# 医療法に基づく立入検査で、サイバーセキュリティについて確認されること

病院への立入検査は原則年 1 回です。サイバーセキュリティでは、厚労省のチェックリストの全項目に確認日と回答が書かれているかを見て、機器の台帳・連絡体制図・BCP・規程類は現物を確かめます。

更新日: 2026-10-13

病院への立入検査は、医療法 25 条 1 項に基づいて都道府県や保健所を置く市などが行います。厚生労働省の立入検査要綱は、すべての病院を原則年 1 回の対象にしています。サイバーセキュリティは令和 5 年度から検査項目に入りました。確かめられるのは、厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の記入と、そこに挙がる台帳や連絡体制図などの現物です。

## 立入検査は誰が、どのくらいの間隔で行うか

医療法 25 条 1 項は、立入検査を行える者を、都道府県知事と、保健所を設置する市・特別区の長と定めています。これらの長は、病院・診療所・助産所などに職員を立ち入らせ、検査させることができます。検査の対象は人員、清潔の状態、構造設備、診療録や帳簿書類などです。立入検査要綱によると、施設を訪れるのは知事や市長・区長が任命した医療監視員です。

検査の間隔は法律には書かれていません。立入検査要綱は厚生労働省医政局が定めたもので、令和 8 年 6 月に一部が改正されました。要綱は医療法に基づくすべての病院を対象とし、「原則年１回実施する」としています。診療所については、令和 8 年度の実施通知が、検査の必要性に応じて対応するよう都道府県などに求めています。令和 5 年 3 月の厚生労働省の検討会資料は、目安を次のように示しています。病院は原則毎年、ベッドのある診療所は概ね 3 年に 1 度、ベッドのない診療所と助産所は随時です。令和 5 年度は、全国 8,138 の病院のうち 7,587 施設(93.2%)に立入検査が行われました。

「医療監査」という言葉で、保険診療の指導・監査を指すこともあります。こちらは、地方厚生(支)局と都道府県が健康保険法 73 条(指導)と 78 条(監査)などに基づいて行います。扱うのは診療の内容と診療報酬の請求です(厚生労働省の指導大綱・監査要綱)。立入検査とは別の制度なので、この記事では扱いません。

## サイバーセキュリティが検査項目になった経緯

令和 5 年 4 月 1 日に施行された医療法施行規則 14 条 2 項が、病院・診療所・助産所の管理者に次の義務を課しました。

> 医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない。

施行時の通知は、この「必要な措置」として、最新の[医療情報システムの安全管理に関するガイドライン](/guides/healthcare-access/what-is-medical-information-system-security-guideline)を参照するよう求めました。あわせて、優先して取り組む事項はチェックリストで示すとしています。立入検査要綱の検査表には「サイバーセキュリティの確保」(2-19)が加わりました。検査の基準は、チェックリストに必要な事項が記入されているかを確かめることです。連絡体制図は、特に提示を求めて有無を確かめることになっています。

ただし、要綱の基準は令和 8 年 6 月の改正後も、ガイドライン第 6.0 版と令和 7 年度版のチェックリストを参照先に挙げたままです。令和 8 年度の実施通知も、参考には同じ版を挙げています。そのうえで、ガイドラインとチェックリストは改定されるので最新版を使うよう、検査する側に求めています。最新の令和 8 年度版チェックリストには、冒頭に「立入検査時、本チェックリストを確認します」と書かれています。

## 検査の日に確かめられるもの

チェックリストのマニュアルは、立入検査で何をどう確かめるかを示しています。チェックリストには、医療機関が書く「医療機関・薬局確認用」と、電子カルテなどの事業者が書く「事業者確認用」があります。医療機関は事業者ごとに事業者確認用を送り、回収しておきます。

| 確かめられるもの | 項目 | 検査での扱い |
| --- | --- | --- |
| 両方のチェックリストの全項目 | すべて | 確認日と回答の記入を確認 |
| サーバー・端末・ネットワーク機器の台帳 | 2-① | 現物を確認 |
| インシデント発生時の連絡体制図 | 3-① | 現物を確認 |
| サイバー攻撃の想定を含む BCP | 3-③ | 現物を確認 |
| 運用管理規程などの規程類 | 4-① | 現物を確認 |
| サーバーのアクセスの記録 | 2-⑬ | 直接確認することがある |

インシデントは攻撃や障害などの事故のことで、BCP はシステムが止まったときにも診療を続けるための事業継続計画です。現物を確かめる 4 つは、マニュアルが立入検査までに作っておくよう求めています。「いいえ」と答えた項目には、令和 8 年度中の対応の目標日を書きます。点検は少なくとも年に 1 回行うよう求められ、立入検査の前にもう一度チェックリストで確かめることも勧められています。

事業者と運用や保守の契約がなく売買だけのシステムでは、事業者に確かめる 2 つの項目の確認は求められません。遠隔保守を使う機器の有無(2-②)と、事業者からのセキュリティの開示書の提出(2-③)です。その場合、そのシステムの保守の責任は医療機関の側にあります。

## アカウントに関わる項目

チェックリストのうち、アカウントとログインに関わるのは区分 2 にある次の 7 項目です。

- 2-④ 利用の権限
- 2-⑤ 退職者や使っていないアカウントの削除
- 2-⑦・2-⑧ パスワードの桁数と使い回し
- 2-⑪・2-⑫ 二要素認証
- 2-⑬ アクセスの記録

検査の日、これらは主に記入で確かめられ、記録そのものを見られることがあるのは 2-⑬ です。また 4-① は、区分 1〜3 のすべての項目について、具体的な実施方法を規程類に書くよう求めています。そのため、アカウントの発行や削除の手順も、現物を見られる規程類に含まれることになります。

1 つの ID を複数のスタッフで使っていると、1 人が辞めても、ほかの人が使い続けるので ID を消せません(2-⑤)。アクセスの記録にも ID の名前しか残らず、誰が使ったかまでは分かりません(2-⑬)。項目ごとの確かめ方と共有の ID の扱いは、[厚労省のサイバーセキュリティ対策チェックリスト(令和 8 年度版)で、アカウントとアクセスの項目をどう確かめるか](/guides/healthcare-access/mhlw-cybersecurity-checklist-accounts)にあります。

サーバーの二要素認証(2-⑫)には、検査の場で説明が求められうる点があります。踏み台の端末(サーバーに入る前に必ず経由する専用のパソコン)を使う構成か、それと同等以上の措置があれば、二要素認証を取り入れたものとみなせます。ただし、マニュアルが挙げる 3 つの前提を満たすことが条件です。同等以上かどうかは、立入検査の際に検査職員へ説明できることが想定されています。前提を含む全体は[医療機関の二要素認証で求められることと、共有アカウントで起きること](/guides/healthcare-access/two-factor-authentication-with-shared-accounts)にあります。

## 不適合とされたとき

立入検査要綱は、不適合の事項があれば、開設者(病院を開いた法人や個人)や管理者にその事実を知らせるとしています。そのうえで、改善計画書の提出を求めることも含めて、改善のための指導を行います。

令和 5 年度の病院への立入検査では、「サイバーセキュリティの確保」は適合の割合が最も低い項目でした。検査した 6,188 施設のうち適合は 5,639 施設で、適合率は 91.1% です。


## よくある質問

**病院の立入検査は何年ごとですか**

厚労省の立入検査要綱は、すべての病院を対象に原則年 1 回としています。厚労省の検討会資料では、有床診療所は概ね 3 年に 1 度、無床診療所と助産所は随時が目安です。

**立入検査と保険診療の指導・監査は同じですか**

別の制度です。立入検査は医療法 25 条に基づき都道府県や保健所設置市などが行います。指導・監査は健康保険法 73 条・78 条などに基づき、地方厚生(支)局と都道府県が診療内容と請求について行います。

**診療所もサイバーセキュリティを確認されますか**

医療法施行規則 14 条 2 項の義務は病院・診療所・助産所の管理者にかかります。チェックリストのマニュアルは、立入検査でこの 3 種類の施設の取組を確かめるとしています。

**立入検査で現物を見せる書類は何ですか**

チェックリストのマニュアルでは、機器の台帳、事故が起きたときの連絡体制図、サイバー攻撃の想定を含む BCP、運用管理規程などの規程類です。サーバーのアクセスの記録も直接確かめることがあります。

**チェックリストに「いいえ」があるときは**

マニュアルは、「いいえ」の項目に令和 8 年度中の対応の目標日を書くよう求めています。立入検査では、全項目に確認日と回答が記入されているかが確かめられます。

## 参考資料

- [e-Gov 法令検索「医療法」(昭和 23 年法律第 205 号)第 25 条](https://laws.e-gov.go.jp/law/323AC0000000205)
- [e-Gov 法令検索「医療法施行規則」(昭和 23 年厚生省令第 50 号)第 14 条](https://laws.e-gov.go.jp/law/323M40000100050)
- [厚生労働省「医療法施行規則の一部を改正する省令について」(令和 5 年 3 月 10 日 産情発 0310 第 2 号)](https://www.mhlw.go.jp/content/10808000/001075881.pdf)
- [厚生労働省「医療法に基づく立入検査について」(関係通知と検査結果の掲載ページ)](https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/i-anzen/tachiirikensa.html)
- [厚生労働省「医療法第 25 条第 1 項の規定に基づく立入検査要綱の一部改正について」(令和 8 年 6 月 12 日 医政発 0612 第 9 号)](https://www.mhlw.go.jp/content/10800000/001711282.pdf)
- [厚生労働省「令和 8 年度の医療法第 25 条第 1 項の規定に基づく立入検査の実施について」(令和 8 年 6 月 12 日 医政発 0612 第 10 号)](https://www.mhlw.go.jp/content/10800000/001711283.pdf)
- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年度版)](https://www.mhlw.go.jp/content/10808000/001716185.pdf)
- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル〜医療機関・薬局・事業者向け〜」(令和 8 年度版)](https://www.mhlw.go.jp/content/10808000/001716186.pdf)
- [厚生労働省 第 16 回 健康・医療・介護情報利活用検討会 医療等情報利活用ワーキンググループ 資料 2-2「医療機関の立入検査の概要」(令和 5 年 3 月 23 日)](https://www.mhlw.go.jp/content/10808000/001076927.pdf)
- [厚生労働省「医療法第 25 条に基づく病院に対する立入検査結果(令和 5 年度)」](https://www.mhlw.go.jp/content/10800000/001706226.pdf)
- [厚生労働省「指導大綱、監査要綱」(最終改正 令和 8 年 3 月 30 日 保発第 27 号)](https://www.mhlw.go.jp/content/001685596.pdf)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 検査の日に、共有の ID を誰が使ったかを問われると、いまはその日の勤務者を一人ずつたどって答えます。Junify を通して入る運用なら、その ID を誰が・いつ使ったかを、システムの記録とは別に一人ずつ CSV で出せます。そのためには導入時にパスワードを変えて Junify だけが持ち、スタッフは入る前に自分のスマホで本人確認をします(ブラウザーで開く診療システムの場合)。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか](/guides/healthcare-access/clinic-saas-responsibility-split): 基本の形は、サービス側の仕組みと安全対策は事業者、誰に ID を出していつ止めるかは医療機関です。厚労省のガイドライン第 7.0 版は、この分かれ目を事業者と文書で取り決め、開示書(MDS/SDS)で確かめるよう求めています。
- [医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと](/guides/healthcare-access/medical-cyber-incident-account-response): 初動は保守会社への連絡、ネットワークの遮断と攻撃者が残した裏口の無効化、記録の保全です。侵害された可能性のある機器の ID とパスワードの無効化は、ガイドラインでは復旧の際の方策です。非常時用のアカウントは正常に戻った後に使えなくします。
- [オンライン資格確認の端末で使うアカウントとパスワードの管理](/guides/healthcare-access/online-eligibility-verification-terminal): 資格確認端末には Windows のログイン、電子証明書、システムのアカウントがあり、顔認証付きカードリーダーにもアカウントがあります。システムのアカウントは職員一人ずつ作って退職時に止め、管理用の ID は持つ人と保管場所を決めます。