2分で読める生成AIのいま Vol.63 - チェックリストが病院を救う ― 3省2ガイドライン徹底解説④（最終回）
3省2ガイドライン徹底解説シリーズ、いよいよ最終回。
①病院のルール、②その実務、③ベンダーのルール ―― 学んだことを「現場で使えるチェックリスト」に落とし込みます。
医療田さんと機械屋さんの会話でどうぞ。
＝＝＝＝＝＝
● チェックリストの力 ― 手術室からITへ
機械屋：
シリーズ最終回、テーマは「チェックリスト」です。
いきなりですが、医療田さんに質問です。
2008年にWHOが発表した「手術安全チェックリスト」、ご存じですか？
医療田：
ああ、Surgical Safety Checklist でしょ。
手術前に患者さんの名前やアレルギー、手術部位を確認する、あれだよね。
機械屋：
おっ、、そうです。よくご存じですね。
医療田：
。。たまーに、だけど、ばかにしてくるよね。ま、たまたまだけど。
機械屋：
い、いやそんなつもりではないんですが、、。えーと。
中身は単純で、19項目のチェックリスト。
でもスコットランドでは、導入後に術後死亡率が36.6%下がったという報告があります。
医療田：
、、3分の1以上。
あのチェックリストにそんな力があったのか。。
機械屋：
世界70%以上の国で採用されています。
で、なぜいまこの話をしたかというと。
医療田：
、、あっ。
ITセキュリティにも、同じ発想のチェックリストがある？
機械屋：
あります。
厚生労働省が毎年出している「医療機関等におけるサイバーセキュリティ対策チェックリスト」。
最新版は令和8年度版、2026年7月に改定されたばかりです。
医療田：
えっ、今月じゃん。
機械屋：
はい。そしてこのチェックリストは、ただの参考資料ではありません。
医療法第25条に基づく立入検査で確認されます。
医療田：
立入検査で。。
つまり、、テストに出る？
機械屋：
テストに出ます 笑
しかも令和5年4月の医療法施行規則改正で、サイバーセキュリティの確保は管理者の義務になりました。
医療田：
、、笑い事じゃなかった。
機械屋：
でも、安心してください。
このチェックリストの中身、実は①②③で全部やってきた内容なんです。
医療田：
えっ。
機械屋：
振り返ってみましょう。
● 体制構築 ― 「誰が守るか」を決める
機械屋：
チェックリストの第1カテゴリーは「体制構築」。
ここは①の経営管理編と③の責任分界でやった内容です。
医療田：
あ、①で「経営者の責任」と「CISO」の話をしたね。
機械屋：
チェック項目を見てみましょう。
まず、「医療情報システム安全管理責任者を設置しているか」。
医療田：
、、いなかったらまずいよね。
機械屋：
次に、「インシデント発生時の連絡体制図があるか」。
組織内だけでなく、ベンダー、厚労省、警察への連絡先まで含めた体制図です。
医療田：
体制図って、、作ってあっても引き出しにしまってあったら意味ないよね。
機械屋：
おっしゃる通り。
そしてもう1つ。「運用管理規程を整備しているか」。
ルールを明文化して、それに沿った運用をすること。
これは令和7年度版で追加された項目です。
医療田：
ルールが頭の中にしかない状態は、ルールがないのと同じってことだね。
機械屋：
そしてここに、③でやった「責任分界」が入ってきます。
チェックリストにMDS/SDSの提出確認が含まれているんです。
医療田：
あ、③で「MDS/SDS ください」が第一歩だって話をしたよね。
チェックリストにもそのまま入ってるんだ。
機械屋：
はい。
ベンダーとの間で責任分界を合意し、MDS/SDSで情報開示を受ける。
③で学んだことが、そのままチェック項目になっています。
● 管理・運用 ― 「何をどう守るか」を整える
機械屋：
第2カテゴリーは「医療情報システムの管理・運用」。
ここは②のシステム運用編が直結しています。
医療田：
②は電子保存の3要件とか、認証の話だったよね。
機械屋：
まず、台帳管理。
サーバ、端末PC、ネットワーク機器のすべてを一覧にすること。
医療田：
②の企画管理編で「ITの健康診断」の最初のステップが「資産の棚卸し」だったよね。
機械屋：
その通りです。
次は認証まわり。
チェックリストではこう求められています。
「パスワードは13桁以上、英数字・記号混在。使い回し禁止」。
二要素認証については2027年度の導入が目標で、現時点では「導入予定」でもOKですが、チェック項目には入っています。
医療田：
②で「パスワード定期変更は廃止、でも強いパスワードは必須」って話をしたよね。
13桁って、なかなかだけど。。
機械屋：
ランダムな文字列で13桁あれば、総当たり攻撃にはかなり強くなります。
そしてアクセス制御。
「利用者の職種・担当業務別の権限設定」と「退職者や不要アカウントの削除」。
医療田：
退職した人のアカウントが残ってるのって、鍵を返してもらってないのと同じだもんね。
機械屋：
そしてバックアップ。
「データやシステムのバックアップの実施と復旧手順の確認」。
医療田：
②で「オフラインバックアップ + 復旧テスト」の話をしたよね。
バックアップは取ってるけどテストはしてない、、みたいなケースもありそう。
機械屋：
ほかにも、セキュリティパッチの適用、USB等の外部接続制限、不要なソフトウェアの停止。
こういった項目が並んでいます。
医療田：
、、②で機械屋さんが言ってたことばっかりだ。
全部つながってるんだね。。
● 有事への備え ― 「もし」を想定しておく
機械屋：
第3カテゴリーは「インシデント発生に備えた対応」。
医療田：
攻撃されたときの話か。。
機械屋：
ここで問われるのは1つ。
「サイバー攻撃を想定した事業継続計画（BCP）を策定しているか」。
医療田：
BCP 、、災害時のやつとは別なの？
機械屋：
構造は同じですが、サイバー攻撃に特化したBCPが必要です。
具体的には「平時対応 → 攻撃検知 → 初動対応 → 復旧対応 → 事後検証」の流れを事前に決めておく。
医療田：
あ、手術のチェックリストも「術前 → 術中 → 術後」の3フェーズだよね。
フェーズを分けて確認するって発想、同じだ。
機械屋：
いいところに気づきましたね。
WHOの手術安全チェックリストも、このサイバーセキュリティチェックリストも、根底にある思想は同じです。
「人間はミスをする。だからシステムで防ぐ」。
医療田：
、、医療安全の基本中の基本だ。
ジェームズ・リーズンのスイスチーズモデルと同じ考え方だよね。
穴の空いたチーズを何枚も重ねれば、どこかで止まる。
機械屋：
チェックリストは、そのチーズの1枚なんです。
1枚では完璧ではない。でも、なければ穴が素通しになる。
● 「いいえ」が悪いわけじゃない
医療田：
ところでさ、このチェックリスト。
「いいえ」がついちゃったらどうなるの？
立入検査で怒られる？
機械屋：
「いいえ」は罰ではありません。
「いいえ」の項目には、「いつまでに対応するか」の目標日を記入して、年度内に「はい」にすることが求められています。
医療田：
、、あっ。
③で MDS/SDS の「いいえ」について話したのと同じだね。
「いいえ」が悪いんじゃなくて、「いいえ」を放置するのが問題だって。
機械屋：
まさにそうです。
チェックリストの本質は「現在地を知ること」です。
どこができていて、どこができていないか。
それを可視化して、計画的に「はい」に変えていく。
医療田：
、、健康診断と同じだ。
②の「ITの健康診断」って、本当にそういう意味だったんだね。
機械屋：
そうです。
チェックリストは「お守り」ではなく、「使うもの」です。
チェックを入れることが目的ではなく、チェックの結果に基づいて行動することが目的なんです。
● まとめ ― 4回のシリーズを振り返って
医療田：
ここまで4回、長いシリーズだったけど。。
全部つながってたんだね。
機械屋：
整理しましょう。
・① 概説編・経営管理編: ガイドラインの全体像と「経営者の責任」を知る
・② 企画管理編・システム運用編: リスクアセスメントと具体的な技術対策を学ぶ
・③ 経産省・総務省版: ベンダーとの責任分界を理解し、MDS/SDSで情報を受け取る
・④ 実践チェックリスト: ①②③の知識を、厚労省のチェックリストで現場に落とし込む
そして、このシリーズを通して見えてきたのは、医療とITセキュリティの深いつながりです。
医療田：
リスクアセスメントは健康診断。
責任分界はインフォームドコンセント。
チェックリストは手術安全チェックリスト。
Evidence-Based Security。
、、全部、医療の言葉で言い換えられた。
機械屋：
医療の世界が長年かけて築いてきた知恵は、ITセキュリティの世界でもそのまま通用します。
医療田さんは「ITは苦手」とおっしゃっていましたが、実は一番の武器をすでに持っていたんです。
医療田：
、、
正直、このシリーズ始まったときは、ガイドラインなんて読む気しなかったけど。
でもさ、結局は患者さんを守るための話だったんだよね。
セキュリティって。
機械屋：
そうです。
医療情報セキュリティは、患者さんの安全を守るためのものです。
それは医療安全と根っこが同じです。
医療田：
うん。
じゃあまず、チェックリストを開くところから始めるよ。
「いいえ」があっても怒られないんだよね？
機械屋：
怒られません 笑
大事なのは、開くことです。
医療田：
で、具体的にはまず何すればいいの？
なんか、5ステップくらいで教えて。
機械屋：
いいですね。では、現場の医療者がまずやるべきことを5つ。
チェックリストをダウンロードする。厚労省のサイトからPDFで取れます
自施設の現状を「はい／いいえ」で記入する。わからない項目はシステム担当に聞く
「いいえ」の項目に、対応完了の目標日を書き込む
ベンダーにMDS/SDSの提出を依頼する。③でやった「通知表ください」の第一歩です
記入したチェックリストを、安全管理責任者や経営層と共有する
ここまでで、まず「現在地」が見えます。
あとは計画的に「いいえ」を「はい」に変えていく。それだけです。
医療田：
、、思ったよりシンプルだね。
でもさ、2と3がちょっと怖いんだよね。
「いいえ」だらけだったらどうしよう、って。
機械屋：
繰り返しになりますが、「いいえ」は現在地です。
健康診断で「要精密検査」が出たとして、それは悪いことですか？
医療田：
、、いや、むしろ見つかってよかった、って思うよね。
機械屋：
チェックリストも同じです。
見つけたから、対処できる。
まず、ダウンロードして開くところから。
医療田：
うん。今日、帰ったらやってみるよ。
＝＝＝＝＝＝
● よくある質問（FAQ）
Q. 厚労省のサイバーセキュリティ対策チェックリストとは何ですか？
A. 厚生労働省が毎年度公表する、医療機関等向けのセキュリティ自己点検ツールです。「体制構築」「管理・運用」「インシデント対応」の3分野で構成され、立入検査でも確認されます。最新版は令和8年度版（2026年7月改定）です。
Q. WHO手術安全チェックリストとの関係は？
A. 直接の制度的つながりはありませんが、「チェックリストで安全を守る」という発想は共通しています。WHO手術安全チェックリストは2008年に導入され、術後死亡率の大幅な低減に貢献しました。医療安全とITセキュリティは、「人間はミスをする。だからシステムで防ぐ」という思想を共有しています。
Q. チェックリストで「いいえ」があった場合はどうなりますか？
A. ペナルティではありません。「いいえ」の項目には、対応完了の目標日を記入し、年度内に「はい」にすることが求められます。チェックリストの目的は現状を可視化し、計画的に改善することです。
Q. 3省2ガイドラインとチェックリストの関係は？
A. チェックリストは、3省2ガイドラインの内容を医療機関が実践できるよう具体化したものです。ガイドラインが「なぜ・何を」を示し、チェックリストが「できているか」を確認するツールです。
Q. 小規模な診療所でもチェックリストへの対応は必要ですか？
A. はい。医療法施行規則の改正（令和5年4月施行）により、病院・診療所等の管理者にはサイバーセキュリティ確保のための措置を講じることが義務付けられています。規模に関わらず、チェックリストによる自己点検が推奨されます。
＝＝＝＝＝＝
●参考
・厚労省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」令和8年度版（2026年7月改定）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
・厚労省「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
・WHO Surgical Safety Checklist
・GemMed「医療機関のサイバーセキュリティ対策チェックリスト2025年度版を公表」
https://gemmed.ghc-j.com/?p=66866
●関連記事
・Vol.62「ベンダーに任せてるから大丈夫」の終わり ― 3省2ガイドライン徹底解説③
（公開後にURL追記）
・Vol.61「パスワードは定期変更しなさい」が消えた日 ― 3省2ガイドライン徹底解説②
https://www.youichimachida-ai.com/blog/2ai-vol61-32
・Vol.60「鍵のかかっていない金庫」で医療をしていませんか ― 3省2ガイドライン徹底解説①
https://www.youichimachida-ai.com/blog/2ai-vol60-32
・Vol.59「学習オフにしてるから大丈夫」では足りない ― 3省2ガイドラインと生成AI、本当のルール
https://www.youichimachida-ai.com/blog/2ai-vol59-32ai
●2分で読める「生成AIのいま」シリーズ。バックナンバーはブログからどうぞ！
