※情報確認日：2026年10月23日。本文の質問例やチェック表は、公表資料を参考にAlplanが整理した実務上の提案です。
「電子カルテは業者に任せている」「セキュリティソフトも入れている」。そう聞くと、院内のサイバー対策は整っていると感じるかもしれません。
しかし、電子カルテの保守、インターネット回線、院内のパソコン、ホームページは、別々の会社が管理していることがあります。それぞれの契約の間に、担当者が決まっていない作業が残っていないでしょうか。
院長がすべての技術を理解する必要はありません。一方で、どこまでを誰に任せ、どのように実施を確認するかは、医院として決めておきたいことです。本記事では、契約業者との打ち合わせに使える五つの確認事項をまとめます。
1．なぜ今、院長の関与を見直したいのか
IPAは2026年9月8日、「ランサムウェア被害から学ぶ教訓集～経営者のためのランサムウェア対策ハンドブック～」を公開しました。掲載ページの最終更新日は10月16日で、更新内容は誤植修正です。10月に新たな被害調査が発表された、という意味ではありません。[1]
同資料は、被害組織へのインタビューから教訓を整理し、経営者の理解と関与の重要性を伝えています。医療機関だけの被害統計ではありませんが、院長が対策の進め方を考える材料になります。[1]
医療分野では、厚生労働省が「医療情報システムの安全管理に関するガイドライン第7.0版」と、医療機関・薬局向けのサイバーセキュリティ対策チェックリストを公表しています。[2]
これらを自院の契約や業務と照合するとき、大切なのは「業者に依頼した」という事実と、「必要な作業が完了している」という事実を分けることです。依頼先があるだけで、確認まで済んだことにはなりません。
なお、システム停止後の連絡や紙での代替運用は、前回の記事「電子カルテが止まったら？」で整理しています。今回は、平時の管理と委託先との確認に焦点を当てます。
2．確認① 院内の機器と外部接続を把握しているか
最初の質問は、「当院の機器や外部との接続をまとめた一覧はありますか」です。
電子カルテの端末だけでなく、予約システム、画像・検査関連の機器、会計端末、業務用メールなど、日常業務で何を使っているかを整理します。院内に置かれている機器でも、購入先と管理者が同じとは限りません。
特に、保守業者が院外から作業する接続については、対象、目的、管理者を確認したいところです。専門用語が分からなければ、「外から院内の機器を操作できる仕組みは、どれですか」と聞く方法もあります。
| 聞きたいこと | 回答で確認すること |
|---|---|
| どの機器を管理していますか | 機器名と設置場所、契約先 |
| 外部から接続する仕組みはありますか | 利用目的、接続先、管理者 |
| 最近追加・交換した機器は反映されていますか | 一覧や構成図の更新日 |
| 当社の担当外はどこですか | 他社や医院側へ確認する項目 |
一覧には、患者情報や接続に関する重要な情報が含まれる場合があります。誰でも閲覧できる場所に置かず、保管と共有の範囲を決めます。パスワードそのものを、一般的な打ち合わせ資料へ書き込む必要はありません。
3．確認② 更新・脆弱性対応の担当者が決まっているか
機器やソフトウェアに問題が見つかったとき、「誰が情報を受け取り、誰が対応を判断するか」を決めておきます。ここでいう脆弱性とは、不正な操作などに悪用される可能性がある製品上の弱点です。
「自動更新だから大丈夫」という回答だけで終わらず、何が自動更新の対象で、何が手作業なのかを確認しましょう。端末の基本ソフト、ネットワーク機器、電子カルテ、ホームページでは、更新方法も契約範囲も異なります。
打ち合わせでは、次の順に聞くと話を具体化できます。
- 対策が必要な情報を、誰が確認しているか
- 自院で使っている製品への影響を、誰が判断するか
- 更新作業は契約に含まれるか
- 診療への影響と作業日時を、誰と調整するか
- 完了したことを、どのように報告してもらうか
医療機器や連携システムは、更新による動作への影響も確認が必要です。医院側で無計画に一括更新したり、反対に「診療が忙しいから」と期限を決めずに保留したりしないよう、事業者と対応計画を共有します。
保留する場合にも、理由、暫定的な対応、次の確認日を残しましょう。「確認中」のまま担当者が替わってしまうことを防ぐためです。
4．確認③ 退職者・保守業者のアカウントを管理しているか
人の出入りに合わせて、システムを使う権限も見直せていますか。退職、異動、契約終了のたびに、利用を止める対象を確認する手順が必要です。
例えば、職員が退職した際に、電子カルテの利用者登録は削除しても、業務用メールや予約サービスの権限が残ることがあります。複数のサービスを使う医院では、入退職の手続きとアカウントの一覧を結び付けると管理しやすくなります。
業者向けの保守用アカウントも、用途、責任者、必要な権限を確認します。強い権限を日常的に使う必要があるのか、複数の人が同じアカウントを使っていないか、追加の認証を利用できるかを相談しましょう。
確認の目的は、診療を妨げることではありません。必要な人が必要な範囲で利用できる状態を保つことです。権限変更によって業務が止まらないよう、変更内容と確認方法を決めて進めます。
パスワードを職員全員へ配るような管理や、私用アカウントに医院の契約を依存させる運用は、引き継ぎ時にも困りやすくなります。医院として契約・管理できる形を、サービス提供者と確認しておきましょう。
5．確認④ 委託先との役割分担に空白がないか
「電子カルテ会社に聞いたら回線会社の担当と言われ、回線会社には医院の端末の問題と言われた」。こうした行き違いに備え、問い合わせの入口と、会社をまたぐ調整の進め方を決めます。
契約書だけで分かりにくければ、業務ごとの役割分担表を作る方法があります。
| 管理項目 | 医院が確認すること | 業者に確認すること |
|---|---|---|
| 機器・ソフトの一覧 | 追加・廃止の連絡担当 | 管理対象と一覧の更新範囲 |
| 更新作業 | 診療日程との調整窓口 | 作業範囲、費用、完了報告 |
| アカウント | 入退職・権限変更の申請者 | 変更作業と受付方法 |
| 異常の検知 | 職員からの報告先 | 監視の有無、対象、通知先 |
| 問い合わせ | 院内の責任者と代行者 | 対応時間、他社との連携範囲 |
この表は、責任を一律に割り振るものではありません。実際の契約と業務に合わせ、双方の合意を確認するための例です。
「監視あり」という説明も、何を見ているかによって意味が異なります。機器が動いているかの確認と、不審な利用の確認を同じものとして扱わず、対象と連絡条件を聞きましょう。ログなどの記録も、取得しているかだけでなく、確認する担当者と保存の扱いを相談します。
6．確認⑤ 対策の実施状況を定期的に確認しているか
導入直後に説明を受けても、その後の追加機器や人員変更で状況は変わります。対策を継続するため、院内の確認担当者と業者側の窓口を決めておきましょう。
確認の頻度は、システムの特性や契約、変更の多さに応じて調整します。定期的な打ち合わせに加え、機器の追加、担当者交代、重大な注意喚起などがあった場合に、必要な見直しを行う形が考えられます。
会議では「特に問題なし」という結論だけを残さず、何を確認したかを記録します。未対応の項目は、次の三つに分けると行動につなげやすくなります。
- 対応済み：作業内容と完了日を確認する
- 対応予定：担当者と予定日を決める
- 未確認：誰がいつまでに確認するかを決める
費用がかかる対策は、対象、期待する効果、運用負担、保守費用を確認します。製品名や機能の多さだけで決めず、自院のどの課題を解決するのかを明らかにしましょう。製品を一つ追加すれば、すべてのリスクがなくなるわけではありません。
7．次の打ち合わせで使う、一枚のチェック表
まずは、次の五つについて「回答を得たか」「記録があるか」を確認してみてください。
| 確認項目 | 業者への質問例 |
|---|---|
| 機器・外部接続 | 当院の管理対象と、院外からの接続を説明できますか |
| 更新・脆弱性対応 | 必要な更新の判断から完了報告まで、誰が担当しますか |
| アカウント | 退職者や契約終了者の権限を、どう停止しますか |
| 委託範囲 | 当社の担当外となる作業と、その確認先はどこですか |
| 定期確認 | 未対応項目を、いつ、誰と確認しますか |
その場で回答が出なくても、担当者と回答予定日が決まれば、次の行動につながります。院長だけで抱えず、院内の事務担当者などとも記録を共有しましょう。
なお、この表だけで厚労省のガイドラインへの適合や安全性を判定することはできません。正式なチェックリストと自院の構成を照合し、技術的な評価は契約事業者や専門家と進めてください。
まとめ：任せる範囲と、確認する方法を決める
外部業者への委託は、専門的な対策を進めるための大切な手段です。そのうえで、医院が何を判断し、業者に何を依頼し、実施結果をどう確認するかをそろえる必要があります。
まずは、機器と外部接続の一覧、更新の担当者、使われているアカウント、委託範囲、未対応項目を確認しましょう。「任せています」から一歩進めて、具体的な説明と記録を確かめることが、継続的な対策の出発点になります。
クリニックの業務整理・IT活用のご相談
Alplanでは、クリニックの院内業務の整理やIT活用に関するご相談を承っています。担当者の役割分担や、外部事業者と確認する項目の整理については、下記フォームからお問い合わせください。技術的なセキュリティ診断や事故対応は、契約事業者・専門機関と連携して進める必要があります。
代表・幸城裕樹の登壇動画（YouTube／メディカルトリビューン）
参考資料
[1] IPA「ランサムウェア被害から学ぶ教訓集～経営者のためのランサムウェア対策ハンドブック～」掲載ページ（2026年9月8日公開、10月16日最終更新）
https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html
[2] 厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）」掲載ページ（医療機関・薬局向けチェックリストを含む）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
