3省2ガイドラインの最新版は？改定のポイントと対応すべきことを解説

「以前の版をもとに整えた体制が、今の3省2ガイドラインに追いついているのか分からない」。そう感じている医療機関や、医療機関向けのシステム・サービスを提供する事業者の担当者は少なくありません。3省2ガイドラインは、サイバー攻撃の動向や技術の変化に合わせて改定が重ねられてきました。本記事では、3省2ガイドラインの最新版の一覧、これまでの改定の歩み、最新版の主な変更点、そして自社が見直すべき項目を順に整理します。内容は2026年10月16日時点で公式サイトを確認したものです。実際の対応にあたっては、各省庁が公表している原文もあわせてご確認ください。

3省2ガイドラインの基本から知りたい方は、先に3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説をご覧ください。

1.3省2ガイドラインの最新版は？現行版の一覧

3省2ガイドラインの最新版は、厚生労働省・総務省・経済産業省の公式サイトで確認できます。2026年10月16日時点の現行版は、厚生労働省のガイドラインが第7.0版（令和8年6月）、総務省・経済産業省のガイドラインが第2.0版（令和7年3月）です。

(1)現行版の一覧表（ガイドライン名／所管省庁／版数／公表時期）

ガイドライン名	所管省庁	版数	公表時期
医療情報システムの安全管理に関するガイドライン	厚生労働省	第7.0版	令和8年（2026年）6月
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン	総務省・経済産業省	第2.0版	令和7年（2025年）3月28日

※2026年10月16日時点の情報です。厚生労働省の第7.0版は、公式ページ上で企画管理編のみ「令和8年5月」と表記されています。

(2)版数の確認方法（公式サイトのどこを見るか）

最新版を確認するときは、次の公式ページを見るのが確実です。

厚生労働省

「医療情報システムの安全管理に関するガイドライン」のページ。現行版の各編のPDFのほか、Q&A、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」、改定の概要資料がまとめて掲載されています。

経済産業省

「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」のページ。版の履歴と、ガイドラインとあわせて公表された別紙やFAQが掲載されています。

総務省

報道資料の一覧で、改定案への意見募集や公表の案内を確認できます。

確認するときは、ページ上の「第◯版」という表記と、PDFの表紙にある日付を見てください。改定時には各省庁から自治体などに向けた通知文も出されます。通知文には改定の趣旨や主な改定内容が簡潔にまとまっているため、あわせて読むと全体像をつかみやすくなります。

2.厚生労働省ガイドラインの改定の歩み

(1)これまでの版の変遷

厚生労働省のガイドラインは、平成17年の第1版から改定が重ねられてきました。

版数	公表時期
第1版	平成17年（2005年）3月
第2版	平成19年（2007年）3月
第3版	平成20年（2008年）3月
第4版	平成21年（2009年）3月
第4.1版	平成22年（2010年）2月
第4.2版	平成25年（2013年）10月
第4.3版	平成28年（2016年）3月
第5版	平成29年（2017年）5月
第5.1版	令和3年（2021年）1月
第5.2版	令和4年（2022年）3月
第6.0版	令和5年（2023年）5月
第7.0版	令和8年（2026年）6月

(2)第6.0版で構成が大きく変わった（4分冊化）

第6.0版では、それまで1冊だったガイドラインが、読む人の立場ごとに「概説編」「経営管理編」「企画管理編」「システム運用編」の4つの編に分けられました。このように文書を複数に分けることを「分冊」と呼びます。それまでは1冊の中から自分に関係する箇所を探す必要がありましたが、4分冊化によって、経営層・実務担当者・システム担当者がそれぞれ読むべき範囲が分かりやすくなりました。

(3)第7.0版で保守委託機関編が加わった（5編構成）

第7.0版では、4つの編に「保守委託機関編」が新たに加わり、5編構成になりました。第7.0版の概説編に示されている各編の対象と内容は、次のとおりです。

編	主な対象	主な内容
概説編	全読者	ガイドラインの目的・対象・全体構成と、各編を理解する前提となる考え方
経営管理編	組織の経営方針を策定し、意思決定を担う経営層	経営層として遵守・判断すべき事項、担当部署・担当者へ指示・管理すべき事項
企画管理編	安全管理の実務を担う担当者（企画管理者）	組織体制や規程の整備などの統制、システム運用担当者への指示・管理
システム運用編	医療情報システムの実装・運用の実務を担う担当者	情報機器・ソフトウェア・インフラなどの設計・実装・運用
保守委託機関編	セキュリティアップデートを含むサーバの保守をすべて事業者に委託できている医療機関等	事業者に技術的な安全対策を委託する前提での安全管理措置

システム運用編については、医療機関が医療情報システムの実装・運用を事業者に委託する場合、委託先の事業者もこの編を参照して医療機関と協働する必要があるとされています。

3.最新版で押さえるべき変更点

ここでは、厚生労働省が令和8年6月29日に発出した通知（産情発0629第1号「医療情報システムの安全管理に関するガイドライン第7.0版の策定について」）と、第7.0版の本文・概要資料をもとに要点を整理します。第7.0版は検討段階の案ではなく、正式版として公表されています。具体的な記述は必ず原文でご確認ください。

(1)読む対象者ごとに文書が分かれた

第7.0版では、まず「自院がどの編を読むべきか」を判断する流れが示されています。判断の分かれ目は、「すべてのサーバのセキュリティアップデート（脆弱性を修正するための更新）の責任を、事業者に委託しているかどうか」です。

委託している場合

「概説編」と「保守委託機関編」に対応することで、ガイドラインを遵守しているものとみなされます。

委託していない場合

「概説編」に加えて、経営管理編・企画管理編・システム運用編に対応します。

保守委託機関編は、専任のシステム担当者がおらず、経営者と安全管理の責任者を分けられないことが多い小規模な医療機関を主な対象としています。クラウド型電子カルテ（SaaS型）などのクラウドサービスを積極的に採用することで、保守の委託を実現することが想定されています。なお、ここでいう「サーバ」には、電子カルテのアプリを端末にインストールし、その端末上で処理が完結している場合のPCなども含まれます。

注意したいのは、「委託している」と判断できる条件です。第7.0版では、事業者がセキュリティアップデートの責任を負うことが、契約書・約款・SLA（サービスレベル合意書）などに記載されている場合に限られるとされています。記載がない、または不明確な場合は、医療機関側の責任になっている可能性があります。その場合は、必ず契約先の事業者に直接確認し、責任の所在を明確にすることが求められています。

(2)経営層の責任に関する記述

第6.0版以降、経営管理編では、医療情報システムの安全管理を経営・運営に直接関わる重要な課題として位置づけ、経営層が主体的に関わることを求めています。

第7.0版の通知には、経営層に特化した改定項目は挙げられていません。ただし改定の背景として、サイバー対処能力強化法（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律、令和7年法律第42号）の成立などにより、サイバーセキュリティの重要性が一層高まっていることが示されています。また、第7.0版ではガイドラインの根拠法にサイバーセキュリティ基本法が加えられ、重要インフラのサイバーセキュリティに関する国の指針との整合性も図られました。「現場の担当者任せにしない」という基本的な考え方は、引き続き押さえておくべきポイントです。

(3)外部委託・クラウド利用に関する記述

第7.0版では、クラウドサービスを積極的に活用していく旨が追記されています。あわせて、総務省・経済産業省のガイドラインの改定を受けて、医療機関と事業者の役割分担や、リスクコミュニケーション（リスクについて双方が情報を共有し、認識をそろえること）に関する記述も加わりました。また、取引先や委託先を経由した攻撃のリスク（サプライチェーンリスク）についても追記されています。

委託先やクラウド事業者に「任せているから大丈夫」と考えるのではなく、どこまでを誰が担うのかという責任分界（役割と責任の境界線）を、医療機関と事業者の双方で確認し合うことが一層求められています。3-1で触れたとおり、保守委託機関編の対象になるかどうかも契約内容で決まるため、契約書やSLAの確認は特に重要です。

(4)サイバー攻撃への備えに関する記述

第7.0版では、認証（本人確認）の要件が見直されています。ただし、すべてが新しく求められた事項ではありません。以前の版から続く要件と、第7.0版で変わった点を分けて押さえることが大切です。

以前の版から続いている要件

二要素認証（パスワードに加えてスマートフォンやICカードなど別の要素で本人確認する方法）は、第6.0版の時点で既に示されていました。令和9年度時点で稼働していることが想定される医療情報システムを新規導入・更新する際には、原則として二要素認証、またはそれに相当する対応を採用することが求められています。

第7.0版で変わった点

・二要素認証は、クライアント端末とサーバの両方で実装が必要であることが明確になった。クライアント端末では電子カルテなどのアプリケーションへのログイン時、サーバではOSへのログイン時に実装する
・技術的な理由などで令和9年度（令和9年4月1日時点）までの対応が難しい場合は、令和9年度以降の直近の次期システム更新までを期限とする緩和措置が設けられた
・第6.0版にあった「入室が制限された区画で、入場時の認証と端末利用時の認証を組み合わせて二要素認証相当とみなす」という扱いは、第7.0版のシステム運用編には記載されていない
・パスワードのルールに、異なるシステム間でのパスワードの使い回しの禁止と、アカウントロック（一定回数ログインに失敗すると利用できなくなる仕組み）の導入が追記された
・第6.0版で一部に残っていた「定期的な変更」の要件は、セキュリティの強化につながらないとして削除された

二要素認証は「最近急に求められたもの」ではなく、以前から段階的な導入が求められてきた要件です。入退室管理との組み合わせで対応していた医療機関は、現行版の要件に照らして見直しが必要かどうかを確認しておきましょう。まだ対応していない場合は、次のシステム更新の計画とあわせて早めに検討しておくと安心です。

あわせて、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の令和8年6月版も公表されています。厚生労働省のページには、サイバー攻撃を想定したBCP（事業継続計画）を策定するための確認表やひな形も掲載されています。

4.総務省・経済産業省ガイドラインの動向

(1)統合の経緯と現行版

総務省と経済産業省がそれぞれ定めていた事業者向けのガイドラインは、令和2年8月に1つのガイドラインにまとめられました。その後、令和4年8月に個人情報保護法の改正を受けた軽微な修正（第1.0版）、令和5年7月に第1.1版への改定が行われ、令和7年3月28日に第2.0版が公表されています。2026年10月16日時点では、第2.0版が現行版です。

成り立ちの概略は、3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説をご覧ください。

(2)サービス提供事業者に求められる対応

経済産業省のページでは、第2.0版の改定の観点として「対象事業者の明確化」「事業者・医療機関等間の合意内容の明確化」「リスクコミュニケーションの実効化」の3点が示されています。

第2.0版とあわせて、次の資料も公表されています。

• サービス仕様適合開示書・SLA（サービスレベル合意書）の参考例：事業者が自社サービスの安全管理の内容を医療機関に開示するときの参考になります。
• 統合前のガイドラインの対策項目と、厚生労働省ガイドライン第6.0版との対応表
• FAQ

厚生労働省の第7.0版では、医療機関が保守委託機関編の対象になるかどうかを、セキュリティアップデートの責任が契約書やSLAに書かれているかで判断します。そのため事業者側には、自社が負う責任の範囲を契約や開示書の中ではっきり示すことが、これまで以上に求められるといえます。医療機関に向けてシステムやサービスを提供している事業者は、自社の開示内容や契約の取り決めが第2.0版の考え方に沿っているかを確認しておきましょう。

5.改定に合わせて自社は何を見直すべきか

(1)対応済みの内容が現行版に沿っているか確認する

以前の版をもとに整えた規程やチェックリストは、現行版の要求事項と照らし合わせて見直します。

確認すること

• 自社の規程やチェックリストが、どの版をもとに作られているか
• 現行版で追加・変更された項目（パスワードの使い回し禁止・アカウントロック、二要素認証の対象範囲、サプライチェーンリスクなど）が反映されているか
• パスワードの定期変更を一律に求めるルールが残っている場合、現行版の考え方に合わせて見直す必要があるか
• 二要素認証を、クライアント端末（アプリのログイン）とサーバ（OSのログイン）の両方で導入しているか。未導入の場合、次のシステム更新でいつ対応するかの計画があるか
• 入退室管理との組み合わせで二要素認証相当としていた場合、現行版の要件に照らして見直しが必要か
• 厚生労働省のサイバーセキュリティ対策チェックリスト（最新版）で、自院の状況を点検したか

(2)分冊構成に合わせて社内の役割分担を整理する

分冊は想定読者ごとに分かれているため、社内でも「誰がどの編を担当するか」を決めておくと、対応の抜け漏れを防げます。

確認すること

• 自院が保守委託機関編の対象になるか（すべてのサーバのセキュリティアップデート責任を事業者に委託しているか）を判断したか
• 経営層が経営管理編の内容を理解し、方針や体制づくりに関わっているか
• 企画管理者（安全管理の責任者）が、企画管理編に沿って規程やリスク管理の仕組みを整えているか
• システム運用担当（または委託先）が、システム運用編の対策を実施しているか

(3)委託先・クラウド事業者への確認

現行版では、医療機関と事業者の役割分担やリスクコミュニケーションが重視されています。委託先やクラウド事業者と、取り決めの内容を改めて確認しましょう。

確認すること

• セキュリティアップデートの責任を事業者が負うことが、契約書・約款・SLAに明記されているか
• 責任分界（バックアップ、障害対応、セキュリティアップデートなどをどちらが担うか）が、契約書やSLAで明確になっているか
• 事業者から、総務省・経済産業省のガイドライン第2.0版に沿ったサービス仕様の開示を受けているか
• リモート保守の接続経路や認証方法が、現行版の要求事項に合っているか
• 委託先がさらに再委託している場合、その範囲まで把握できているか

(4)改定情報を継続的に追う仕組みをつくる

ガイドラインは今後も改定される可能性があります。一度対応して終わりにせず、定期的に確認する仕組みをつくっておくことが大切です。

確認すること

• 改定情報を確認する担当者が決まっているか
• 確認の頻度（例：四半期ごと、半年ごと）が決まっているか
• 確認先（厚生労働省・経済産業省のガイドラインページ、総務省の報道資料など）が共有されているか
• 改定があったとき、規程やチェックリストに反映する手順が決まっているか

セキュリティ体制づくり全体の基本は、中小企業の情報セキュリティ対策｜まず取り組むべき5つのことでも解説しています。

6.よくある質問（FAQ）

(1)旧版のまま対応していると問題があるか

影響の有無は、取引先からの要求、契約の内容、所管官庁の最新の案内によって異なります。ただし、現行版で追加・変更された項目に対応できていない可能性があるため、早めに現行版と突き合わせておくことをおすすめします。個別の判断は、取引先や専門家にご確認ください。

(2)改定はどのくらいの頻度で行われるか

これまでの版の履歴を見ると、厚生労働省のガイドラインは、おおむね1年から数年の間隔で改定されてきました。間隔は一定ではないため、定期的に公式サイトを確認する運用が現実的です。

(3)改定情報はどこで確認できるか

厚生労働省の「医療情報システムの安全管理に関するガイドライン」のページと、経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」のページで確認できます。改定案への意見募集や公表の案内は、総務省の報道資料にも掲載されます。

(4)版が変わると認証の取り直しが必要か

扱いは、取引先の要求、契約の内容、関連する認証制度の運用によって異なります。自社が取得している認証や、取引先が求める対応状況の示し方については、それぞれの認証機関や取引先にご確認ください。

7.まとめ

• 3省2ガイドラインの最新版は、2026年10月16日時点で、厚生労働省が第7.0版、総務省・経済産業省が第2.0版です。
• 第7.0版では保守委託機関編が加わり、5編構成になりました。あわせて、パスワードルールの見直し、二要素認証の対象範囲の明確化と緩和措置、クラウド活用や事業者との役割分担に関する記述の整理が行われています。
• 自院がどの編の対象かを確認したうえで、規程や体制を現行版と突き合わせ、委託先との取り決めと改定情報を追う仕組みを整えましょう。

※本記事は一般的な解説です。最新の版数や具体的な対応要件は、必ず厚生労働省・総務省・経済産業省が公表している原文（一次情報）でご確認ください。