LASSIC Media らしくメディア
医療情報の3省2ガイドライン｜委託の要点
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 3省2ガイドライン：医療機関向けと事業者向けの二本立てで、医療情報を扱うシステムの安全管理の考え方を示しています。
- 要になるのは責任分界：どこまでを医療機関が担い、どこからを事業者が担うのかを文書で突き合わせることが出発点です。
- 受託開発の実務：権限とログ、障害時の復旧、監査への説明——示せる形で残す設計が求められます。
※ 本記事は2026年8月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
医療機関のシステムをクラウドへ移す、電子カルテを入れ替える、外部のサービスと連携させる。こうした案件で最初に確認されるのが、いわゆる「3省2ガイドライン」への対応です。名前の通り、三つの省庁が関わる二本のガイドラインで、医療情報を扱うシステムの安全管理の考え方が示されています。
本記事では、医療機関向けにシステムを提供する立場、あるいは病院・診療所の情報システムを担当する立場の方に向けて、二本のガイドラインの役割分担、それぞれに求められること、責任分界の決め方、そして受託開発と運用の実務を整理します。ガイドラインは改定が続くため、実際の対応は最新版の本文で確かめながら進めてください。
目次
3省2ガイドラインとは——二本立ての役割分担
「3省2ガイドライン」は通称で、医療機関側に向けたガイドラインと、システムやサービスを提供する事業者側に向けたガイドラインの二本を指します。前者は厚生労働省が示す「医療情報システムの安全管理に関するガイドライン」、後者は総務省と経済産業省が共同で示す事業者向けのガイドラインです*1*2。
この二本立てには理由があります。医療情報を守る責任は医療機関にありますが、実際のシステムは外部の事業者が提供・運用していることが多い。そこで、医療機関側が「何を確かめ、何を委託先に求めるべきか」を示し、事業者側が「どこまで対策し、どう説明すべきか」を示す——という構造になっているわけです。
したがって実務では、二本を突き合わせる作業が発生します。医療機関が求める事項に対して、事業者がどこまで担うのか。この対応表を作らないまま契約に進むと、障害が起きたときに「どちらの責任か」で揉めることになります。逆に、この表が丁寧に作られていれば、監査や説明の場面でもそのまま使えます。
なお、厚生労働省のガイドラインは版を重ねており、外部委託やクラウド利用を前提とした記述が拡充されてきました。改定のたびに要求が変わるため、契約書に「ガイドラインに準拠」と書くだけでは足りません。どの版のどの要求に対応しているのかを明示しておくのが確実です。
医療機関側に求められること
医療機関側のガイドラインは、組織的な体制から日々の運用まで幅広く扱います。実務でとくに問われやすいのは次の点です。
- 体制と規程：責任者を定め、規程を整え、教育を行い、その記録を残す
- 権限の管理：職種と業務に応じたアクセス範囲の設定、異動・退職に連動した見直し
- 記録の保全：誰がいつ何を参照・変更したのかを残し、必要なときに示せる状態にする
- 外部委託の管理：委託先の選定基準、契約に含める事項、実施状況の確認
- 非常時の備え：システムが止まったときの代替手段と、復旧の手順
このうち、外部委託の管理は事業者側と直接かみ合う部分です。医療機関としては「委託先が適切に対策していること」を確かめる必要があり、その確認方法として事業者側ガイドラインへの対応状況が使われます。事業者が対応表や説明資料を用意していれば、医療機関の確認作業はぐっと軽くなります。
実際の現場では、担当者が限られていることも多く、規程の整備や記録の確認に手が回らないという声をよく聞きます。ここは仕組みで支える余地が大きい領域です。権限の棚卸しやログの確認を自動化し、月次のレポートとして出せるようにしておけば、少人数でも運用が続きます。
事業者側に求められること
事業者側のガイドラインは、提供するサービスの性質に応じて、対策と説明の内容を整理しています。受託開発やクラウドサービスの提供者として押さえるべき点を挙げてみます。
| 項目 | 問われる内容 | 示し方 |
|---|---|---|
| データの所在 | 保管先の国・地域、複製の有無、バックアップの置き場所 | 構成図と、変更時の通知の取り決め |
| 権限と操作の記録 | 運用担当者が本番データへ触れる条件、その記録 | 権限一覧と、操作ログの保存方針 |
| 可用性と復旧 | 障害時の連絡、復旧の目標、代替手段 | サービス水準の合意書と、訓練の記録 |
| 再委託 | さらに外部へ出す範囲と、その管理 | 再委託先の一覧と、管理の実施記録 |
| 終了時の扱い | 契約終了時のデータ返却・削除の方法 | 手順書と、実施した際の証跡 |
ここで効いてくるのが、説明資料をあらかじめ用意しておくことです。医療機関から個別に質問票が届くたびに一から答えていると、営業も開発も消耗します。対応表を一度作り、更新していく運用にすれば、案件ごとの負担が下がります。
クラウドを使う構成では、事業者自身がさらに別のクラウド事業者を使っていることが普通です。この階層構造をどう説明するかも論点になります。責任の分担を三層（医療機関・自社・クラウド事業者）で図にしておくと、説明が通りやすくなります。設計上の考え方はクラウド移行のセキュリティ設計・対策と共通です。
電子カルテのクラウド化で問われる論点
近年は、院内に置いていたシステムをクラウドへ移す動きが進んでいます。標準化の流れもあり、標準型電子カルテと医療DXで扱っているような制度面の変化も重なってきました。この局面で問われる論点を三つ挙げます。
第一に、通信が止まったときの運用です。院内にサーバーがあれば、外部との回線が切れても診療は続けられました。クラウドに移すと、回線が診療の前提になります。回線の冗長化、参照用の一時的な仕組み、紙での代替手順——どこまで備えるかを決め、訓練しておく必要があります。
第二に、データの持ち出しと移行のしやすさです。将来別のシステムへ移る可能性を考えると、データを標準的な形式で取り出せることが重要になります。ここを確認せずに導入すると、乗り換えの費用が高止まりします。
第三に、運用担当者のアクセスです。事業者側の保守要員が、障害対応で患者データに触れる場面があります。その条件（誰が、いつ、どの範囲で、誰の承認を得て）と記録の残し方を、契約と設計の両面で決めておきます。ここが曖昧だと、監査で説明できません。
あわせて、電子処方箋のような外部の仕組みとの連携も広がっています。電子処方箋への対応のように、接続先が増えるほど責任分界の整理が必要になる点は共通です。
外部連携が増えるときの整理の仕方
医療機関のシステムは、単独で完結しなくなってきました。オンライン資格確認、電子処方箋、地域の医療連携、検査会社との受け渡し、患者向けのアプリ。接続先が増えるほど、確認すべき事項も増えていきます。ここで役立つのが、接続の一覧表です。
列に置くのは、接続先の名称、扱うデータの種類、通信の経路、認証の方式、記録の残り方、障害時の連絡先。この六項目が埋まっていれば、新しい接続を追加するときも同じ枠で判断できます。逆に一覧がないまま個別に増やしていくと、全体像を誰も把握していない状態に陥ります。
あわせて、接続の停止条件も決めておきたいところです。相手側で問題が起きたとき、どの判断で切り離すのか。誰が決めるのか。この取り決めがあると、いざというときに迷いません。院内の判断だけで止められない接続もあるため、事前に相談しておく形が現実的です。
患者向けの機能を含む場合は、扱う情報の性質が変わる点にも注意が必要です。診療の記録と、患者が自ら入力した記録は、扱いも保存期間も別に考えるほうが整理しやすくなります。設計の段階で線を引いておけば、後の運用が軽くなります。
受託・委託の実務ポイント
案件の進め方としては、次の順序が現実的です。
第一に、対応表を先に作ることです。ガイドラインの要求事項を列に、医療機関・自社・再委託先を行に置いて、誰が担うのかを埋めていきます。この表が契約の別紙になれば、後の議論が具体的になります。
第二に、ログと権限を設計に織り込むことです。後付けが難しく、かつどの案件でも問われる部分です。誰がいつ何を参照したかを残し、改ざんされない場所に置く。運用担当者の特権は期限つきで与える。この二点が入っていれば、説明の土台ができます。
第三に、障害時の取り決めを具体化することです。連絡の経路と時間、復旧の目標、報告書の様式。訓練を年に一度でも行い、記録を残しておくと、医療機関側の確認がスムーズになります。
第四に、終了時の手順を決めておくことです。契約が終わるときにデータをどう返し、どう消すのか。証跡をどう残すのか。導入時に決めておかないと、終了時に交渉から始めることになります。
医療分野の案件は、要件の背景に制度があるため、開発の進め方も一般の業務システムとは異なります。費用感や進め方の全体像は医療分野のシステム開発を外注する費用と進め方で整理していますので、あわせて確認しておくと計画が立てやすくなります。
まとめ：3省2ガイドライン対応で押さえる3つの視点
医療情報を扱うシステムには、医療機関向けと事業者向けの二本のガイドラインが関わります。押さえたい視点は三つです。第一に、二本立ての構造は「医療機関が確かめること」と「事業者が示すこと」を分けたものであり、実務では両者を突き合わせる対応表づくりが出発点になること。第二に、事業者側ではデータの所在、権限と操作の記録、可用性と復旧、再委託、終了時の扱いが問われるため、説明資料をあらかじめ用意しておくと案件ごとの負担が下がること。第三に、クラウド化では回線が止まったときの運用、データの取り出しやすさ、保守要員のアクセス条件が新たな論点になることです。まずは対応表を作り、ログと権限の設計を早い段階で固めるところから始めてみてください。
よくある質問
「3省2ガイドライン」とは、具体的に何を指すのですか。
医療機関向けに厚生労働省が示すガイドラインと、システムやサービスを提供する事業者向けに総務省・経済産業省が示すガイドラインの二本を指す通称です。前者は医療機関が確かめるべき事項、後者は提供側が対策し説明すべき事項を扱います。実務では両者を突き合わせて責任分界を決めます。
契約書に「ガイドラインに準拠」と書けば足りますか。
それだけでは足りないことが多いです。ガイドラインは改定が続くため、どの版のどの要求に、誰がどう対応するのかを対応表として明示しておくほうが確実です。対応表を契約の別紙にしておけば、改定時に差分だけを見直せます。
クラウドを使う場合、どこが論点になりますか。
回線が止まったときの運用、データの取り出しやすさ、保守要員が本番データへ触れる条件の三つが中心です。また、事業者がさらに別のクラウドを使う階層構造をどう説明するかも問われます。責任の分担を図にして、医療機関へ示せる形にしておくとよいでしょう。
小規模な診療所でも、同じ水準が求められますか。
ガイドラインは規模に応じた考え方を示していますが、扱う情報の性質は変わりません。現実的には、権限の管理と記録の保全、非常時の代替手段といった基本を、少人数でも回る形にすることが要になります。仕組みで自動化できる部分を増やすのが有効です。
開発側では、まず何を整えればよいですか。
ログと権限の設計です。誰がいつ何を参照したかを改ざんされない形で残し、運用担当者の特権は期限つきで与える。この二つがあると、医療機関からの確認や監査に対して説明の土台ができます。あわせて、障害時の連絡と復旧の手順を文書にしておきます。
医療情報システムの開発・運用体制のご相談はLASSICへ
元請（プライムベンダー）として、ガイドライン対応表の整備から権限・ログの設計、障害時の手順づくりまで、説明できる形で残す仕組みをご提案します。まずはお気軽にご相談ください。
出典
- *1 参考：厚生労働省「医療情報システムの安全管理に関するガイドライン」（https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html）。医療機関側に求められる安全管理の考え方と外部委託の取り扱いの参考として（2026年8月確認）
- *2 参考：厚生労働省「医療分野の情報化の推進について」（https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/index.html）。医療情報の取り扱いに関する制度の全体像と関連資料の参考として（2026年8月確認）
