3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説

取引先や顧客から「3省2ガイドラインに準拠していますか？」と聞かれ、初めてこの言葉を調べ始めた方も多いのではないでしょうか。医療機関にシステムやサービスを提供する事業者や、医療機関で情報システムを担当する方にとって、3省2ガイドラインは避けて通れない基準です。とはいえ、名称が分かりにくく、どこから手をつければよいか迷ってしまいます。本記事では「3省2ガイドラインとは何か」「なぜ必要なのか」「何を求めているのか」「自社は何をすべきか」の順に、初めての方にも分かるよう整理して解説します。

1. 3省2ガイドラインとは？3つの省庁による2つのガイドラインの総称

3省2ガイドラインとは、医療情報を扱う際の安全管理について、国の3つの省庁が定めた2つのガイドラインの総称です。医療機関と、医療機関にシステムやサービスを提供する事業者のそれぞれに向けて、医療情報を安全に取り扱うための考え方や対策を示しています。

(1)一言でいうと何を定めたものか

一言でいえば、「患者の診療情報などの医療情報を、漏えい・改ざん・消失から守り、必要なときに確実に使える状態を保つためのルール集」です。電子カルテ、医事会計システム、PACS（医用画像を保存・閲覧するシステム）など、医療情報を電子的に扱う場面で、組織体制・人・設備・システムの各面からどのような対策を講じるべきかが示されています。

(2)2つのガイドラインの名称と所管省庁（一覧表）

ガイドライン	所管省庁	主な対象者
医療情報システムの安全管理に関するガイドライン	厚生労働省	病院・一般診療所・歯科診療所・薬局のほか、医療情報を扱う介護事業者や訪問看護ステーション、医療情報連携ネットワークの運営事業者など
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン	総務省・経済産業省	医療機関等に対し、医療情報を扱うシステム、クラウドサービス、運用保守などを提供する事業者

正式名称や対象範囲は改定時に見直される場合もあるため、文書を参照する際は各省庁の公式サイトで最新の内容をご確認ください。

(3)なぜ「3省2」と呼ばれるのか

「3省2」という呼び名は、「3つの省庁（厚生労働省・総務省・経済産業省）」が定める「2つのガイドライン」という意味です。医療機関向けを厚生労働省が、事業者向けを総務省と経済産業省が共同で所管しているため、まとめてこのように呼ばれています。正式名称ではなく、業界で広く使われている通称です。

2. なぜ3省2ガイドラインが必要とされるのか

(1)医療情報の特性（機微性が高く長期保存が求められる）

医療情報には、病歴や検査結果など、本人にとって他人に知られたくない情報が多く含まれます。個人情報保護法では、病歴などは「要配慮個人情報」（取り扱いに特に配慮が必要な個人情報）とされています。また、診療記録は一定期間の保存が求められ、長期間にわたって安全に保管し続ける必要があります。一度漏えいすれば患者に深刻な影響を与えかねないため、一般的な情報以上に慎重な管理が求められます。

(2)クラウド利用と外部委託の拡大

近年は、電子カルテや予約システムをクラウドで利用したり、システムの運用保守を外部の事業者に委託したりするケースが一般的になりました。電子カルテ、医事会計、検査システム、ネットワーク機器と、システムごとにベンダー（提供事業者）が異なり、問い合わせ窓口もばらばら、という医療機関も少なくありません。便利になる一方で、「情報をどこで、誰が、どのように管理しているのか」が見えにくくなり、責任の所在が複雑になっています。医療機関と事業者がそれぞれの立場で何をすべきかを示す共通のものさしとして、ガイドラインが重要な役割を担っています。

(3)医療機関を狙ったサイバー攻撃の増加

医療機関を標的としたランサムウェア（データを暗号化して身代金を要求する不正プログラム）などのサイバー攻撃が、国内外で問題となっています。IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」でも、ランサムウェアや、サプライチェーン・委託先を狙った攻撃が上位に挙げられています。警察庁の公表資料でも、ランサムウェアの主な感染経路はVPN機器やリモートデスクトップだと報告されています。ベンダーのリモート保守用の接続口が、そのまま攻撃の入口になりうるということです。

医療機関のシステムが停止すれば、診療の継続そのものが難しくなります。復旧に長い期間と多額の費用がかかる場合もあり、患者の生命や健康に関わる事態にもなりかねません。こうした脅威の高まりを背景に、医療分野全体でセキュリティ対策の底上げが求められています。

3. 3省2ガイドラインは何を求めている？

(1)情報セキュリティの3要素（機密性・完全性・可用性）

3省2ガイドラインの土台にあるのが、情報セキュリティの3要素と呼ばれる考え方です。

機密性

許可された人だけが情報を見られる状態を保つことです。たとえるなら「カルテ庫の鍵を、担当者だけが持っている状態」です。

完全性

情報が正確で、勝手に書き換えられていない状態を保つことです。「処方内容が誰かに改ざんされていない」ことが該当します。

可用性

必要なときに情報を使える状態を保つことです。「急患が来たときに、すぐ電子カルテを開ける」ことが該当します。

医療情報では、特に可用性が重要です。守りを固めすぎて診療中に情報が使えなくなっては本末転倒だからです。3つのバランスを取ることが求められます。

(2)組織的・物理的・技術的・人的な安全管理措置

安全管理措置とは、情報を守るための具体的な取り組みのことです。一般に、次の4つの観点に分けて整理されます。

組織的安全管理措置

ルールと体制を整える領域です。例として、情報管理の責任者の任命、医療情報の取り扱い規程やパスワードポリシーの策定、事故発生時の報告・対応手順の整備などがあります。

物理的安全管理措置

場所や機器を守る領域です。例として、サーバー室への入退室管理、端末の盗難防止、書類や記録媒体の施錠保管、廃棄する端末のデータ消去などがあります。

技術的安全管理措置

システムの仕組みで守る領域です。例として、アクセス制御（誰がどの情報を見られるかを制限すること）、ログ管理（誰がいつ何をしたかの記録）、通信の暗号化、ウイルス対策、バックアップがあります。電子カルテなどの医療系ネットワークとインターネットにつながる情報系ネットワークを分ける「ネットワーク分離」や、VPN機器の更新・設定管理も重要な対策です。

人的安全管理措置

人に起因するリスクを減らす領域です。例として、職員への定期的な教育やフィッシングメール訓練、守秘義務に関する誓約、退職者のアカウント削除などがあります。

なお、厚生労働省のガイドラインは、読み手の立場に応じて「概説編」「経営管理編」「企画管理編」「システム運用編」に分かれています。経営層が担う体制づくり、実務担当者が整える規程や統制の仕組み、システム担当者が扱う機器・ソフトウェアの具体的な管理、という形で役割ごとに読むべき箇所が整理されています。全文を一人で読み込むのではなく、自分の立場に関係する編から確認するとスムーズです。

どれか1つの観点だけを強化しても十分ではありません。高度なシステムを導入しても、パスワードを付箋に貼っていては意味がないように、4つを組み合わせて対策することが大切です。

(3)委託先の管理と責任分界の明確化

システムの運用やデータの保管を外部に委託しても、医療機関の責任がなくなるわけではありません。ガイドラインでは、委託元と委託先がそれぞれ何に責任を持つのかをあらかじめ明確にする考え方が重視されています。これを「責任分界」（役割と責任の境界線を引くこと）と呼びます。

具体的には、どちらがバックアップを取るのか、障害発生時に誰がどこまで対応するのか、データの保存場所はどこか、ベンダーのリモート保守はどの経路で誰が接続するのか、といった点を整理し、契約書やSLA（サービスレベル合意書）などで取り決めます。事業者側には、自社サービスの安全管理の内容を医療機関に分かりやすく説明し、情報を開示する姿勢が求められます。

4. 3省2ガイドラインの成り立ち｜3省4から3省2へ

(1)かつては3省4ガイドラインと呼ばれていた

現在の3省2ガイドラインになる前は、「3省4ガイドライン」と呼ばれていました。厚生労働省のガイドラインに加え、総務省と経済産業省がそれぞれ事業者向けのガイドラインを定めており、合わせて4つのガイドラインが存在していたためです。

(2)総務省と経済産業省のガイドライン統合

その後、事業者向けに分かれていた総務省と経済産業省のガイドラインが1つに統合され、現在の「3つの省庁による2つのガイドライン」という形になりました。事業者にとっては、参照すべき文書が整理され、分かりやすくなったといえます。

版の変遷や最新改定の内容は、以下の記事で詳しく解説しています。

5. 自社は何をすればいい？対応の進め方

(1)自社がどちらのガイドラインの対象か確認する

最初に、自社がどちらのガイドラインの対象になるかを確認します。病院・診療所・薬局などの医療機関であれば、主に厚生労働省のガイドラインが対象です。医療機関に対してシステムやクラウドサービス、運用保守などを提供する事業者であれば、主に総務省・経済産業省のガイドラインが対象となります。

確認の際は、次の点を整理しておくと判断しやすくなります。

• 自社は医療情報を「自ら取り扱う立場」か、「取り扱うためのシステムやサービスを提供する立場」か
• 提供しているサービスの中で、医療情報を保存・処理・伝送しているか
• 再委託先（委託先がさらに業務を委ねる相手）を含め、医療情報に関わる事業者がどこまで広がっているか

(2)現状とのギャップを洗い出す

対象となるガイドラインが分かったら、ガイドラインが求める内容と自社の現状とのギャップ（差）を洗い出します。進め方の一例は次のとおりです。

1. 現状を棚卸しする：導入済みのシステムとベンダー、ネットワーク構成、拠点数、既存の規程類、IT担当者の有無などを一覧にします。ネットワーク構成図やシステム構成図がない場合は、この段階で作成しておくと後の作業が楽になります。
2. 要求事項をチェックリスト化する：組織的・物理的・技術的・人的の観点ごとに、ガイドラインの要求事項を確認項目に落とし込みます。
3. 担当部署を割り当てる：事務部門、情報システム担当、人事、各ベンダーなど、項目ごとに確認する担当を決めます。
4. 対応状況を判定し、根拠を残す：各項目を「対応済み」「一部対応」「未対応」で判定し、裏付けとなる規程や記録を紐づけます。この記録は、取引先や監査、行政への説明に使えるエビデンス（証跡）になります。
5. 優先順位をつけて計画化する：リスクの大きさと実現しやすさを踏まえ、着手する順番とスケジュールを決めます。

すべてを一度に完璧にする必要はありません。VPN機器の管理やバックアップなど影響の大きい項目、取引先から求められている項目から着手し、段階的に整備していくのが現実的です。

なお、中小規模の病院やクリニックでは、IT専任者がおらず、事務長や看護師長がITを兼任しているケースも多く見られます。社内だけで要求事項を読み解き、日常のIT運用と両立させるのが難しい場合は、外部の専門家の伴走支援を活用するのも一つの方法です。

(3)ISMSなど既存の枠組みを活用する

すでにISMS（情報セキュリティマネジメントシステム。国際規格ISO/IEC 27001に基づく情報セキュリティ管理の仕組み）やプライバシーマークに取り組んでいる場合、その仕組みを土台にできます。3省2ガイドラインが求める組織体制や規程整備は、これらの認証で整えてきた内容と重なる部分が少なくありません。規程類、リスク評価、教育の記録など既存の成果物を流用・補強すれば、重複作業を減らしながら対応を進められます。

これから情報セキュリティ対策の基礎を固めたい場合は、以下の記事もあわせてご覧ください。

6. よくある質問（FAQ）

(1)3省2ガイドラインに法的な拘束力はあるか

ガイドラインそのものは、法令とは性質が異なります。ただし、個人情報保護法など関連する法令上の義務や、取引先との契約・取引上の要請を通じて、遵守が事実上求められる場面があります。自社の個別の状況における判断は、弁護士などの専門家や所管官庁にご確認ください。

(2)準拠を証明する認証制度はあるか

3省2ガイドラインへの対応状況を示す方法として、第三者による認証や自己チェックの仕組みが関連して語られる場合があります。どの手段が取引先に有効かは状況によって異なるため、各省庁や関係団体の公式情報で確認することをおすすめします。いずれの場合も、対応状況を文書や記録として残しておくことが説明の土台になります。

(3)医療機関以外も対象になるか

はい、対象になり得ます。医療機関にシステムやクラウドサービスを提供する事業者や、運用保守を受託する事業者は、総務省・経済産業省のガイドラインの対象となる可能性があります。また、医療情報を扱う介護事業者や訪問看護ステーションなども、厚生労働省のガイドラインの対象として挙げられています。医療情報に関わる業務を担っているかどうかが判断のポイントです。

(4)最新版はどれか

3省2ガイドラインは、技術の進展や社会情勢に応じて改定が行われます。最新版は、厚生労働省・総務省・経済産業省それぞれの公式サイトで公表されている文書を確認してください。改定の流れや最新の変更点は、以下の記事で解説しています。

7. まとめ

• 3省2ガイドラインとは、厚生労働省と総務省・経済産業省が定める、医療情報の安全管理に関する2つのガイドラインの総称です。
• 機密性・完全性・可用性を土台に、組織的・物理的・技術的・人的な安全管理措置と、委託先との責任分界の明確化を求めています。
• まずは自社がどちらのガイドラインの対象かを確認し、現状とのギャップを洗い出したうえで、既存の取り組みを活用しながら段階的に対応を進めましょう。

※本記事は一般的な解説です。最新の改定内容や具体的な対応要件は、必ず厚生労働省・総務省・経済産業省が公表している原文（一次情報）でご確認ください。