何を
「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の各項目に、確認日と「はい」「いいえ」を記入します。「いいえ」の項目には、令和8年度中の目標日を書きます。
いつまで
令和8年度中にすべての項目で「はい」にすることが求められています。点検は、少なくとも年に1回、チェックリストを使って行います。
どこで確認される
薬機法に基づく立入検査です。台帳（2-①）、連絡体制図（3-①）、BCP（3-③）、規程類（4-①）は現物を確認すると、マニュアルに書かれています。
令和8年度版で変わったこと
令和7年度までは、医療機関用と薬局用のチェックリストが別々に出されていました。令和8年度版からは項目が共通であることを踏まえて統合され、1本の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」になっています。
あわせて、「医療情報システムの安全管理に関するガイドライン第7.0版」の策定を受けて、一部の項目が見直されました。令和8年6月29日付けの厚生労働省の通知（医政参発0629第1号・医薬総発0629第1号）で示されています。
令和8年度版は医療機関と薬局の共通版です。令和7年度版の薬局用を手元で使っている場合は、令和8年度版に差し替えてください。
立入検査で何を見られるか
マニュアルには、薬機法に基づく立入検査では、薬局でサイバーセキュリティ確保のために必要な取組を行っているかを確認すると書かれています。チェックリストの全項目に、確認日と回答が記入されているかを見る流れです。
そのうち現物を確認するのは、次の4つです。ほかの項目は、記入されているかどうかの確認が中心です。
| 項目 | 現物として用意するもの |
|---|---|
| 2-① | サーバ、端末、ネットワーク機器の台帳 |
| 3-① | インシデント発生時の連絡体制図（組織内と、事業者・厚生労働省・警察などの外部関係機関） |
| 3-③ | サイバー攻撃の想定を含む事業継続計画（BCP） |
| 4-① | 1から3のすべての項目の実施方法を定めた運用管理規程等 |
2-⑬のアクセスログについては、立入検査の際に直接確認する可能性があると、マニュアルに書かれています。ログを残すだけでなく、アクセス制限をかけて、削除や改ざんを防ぐ対策もあわせて求められています。
記入のしかたと点検の頻度
各項目の実施状況を確認し、「はい」または「いいえ」にマルをつけ、確認した日付を書きます。「いいえ」の場合は、対策を実施する令和8年度中の目標日を記入してください。
紙でも電子データでも、使いやすい方で構いません。点検は、日頃の確認に加えて、少なくとも年に1回はチェックリストを使って行うことになっています。
保守や運用の契約をしている事業者がいる場合は、事業者ごとに「事業者確認用」を送って、回収します。事業者と契約していない場合は、2-②（リモートメンテナンスの確認）と2-③（MDS/SDSの提出）は確認を求められません。ただし、その場合は保守管理の責任を薬局側が負うことになります。
項目の一覧と、用意しておくもの
チェックリストは、体制構築、システムの管理・運用、インシデントに備えた対応、規程類の整備の4つに分かれています。項目の要点は次のとおりです。
| 番号 | 要点 | 確認のされ方 |
|---|---|---|
| 1-① | 医療情報システム安全管理責任者を設置している | 記入の確認 |
| 2-① | サーバ、端末、ネットワーク機器の台帳管理を行っている | 台帳を現物確認 |
| 2-② | リモートメンテナンスを利用している機器の有無を事業者に確認した | 記入の確認 |
| 2-③ | 事業者から医療情報セキュリティ開示書（MDS/SDS）を提出してもらう | 記入の確認 |
| 2-④ | 職種・担当業務別、情報区分ごとのアクセス権限を設定し、管理者権限の対象者を明確にしている | 記入の確認 |
| 2-⑤ | 退職者や使っていないアカウントを削除または無効化している | 記入の確認 |
| 2-⑥ | セキュリティパッチ（最新のファームウェアや更新プログラム）を適用している | 記入の確認 |
| 2-⑦ | パスワードは英数字混在の8桁以上。二要素認証を採用するまでは13桁以上 | 記入の確認 |
| 2-⑧ | パスワードの使い回しを禁止している | 記入の確認 |
| 2-⑨ | USBストレージなどの外部記録媒体や情報機器への接続を制限している | 記入の確認 |
| 2-⑩ | バックグラウンドで動く不要なソフトウェアとサービスを停止している | 記入の確認 |
| 2-⑪ | 端末で、アプリケーションログイン時の二要素認証を実装している。または令和9年度以降の初回のシステム更改時に実装予定である | 記入の確認 |
| 2-⑫ | サーバで、OSログイン時の二要素認証を実装している。または令和9年度以降の初回のシステム更改時に実装予定である | 記入の確認 |
| 2-⑬ | アクセスログを管理している | ログを直接確認する可能性あり |
| 2-⑭ | ネットワーク機器の接続元制限を実施している | 記入の確認 |
| 3-① | インシデント発生時の連絡体制図がある | 連絡体制図を現物確認 |
| 3-② | 診療を継続するために必要な情報を検討し、バックアップを確保して、復旧手順を確認している | 記入の確認 |
| 3-③ | サイバー攻撃の想定を含む事業継続計画（BCP）を策定している | BCPを現物確認 |
| 4-① | 1から3のすべての項目について、具体的な実施方法を運用管理規程等に定めている | 規程類を現物確認 |
2-④のアクセス権限は、利用者に付与したIDを台帳にまとめておくことが望ましいと、マニュアルに書かれています。台帳の項目としては、所属部署、氏名、ユーザID、権限などが例に挙がっています。
年度が変わったときの扱い
チェックリストは令和7年度版、令和8年度版と、年度ごとの版が通知で示されています。令和8年度版では項目の見直しや統合もあったため、前の年度の記入済みの用紙をそのまま使い回さないようにします。
次の年度の版が出たときは、厚生労働省の通知で最新の版と提出先、記入方法を確認して、差し替えてから点検します。令和8年度版の記入済みの用紙は、点検の記録として残しておくと、前回との差が分かります。
根拠
- 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（厚生労働省） 確認日：2026年10月27日
- 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・薬局・事業者向け～（厚生労働省） 確認日：2026年10月27日
- 令和8年度版チェックリスト及びマニュアルについて（令和8年6月29日 医政参発0629第1号・医薬総発0629第1号）（厚生労働省医政局・医薬局） 確認日：2026年10月27日
立入検査の進め方や、自治体ごとの運用は、所在地の都道府県や保健所で異なる場合があります。実際の検査の前に、最新の通知と自治体の案内を確認してください。