3省2ガイドラインの違いとは？2つのガイドラインを比較して解説

3省2ガイドラインが2つの文書から成ることは分かったものの、「自社はどちらを読めばよいのか」で手が止まっていないでしょうか。どちらも分量が多く、両方を読み込む時間はなかなか取れません。本記事では、3省2ガイドラインの違いを比較表で整理したうえで、それぞれの特徴、両方を確認する必要があるケース、旧3省4ガイドラインやISMS・Pマークとの違いまでを解説します。読み終えるころには、自社に関係する範囲を絞り込み、どこから読み始めればよいかを判断できるはずです。

1.3省2ガイドラインの2つは何が違う？読み手と役割が異なる

3省2ガイドラインの違いをひと言でいえば、「想定している読み手と役割」です。厚生労働省のガイドラインは医療機関等の側に向けたもの、総務省・経済産業省のガイドラインは医療機関等にシステムやサービスを提供する事業者の側に向けたものです。

(1)比較表（所管省庁／対象読者／目的／記述の粒度）

観点	厚生労働省ガイドライン	総務省・経済産業省ガイドライン
正式名称	医療情報システムの安全管理に関するガイドライン	医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
所管省庁	厚生労働省	総務省・経済産業省
対象読者	病院、診療所、薬局、訪問看護ステーション、介護事業者など、医療情報システムを導入・運用・利用する医療機関等の関係者	医療機関等との契約に基づいて医療情報システムやサービスを提供する事業者。直接の契約がなくても必要な資源や役務を提供する事業者も含む
目的	医療機関等が医療情報システムを安全に管理するために、組織・運用・技術の各面で講じるべき対策を示す	事業者がリスクに基づいて安全管理を行い、医療機関等との共通理解と合意のもとでシステムやサービスを提供できるようにする
記述の粒度	経営層・安全管理の責任者・システム運用担当といった立場ごとに、遵守すべき事項を具体的に示す	一律の要求事項を並べるのではなく、リスクを評価して対策を決める進め方（リスクマネジメント）と、医療機関等との合意形成の考え方を中心に示す

(2)一方だけ読めばよいとは限らない理由

2つのガイドラインは別々の読み手に向けて書かれていますが、扱っている対象は同じ「医療情報」です。医療機関がシステムの運用を事業者に委託すれば、安全管理の一部を事業者が担うことになります。そのため、片方だけを読んでいると次のような見落としが起こりえます。

• 医療機関側は「事業者がやってくれているはず」と考え、事業者側は「契約で約束した範囲だけ対応すればよい」と考えて、誰も担当していない領域が生まれる
• 事業者が自社の対策を説明しても、医療機関側が求められている要件と結びつかず、十分かどうかを判断できない

こうした責任分界（どこまでを誰が担うかという役割と責任の境界線）のずれを防ぐには、自社に主に関係する方を軸にしつつ、相手側のガイドラインの考え方も押さえておくことが大切です。

2.厚生労働省ガイドラインの特徴

(1)想定している読み手

厚生労働省のガイドラインは、医療機関等で医療情報システムの導入、運用、利用、保守、廃棄に関わるすべての人を対象としています。ここでいう医療機関等には、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワークの運営事業者などが含まれます。

(2)求めている内容の方向性

医療機関等が自ら守るべき事項を、組織・運用・技術の各面から具体的に示しているのが特徴です。経営層による体制づくりや責任者の設置、規程の整備、アクセス管理や認証、ネットワーク対策、バックアップ、サイバー攻撃への備えなど、幅広いテーマを扱っています。また、医療情報システムの運用を事業者に委託する場合でも医療機関等の責任はなくならないという前提に立ち、事業者との責任分界や役割分担を明確にすることを求めています。

(3)分冊構成（概説編・経営管理編・企画管理編・システム運用編）

厚生労働省のガイドラインは、読み手の立場ごとに文書が分かれています。このように1つの文書を複数に分けることを「分冊」と呼びます。

編	主な読み手	主な内容
概説編	全読者	目的・対象・全体構成と、各編を理解する前提となる考え方
経営管理編	経営方針を策定し、意思決定を担う経営層	経営層として遵守・判断すべき事項、担当部署・担当者への指示・管理
企画管理編	安全管理の実務を担う担当者（企画管理者）	組織体制や規程の整備などの統制、システム運用担当者への指示・管理
システム運用編	医療情報システムの実装・運用の実務を担う担当者	情報機器・ソフトウェア・インフラなどの設計・実装・運用
保守委託機関編	サーバのセキュリティアップデートを含む保守をすべて事業者に委託できている医療機関等	事業者に技術的な安全対策を委託する前提での安全管理措置

現行版では、上の4つの編に加えて「保守委託機関編」が設けられ、5つの編で構成されています。保守委託機関編の対象になる医療機関等は、概説編と保守委託機関編に対応すれば、ガイドラインを遵守しているものとみなされます。

版の変遷や最新の改定内容は、3省2ガイドラインの最新版は？改定のポイントと対応すべきことを解説をご覧ください。

3.総務省・経済産業省ガイドラインの特徴

(1)想定している読み手

総務省・経済産業省のガイドラインの対象は、医療機関等との契約に基づいて医療情報システムやサービスを提供する事業者です。電子カルテなどのシステムを開発・提供する事業者だけでなく、医療機関等と直接の契約関係がなくても、そのシステムに必要な資源や役務を提供する事業者（クラウド基盤の事業者など）も含まれます。また、患者の指示に基づいて医療機関等から医療情報を受け取る事業者も対象とされています。

(2)求めている内容の方向性

このガイドラインは、すべての事業者に一律の要求事項を課すのではなく、リスクベースのアプローチをとっているのが特徴です。事業者は、自社のサービスで想定されるリスクを洗い出して評価し、必要な対策を決めていく、という進め方が求められます。

あわせて、事業者自身のリスクマネジメントだけでなく、医療機関等が厚生労働省のガイドラインを守れるよう、医療情報システム特有の事情を踏まえた対策を設計することも求められています。つまり、事業者向けのガイドラインであっても、医療機関側の要求事項を意識した内容になっています。

(3)医療機関との責任分界に関する記述

このガイドラインで特に重視されているのが、医療機関等との合意形成です。事業者は説明義務を果たすために、医療機関等との間で「共通理解」と「明示的な合意」を形成することが求められます。この合意の中には、医療機関等と事業者の責任分界が含まれます。

具体的には、事業者が講じたリスク対応の内容を文書にして医療機関等に提供し、役割分担や、事業者として受け入れたリスクの内容について合意を図ります。このときの参考として、「サービス仕様適合開示書」と「SLA（サービスレベル合意書）」の参考例も公表されています。開示書やSLAの作成自体は必須ではありませんが、同等の内容を情報提供することが求められています。約款による契約の場合は、特に分かりやすい情報提供が求められている点も押さえておきましょう。

委託すれば責任がなくなるわけではなく、役割分担を明確にし、契約などで取り決めておく。これが、2つのガイドラインに共通する考え方です。

4.両方を確認する必要があるのはどんな場合？

ここでは、2つのガイドラインの両方に目を通しておきたい代表的なケースを整理します。

ケース	主に確認する文書	あわせて確認したい文書	理由
医療機関がクラウドサービスを利用する	厚生労働省ガイドライン	総務省・経済産業省ガイドライン	事業者から受ける開示や合意の内容が、自院の要求事項を満たすかを判断するため
事業者が医療機関にサービスを提供する	総務省・経済産業省ガイドライン	厚生労働省ガイドライン	医療機関等がガイドラインを守れるよう、医療機関側の要求事項を踏まえた対策が求められるため
責任分界点をすり合わせる	両方	―	双方の役割分担を、同じ前提で合意するため

(1)医療機関がクラウドサービスを利用する場合

医療機関がクラウド型の電子カルテや予約システムなどを利用する場合、医療機関が主に確認するのは厚生労働省のガイドラインです。ただし、クラウド事業者の安全管理は、総務省・経済産業省のガイドラインに沿って設計・説明されます。事業者から受け取るサービス仕様の開示書やSLAを読み解くために、事業者側のガイドラインが何を求めているかを知っておくと判断しやすくなります。

厚生労働省のガイドラインでは、サーバのセキュリティアップデートの責任を事業者に委託しているかどうかで、医療機関が読むべき編が変わります。委託しているといえるのは、その責任が契約書や約款、SLAなどに明記されている場合に限られます。そのため、事業者との取り決めの内容を確認することがより重要になっています。

(2)事業者が医療機関にサービスを提供する場合

医療機関向けにシステムやサービスを提供する事業者が主に確認するのは、総務省・経済産業省のガイドラインです。一方で、このガイドラインは、医療機関等が厚生労働省のガイドラインを守れるように対策を設計することも求めています。医療機関から「厚生労働省のガイドラインのこの項目に対応しているか」と問われる場面も多いため、少なくとも関係する部分は厚生労働省のガイドラインも確認しておく必要があります。

また、厚生労働省のガイドラインのシステム運用編では、医療機関から医療情報システムの実装・運用を委託された事業者も、その編を参照して医療機関と協働する必要があるとされています。

(3)責任分界点のすり合わせが必要な場面

次のような場面では、医療機関と事業者の双方が両方のガイドラインを前提に話し合うことが欠かせません。

• 新しいシステムやクラウドサービスを導入・契約するとき
• 契約更新や、システムの入れ替えを行うとき
• ベンダーのリモート保守の方法や接続経路を見直すとき
• 障害やセキュリティ事故が発生し、誰がどこまで対応するかを確認するとき
• 取引先や監査から、ガイドラインへの対応状況の説明を求められたとき

バックアップの取得、セキュリティアップデート、障害時の対応、ログの管理など、どちらが担うのかを項目ごとに整理し、契約書やSLAに落とし込んでおくと、いざというときの混乱を防げます。

対象の詳しい判定は、3省2ガイドラインの対象は？自社が該当するかの判定方法を解説をご覧ください。

5.旧「3省4ガイドライン」との違い

成り立ちの概略は、3省2ガイドラインとは？医療情報を扱う事業者が守るべき基準を解説をご覧ください。

(1)4つから2つに整理された経緯

かつては、厚生労働省のガイドラインに加えて、事業者向けに次の3つのガイドラインがありました。

• 経済産業省「医療情報を受託管理する情報処理事業者における安全管理ガイドライン」
• 総務省「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」
• 総務省「ASP・SaaSにおける情報セキュリティ対策ガイドライン」

その後、総務省のガイドラインが「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン」に一本化されて3省3ガイドラインとなりました。さらに、このガイドラインと経済産業省のガイドラインが統合され、現在の3省2ガイドラインとなっています。

(2)統合によって変わったこと

統合による実務上の変化は、主に次の3点です。

事業者が参照する文書が1つになった

以前は、総務省と経済産業省のガイドラインのどちらを参照すべきか、あるいは両方かを判断する必要がありました。統合後は、事業者向けの確認先が1つの文書にまとまりました。

リスクベースの考え方に変わった

統合にあたり、一律に要求事項を定めるのではなく、リスクを評価して対策を決めるリスクマネジメントの進め方が示されました。

医療機関との合意形成が重視されるようになった

対策の妥当性や限界について医療機関等と共通理解を持ち、明示的な合意のもとでシステムを運用するために、リスクコミュニケーション（リスクについて情報を共有し、認識をそろえること）を行うことが求められるようになりました。

旧ガイドラインをもとに作ったチェックリストや開示資料をそのまま使っている事業者は、現行のガイドラインの考え方に沿っているかを見直しておくとよいでしょう。

6.ISMS・Pマークとの違い

(1)制度の性質の違い（ガイドラインと認証制度）

3省2ガイドラインとISMS・Pマークは、どれも情報の安全管理に関わりますが、性質が異なります。ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを継続的に管理・改善する仕組みのことで、国際規格ISO/IEC 27001に基づく認証制度があります。Pマーク（プライバシーマーク）は、個人情報を適切に取り扱う体制を整えている事業者を認定する制度で、JIS Q 15001に基づいて運用されています。

観点	3省2ガイドライン	ISMS認証・Pマーク
性質	国が示す、医療情報の安全管理に関する指針	組織の管理体制を第三者が審査・認証する制度
発行・運営主体	厚生労働省／総務省・経済産業省	ISMS認証：認定を受けた認証機関／Pマーク：JIPDEC（一般財団法人日本情報経済社会推進協会）と審査機関
第三者認証の有無	ガイドライン自体に認証の仕組みはない	審査に合格すると認証・付与される
対象	医療情報を扱う医療機関等と、医療情報システム・サービスを提供する事業者	業種を問わず、認証・付与を希望する組織
扱う範囲	医療情報に特化	ISMS：組織の情報資産全般／Pマーク：個人情報

(2)重なる部分と重ならない部分

3省2ガイドラインとISMS・Pマークには、考え方や管理項目に共通点がある場合があります。たとえば、リスクを評価して対策を決める考え方、規程の整備、アクセス管理、従業員教育、委託先の管理、事故発生時の対応などです。厚生労働省のガイドラインでも、講じた安全管理措置を継続的に実施・改善するために、ISMSのような体系的な仕組みを構築・運用することが求められています。

一方で、次のような点はISMS・Pマークの取得だけでは十分とは限りません。

医療情報に特有の要求事項

電子カルテの記録の真正性（記録が正しく、改ざんされていないこと）・見読性（必要なときに読める状態であること）・保存性の確保、医療情報システムへの二要素認証の導入など

医療機関と事業者の責任分界

サービス仕様の開示や、医療機関等との合意形成に関する考え方

認証の有無

ISMS・Pマークは第三者認証ですが、3省2ガイドラインには、それに準拠していることを認証する仕組みがガイドライン自体にはありません

そのため、「ISMS認証を取得している＝3省2ガイドラインに対応している」とはいえません。認証で整えた体制が、ガイドラインのどの要求事項に対応できているかを、項目ごとに確認する必要があります。

(3)認証取得がガイドライン対応で役立つ場面

ISMSやPマークに取り組んでいる組織は、すでに整備した仕組みをガイドライン対応の土台として活用できる場合があります。

情報資産の管理

情報資産の台帳やリスクアセスメント（リスクの洗い出しと評価）の仕組みは、医療情報システムの棚卸しやリスク評価に活かせる可能性がある

規程類

情報セキュリティ方針、アクセス管理、委託先管理などの規程は、医療情報向けの規程を整える際のひな形として使える場合がある

教育・訓練

従業員教育の計画や記録の仕組みは、ガイドラインが求める職員教育にも流用しやすい

インシデント対応

事故発生時の報告・対応手順は、サイバー攻撃を想定した対応手順や事業継続計画の整備の出発点になりうる

内部監査・見直し

定期的な点検と改善の仕組みは、ガイドライン対応状況の継続的な見直しに活用できる

既存の枠組みを活かしつつ、医療情報に特有の要求事項を上乗せしていくことで、重複作業を抑えながら対応を進められます。

7.よくある質問（FAQ）

(1)自社はどちらのガイドラインを読めばよいか

医療機関等であれば厚生労働省のガイドライン、医療機関等にシステムやサービスを提供する事業者であれば総務省・経済産業省のガイドラインが、主に読むべき文書です。ただし、委託やクラウド利用がある場合は、相手側のガイドラインの関係部分もあわせて確認することをおすすめします。対象の詳しい判定は、3省2ガイドラインの対象は？自社が該当するかの判定方法を解説をご覧ください。

(2)両方に準拠する必要があるか

両方への準拠が必要かどうかは、取引先からの要求、契約の内容、所管官庁の最新の案内によって異なります。自社が主に対象となるガイドラインを軸にしつつ、責任分界に関わる部分は相手側のガイドラインも理解しておくと、合意形成がスムーズになります。個別の判断は、取引先や専門家にご確認ください。

(3)ガイドラインごとに対応する部署は分けるべきか

ガイドラインごとに部署を分けるより、役割ごとに担当を決める方が実務に合う場合が多いでしょう。厚生労働省のガイドラインは、経営層・企画管理者・システム運用担当という役割ごとに編が分かれているため、その分担に沿って担当を決めると整理しやすくなります。事業者との窓口役を決めておくと、責任分界の確認も進めやすくなります。

(4)旧3省4ガイドラインの対応はそのまま使えるか

そのまま使えるかどうかは、取引先の要求、契約の内容、所管官庁の最新の案内によって異なります。ただし、統合によってリスクベースの考え方や医療機関との合意形成が重視されるようになったため、旧ガイドラインをもとにした資料は、現行のガイドラインと突き合わせて見直しておくことをおすすめします。

8.まとめ

• 3省2ガイドラインの違いは、想定する読み手と役割です。厚生労働省のガイドラインは医療機関等向け、総務省・経済産業省のガイドラインはサービス提供事業者向けです。
• 委託やクラウド利用がある場合は、自社が主に対象となる方を軸にしつつ、責任分界に関わる部分は相手側のガイドラインもあわせて確認しましょう。
• ISMS・Pマークの取得はガイドライン対応の土台になりえますが、それだけで準拠したことにはならないため、医療情報に特有の要求事項を個別に確認することが大切です。