⑫ 保存等を委託している医療情報を破棄する場合、委託先事業者に対して、医療情報の破棄等（格
納する記録媒体・情報機器等の破壊含む）を行ったことについての証跡等の提出を求めること。シス
８．情報管理（管理、持出

テム関連事業者のサービス等の性格上、破棄等を行ったことの証跡の提出を求めることが困難な場合

７．情報の持出し・管理・破

し、破棄等）

には、当該事業者における破棄等の手順等の提供を求め、委託先事業者における破棄の手順等が、医

棄等

療機関等が定める破棄の手順等に適合するよう、事前に協議した上で、委託契約等の内容にも含める

⑪

外部保存を受託する事業者に破棄を委託した場合は、確実に医療

情報が破棄されたことを、証憑または事業者の説明により確認するこ
と。

こと。
９．医療情報システムに用い
る機器等の資産管理
９．医療情報システムに用い
る機器等の資産管理

① 医療情報システムにおいて用いる情報機器等の資産管理を行うのに必要な規程その他の資料を整
備し、その管理を行うこと。（なお、情報機器等には、物理的な資産のほか、医療情報システムが利
用するサービス、ライセンスなども含む。）
② 医療機関等が管理する情報機器等について、台帳管理等を行うこと。台帳管理等の対象は、医療
機関等内部の購入部署や購入形態に関わらず、医療情報システムで利用する情報機器等全てとするこ
と。
⑤ 医療情報システムが利用するサービスに関して、安全管理の観点から、利用に適した状況にある

９．医療情報システムに用い
る機器等の資産管理

ことを定期的に確認すること。確認にあたっては、システム運用担当者に対してサービスにおける状
況（サービスの機密性、クラウドサービス等における可用性、システム関連事業者が示す規約内容の
変更状況等）が適切なものとなっていることを確認するよう指示し、報告を受けた上で、必要があれ

⑦

企画管理者と協働して、医療情報システムで用いる情報機器等や

８．利用機器・サービスに対

ソフトウェアの棚卸を行うための手順を策定し、定期的に実施するこ

する安全管理措置

と。棚卸の際には、情報機器等の滅失状況なども併せて確認するこ
と。

ば契約変更等の対応を行うこと。

⑥

IoT 機器を利用する場合、次に掲げる対策を実施すること。検査装置等

に付属するシステム・機器についても同様である。
(1) IoT 機器により医療情報を取り扱う場合は、製造販売業者から提供を受
けた当該医療機器のサイバーセキュリティに関する情報を基にリスク分析を
④ 医療情報システムにおいて利用する情報機器等が、安全管理の観点から利用に適した状況にある

行い、その取扱いに係る運用管理規程を定めること。

９．医療情報システムに用い

ことを定期的に確認すること。確認にあたっては、システム運用担当者に対して、情報機器等におけ

８．利用機器・サービスに対

(2) IoT 機器には、製品出荷後にファームウェア等に関する脆弱性が発見さ

る機器等の資産管理

る状況（ソフトウェアやファームウェアのアップデートの状況、脆弱性に関する対応状況等）を確認

する安全管理措置

れることがある。システムやサービスの特徴を踏まえ、IoT 機器のセキュリ

するよう指示し、報告を受け、適宜必要な対応を行うこと。

ティ上重要なアップデートを必要なタイミングで適切に実施する方法を検討
し、運用すること。
(3) 使用が終了した又は不具合のために使用を停止したIoT 機器をネット
ワークに接続したまま放置すると不正に接続されるリスクがあるため、対策
を実施すること。

⑤
９．医療情報システムに用い
る機器等の資産管理

医療情報システムが利用するサービスに関して、安全管理の観点から、利用に適した状況にある

ことを定期的に確認すること。確認にあたっては、システム運用担当者に対してサービスにおける状
況（サービスの機密性、クラウドサービス等における可用性、システム関連事業者が示す規約内容の
変更状況等）が適切なものとなっていることを確認するよう指示し、報告を受けた上で、必要があれ
ば契約変更等の対応を行うこと。
⑥

９．医療情報システムに用い
る機器等の資産管理

医療機関等が管理しない情報機器で、医療情報システムに用いるもの（例えばBYOD（Bring

Your Own Device：個人保有の情報機器）の利用による端末）について、利用を許諾する条件や、利
用範囲、管理方法等に関する内容を規程等に含めること。また、これに基づいて利用される情報機器
等について、利用の許諾状況も含めて、医療機関等が管理する情報機器同様に、台帳管理等を行うこ

８．利用機器・サービスに対

⑧

BYOD の実施に関する規程に基づいて、具体的な手順と設定を行

する安全管理措置

い、企画管理者に報告すること。

８．利用機器・サービスに対

⑨

する安全管理措置

策が講じられるよう、手順を作成すること。

と。

医療情報システムで利用する情報機器等の資産管理状況を把握した上で、経営層に報告し、承認

８．利用機器・サービスに対

９．医療情報システムに用い

⑦

る機器等の資産管理

を得ること。

13．医療情報システムの利用

① リスク評価に基づいて、医療情報システムにおける利用者の認証等及びアクセス権限に関する規

者に関する認証等及び権限

程を整備し、管理すること。

13．医療情報システムの利用

② 医療情報システムで利用する認証方法が安全なものとなるよう、担当者に対して、リスク評価に

１４．認証・認可に関する安

者に関する認証等及び権限

基づいて適切な方法を採用することを指示し、その報告を受けること。

全管理措置

する安全管理措置

１４．認証・認可に関する安
全管理措置

⑦

BYOD であっても、医療機関等が管理する情報機器等と同等の対
企画管理者と協働して、医療情報システムで用いる情報機器等やソフト

ウェアの棚卸を行うための手順を策定し、定期的に実施すること。棚卸の際
には、情報機器等の滅失状況なども併せて確認すること。

①

医療機関等で用いる医療情報システムへのアクセスにおいて、利

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。
② 利用者の識別・認証にユーザID とパスワードの組み合わせを用い
る場合、それらの情報を、本人しか知り得ない状態に保つよう対策を
実施すること。
③ 利用者の識別・認証にIC カード等のセキュリティ・デバイスを用

１４．認証・認可に関する安

いる場合、IC カードの破損等、セキュリティ・デバイスが利用できな

全管理措置

いときを想定し、緊急時の代替手段による一時的なアクセスルールを
用意すること。。
⑤ 利用者認証にパスワードを用いる場合には、令和９年度時点で稼

１４．認証・認可に関する安

働していることが想定される医療情報システムを、今後、新規導入又

全管理措置

は更新に際しては、二要素認証を採用するシステムの導入、又はこれ
に相当する対応を行うこと。
⑥ パスワードを利用者認証に使用する場合、次に掲げる対策を実施
すること。
－

類推されやすいパスワードを使用させないよう、設定可能なパス

ワードに制限を設けること。
－

医療情報システム内のパスワードファイルは、パスワードを暗号

化（不可逆変換によること）した状態で、適切な手法で管理・運用す
ること。
－

利用者のパスワードの失念や、パスワード漏洩のおそれなどによ

１４．認証・認可に関する安

り、医療情報システムのシステム運用担当者がパスワードを変更する

全管理措置

場合には、利用者の本人確認を行うとともに、どのような手法で本人
確認を行ったのかを台帳に記載（本人確認を行った書類等のコピーを
添付）すること。また、変更したパスワードは、利用者本人以外が知
り得ない方法で通知すること。なお、パスワード漏洩のおそれがある
場合には、速やかにパスワードの変更を含む適切な処置を講じるこ
と。
－ 医療情報システムのシステム運用担当者であっても、利用者のパス
ワードを推定できないようにすること（設定ファイルにパスワードが
記載される等があってはならない）。

13．医療情報システムの利用
者に関する認証等及び権限

③ 医療機関等の内部における利用者については、医療機関等に所属することが前提となるよう管理
すること。所属に関する実態を認証の仕組みにおいて適切に反映できるよう、担当者に対して、人事
等の情報と整合性をとって利用者のID 等を付与する等の必要な手順を作成するよう指示すること。

１４．認証・認可に関する安
全管理措置

④ 医療情報システムの利用権限は、医療従事者の資格や医療機関内の権限規程に応じたものとって
13．医療情報システムの利用

いることが前提となるよう管理すること。資格や権限に関する実態を認証の仕組みにおいて適切に反

１４．認証・認可に関する安

者に関する認証等及び権限

映できるよう、担当者に対して、利用者が所属する部署等からの申請を踏まえて権限を付与し、その

全管理措置

結果について申請部署の管理者から確認を得る等の必要な手順を作成するよう指示すること。

①

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。

①

全管理措置

医療機関等で用いる医療情報システムへのアクセスにおいて、利

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。
④

１４．認証・認可に関する安

医療機関等で用いる医療情報システムへのアクセスにおいて、利

アクセス管理に関する規程に基づいてアクセス権限を付与する場

合、権限の実態が反映できるよう、システム運用担当者に対して、利
用者が所属する部署等からの申請などを踏まえて権限を付与し、その
結果について申請部署の管理者からの確認を得る等の手順を作成する
よう指示すること。

⑤ 医療機関等の外部の利用者について、医療情報システムの利用におけるアクセス権限とアクセス
13．医療情報システムの利用

状況を管理すること。医療情報システムの利用用途とアクセス範囲、アクセス権限等をリスク評価に

１４．認証・認可に関する安

者に関する認証等及び権限

基づいて整理した上で、その内容に応じてID やアクセス権限を付与すること。その具体的な手順に

全管理措置

ついては、担当者に作成を指示すること。

①

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。
④

１４．認証・認可に関する安
全管理措置

医療機関等で用いる医療情報システムへのアクセスにおいて、利

アクセス管理に関する規程に基づいてアクセス権限を付与する場

合、権限の実態が反映できるよう、システム運用担当者に対して、利
用者が所属する部署等からの申請などを踏まえて権限を付与し、その
結果について申請部署の管理者からの確認を得る等の手順を作成する
よう指示すること。

⑥ 医療情報システムの管理権限や、医療情報システム、情報機器等で用いるID 等の安全管理を行
13．医療情報システムの利用
者に関する認証等及び権限

うこと。管理権限については、担当者に対して、医療情報システムにおいて利用される管理権限の種
類とそのID、利用が認められている者等を管理して一覧化するよう指示すること。システム等で用
いるID 等については、担当者に安全性の確認を指示し、必要に応じて認証に関する情報の変更等を

１４．認証・認可に関する安
全管理措置

①

医療機関等で用いる医療情報システムへのアクセスにおいて、利

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。

指示すること。

１４．認証・認可に関する安
全管理措置
13．医療情報システムの利用
者に関する認証等及び権限

⑦ 医療情報システムで利用するID 等についての棚卸を定期的に行い、不要なものについては削除
すること。棚卸については、担当者に具体的な手順等の策定を指示すること。また、棚卸結果を経営
層に報告し、承認を得ること。

１４．認証・認可に関する安
全管理措置
１４．認証・認可に関する安
全管理措置

13．医療情報システムの利用
者に関する認証等及び権限

⑧

電子カルテにおける記録の確定に関して、以下の事項を規程等に含めること。

－

入力者及び確定者の識別・認証

－

記録の確定手順、識別情報の記録の保存

－

更新履歴の保存

－

代行入力を実施する場合、代行入力を認める業務、代行が許可される依頼者と実施者

１４．認証・認可に関する安
全管理措置

⑦

医療情報システムにおいて用いるIDについて、台帳管理等を行う

ほか、定期的に棚卸を行い、不要なものは適宜削除すること等を含む
手順を作成すること。
① 医療機関等で用いる医療情報システムへのアクセスにおいて、利
用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。
⑦ 医療情報システムにおいて用いるIDについて、台帳管理等を行う
ほか、定期的に棚卸を行い、不要なものは適宜削除すること等を含む
手順を作成すること。
①

医療機関等で用いる医療情報システムへのアクセスにおいて、利

用者の識別・認証を行い、利用者認証方法に関する手順等に関して、
規則、マニュアル等で文書化すること。