何を
サーバ、端末、ネットワーク機器の台帳と、ネットワーク構成図を作ります。業者には、リモートメンテナンスの有無とMDS/SDSを確認します。
いつまで
チェックリストは令和8年度中にすべて「はい」にします。構成図は、ガイドライン第7.0版で常に最新の状態を維持するよう求められています。
どこで確認される
台帳は、チェックリスト2-①として立入検査で現物を確認されます。構成図は、チェックリスト本体の現物確認項目ではありません。
台帳と構成図は、求められる場面が違います
機器台帳は、令和8年度版のチェックリスト2-①「サーバ、端末、ネットワーク機器の台帳管理を行っている」にあたります。マニュアルには、2-①の台帳は立入検査で現物を確認するため、立入検査までに作成するよう書かれています。
ネットワーク構成図は、チェックリストの項目には入っていません。ガイドライン第7.0版のシステム運用編と、「サイバー攻撃を想定した事業継続計画（BCP）策定の確認表」の1-1で、整備を求められています。
| 機器台帳 | ネットワーク構成図 | |
|---|---|---|
| 根拠 | チェックリスト2-①。ガイドライン第7.0版の企画管理編9.1と経営管理編1.2.1も参照先に挙げられています | ガイドライン第7.0版 システム運用編2【遵守事項】②。BCP策定の確認表1-1 |
| 立入検査 | 現物を確認 | チェックリスト本体の現物確認項目ではない |
ただし、構成図は確認表の1-1やガイドラインで整備を求められています。台帳だけで足りたと考えず、あわせて作っておきます。
機器台帳に書く項目
マニュアルによると、台帳で管理する内容として、情報機器等の所在、利用者、ソフトウェアやサービスのバージョンなどが想定されています。所在とは、実際の設置場所やネットワーク識別情報のことです。
マニュアルの機器台帳の例には、管理番号、メーカー、OS、ソフトウェア、バージョン、IPアドレス、コンピュータ名、設置場所、利用者、登録日、状態、説明の列が並んでいます。これを参考に、架空の薬局を想定して書くと次のようになります。
| 管理番号 | 機器 | OS | ソフトウェア（バージョン） | 設置場所 | 利用者 | 状態 | 説明 |
|---|---|---|---|---|---|---|---|
| 001 | レセコン本体（サーバ） | Windows Server | 調剤システム（5.0） | 事務室 | 管理者のみ | 稼働 | 保守は業者Aが担当 |
| 002 | 調剤室のPC1 | Windows 11 | 調剤システム端末（5.0） | 調剤室 | 薬剤師 | 稼働 | |
| 003 | 受付のPC2 | Windows 11 | 調剤システム端末（5.0） | 受付 | 事務職員 | 停止 | 修理中 |
| 004 | ルータ | ファームウェア（2.1） | 事務室 | 管理者のみ | 稼働 | 外部接続の窓口 |
チェックリスト2-①の補足には、自分の薬局で持っているすべての医療情報システムについて台帳管理をしていれば、「はい」にマルをつけてよいと書かれています。一部の機器だけを載せた台帳では、「はい」にはなりません。
構成図に載せるもの
ガイドライン第7.0版のシステム運用編は、医療情報システムに関する全体構成図（ネットワーク構成図、システム構成図等）と、システム責任者・関係者一覧（設置事業者、保守事業者等を含む）を作り、常に最新の状態を維持することを求めています。
BCP策定の確認表の1-1では、機器の把握と全体構成図の作成が、次の4つの確認事項として並んでいます。
- サーバ、端末PC、ネットワーク機器を把握できているか
- ネットワーク構成図・システム構成図が整備できているか
- システム停止が事業継続に与える影響を把握できているか
- サーバ、端末PC、ネットワーク機器の脆弱性への対応ができているか
構成図の書き方を細かく定めた資料は、今回確認した範囲にはありませんでした。台帳に載せた機器が、どの機器とどうつながり、外部とはどこで接続しているかが読み取れる図にしておくと、台帳と照らし合わせやすくなります。
業者に確認する項目
台帳を作る段階で、保守や運用を任せている事業者に、チェックリストの2-②と2-③にあたる内容を確認します。確認した結果は、2-②と2-③の確認日として記入します。
| 確認すること | チェックリストの番号 | マニュアルの説明 |
|---|---|---|
| リモートメンテナンス（遠隔保守）を使っている機器があるか | 2-② | 外部接続点からの攻撃が相次いでおり、薬局側が外部接続点を把握しきれていないことが要因のひとつとされています。2-①の台帳をもとに事業者へ確認し、安全管理責任者等へ報告します |
| 製造業者・サービス事業者の医療情報セキュリティ開示書（MDS/SDS）をもらう | 2-③ | リスク評価とリスク管理のために、事業者が作成するMDS/SDSを確認することが有効とされています。事業者へ有無を確認し、回収します |
| 事業者側のチェックリスト（事業者確認用）を出してもらう | 事業者確認用 | 複数のシステムを使っている場合は、システムを提供している事業者ごとに確認を求めます。「対象外」の項目は薬局側が責任を負うため、責任の分け方にずれがないかを確認します |
事業者と契約していない場合は、2-②と2-③の確認は求められません。その場合でも、保守管理の責任はすべて薬局側にあります。
作り方の進め方
最初に台帳から作ると、構成図が描きやすくなります。薬局にある機器を、レセコン、電子薬歴、ルータ、プリンタ、薬剤監査などの周辺機器まで順に書き出し、設置場所と利用者を埋めていきます。
台帳ができたら、構成図に機器を配置し、機器どうしのつながりと外部との接続点を線で描きます。不明な機器や接続点は、台帳の説明欄に「要確認」と書いて、業者への質問に回します。
更新のタイミング
ガイドラインは、構成図と関係者一覧を常に最新の状態に維持するよう求めています。機器の追加・撤去・入れ替え、ソフトウェアのバージョンアップ、保守事業者の変更があったときは、そのつど台帳と構成図を直します。
チェックリストの点検は、少なくとも年に1回行うことになっています。点検の日に、台帳と実際の機器を突き合わせておくと、直し忘れに気づけます。
根拠
- 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（厚生労働省） 確認日：2026年10月27日
- 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・薬局・事業者向け～（厚生労働省） 確認日：2026年10月27日
- サイバー攻撃を想定した事業継続計画（BCP）策定の確認表（厚生労働省） 確認日：2026年10月27日
- 医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編（厚生労働省） 確認日：2026年10月27日
台帳の様式や構成図の書き方は、資料の例を参考にした一例です。実際の立入検査の運用は、所在地の都道府県や保健所の最新案内で確認してください。