ステーションのようにIT担当者を置きにくい事業所ほど、この「委託しても任せきりにしない」という感覚を持っておくことが、今後のセキュリティ対策の出発点になりそうです。