3 省 2 ガイドラインとは

3 省 2 ガイドラインとは、医療情報の安全管理について 3 つの省が定めている 2 本のガイドラインを合わせた通称です。1 本目は厚生労働省の「医療情報システムの安全管理に関するガイドライン」(第 7.0 版、令和 8 年 6 月)で、医療機関等が守ります。2 本目は総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」(第 2.0 版、令和 7 年 3 月改定)です。こちらは、電子カルテなどのシステムやサービスを提供する事業者が守ります。

なぜ 3 つの省で 2 本なのか

もとは 3 本でした。事業者向けガイドラインの本文によると、総務省はクラウドサービス事業者向けに、経済産業省は情報処理事業者向けに、別々のガイドラインを持っていました。本文は、厚生労働省の 1 本と合わせた 3 本を「いわゆる 3 省 3 ガイドライン」と呼んでいます。

統合の理由として、本文は環境の 3 点の変化を挙げています。事業者が総務省・経済産業省の 2 本を両方参照する負担が大きいことに加え、情報セキュリティに求められることが広がり、多様になりました。ISO/IEC の各規格などとの整合も要るようになっています。この背景から、令和 2 年 8 月に 2 本が 1 本に統合されました。

「3 省 2 ガイドライン」という語は、公的な資料に定義がありません。厚生労働省の第 7.0 版は事業者向けの 1 本を「2 省ガイドライン」と呼び、第 6.0 版の Q&A は 2 本を「3 省のガイドライン」と呼びます。オンライン診療の指針は「医療情報安全管理関連ガイドライン」という総称で 2 本を指しています。

誰がどちらを守るのか

厚生労働省のガイドライン(第 7.0 版)を守るのは「医療機関等」です。病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者などが当たります。そのうち、医療情報システムの導入・運用・利用・保守・廃棄に関わる人が対象です。

総務省・経済産業省のガイドライン(第 2.0 版)を守るのは事業者の側です。医療機関等との契約等に基づいて医療情報システム等を提供する事業者が中心で、直接の契約がなくても、そのシステムに必要な資源や役務を提供する事業者も含みます。患者等の指示で医療機関等から医療情報を受け取る事業者も対象です。

事業者向けの「契約等」には運用・管理・保守の契約が含まれ、売買契約だけの場合は含まれません。第 6.0 版の Q&A は、厚生労働省のガイドラインはサービスを提供する業者ではなく、委託する医療機関等が遵守すべきものだ、と答えています。

医事業務やレセプト業務だけを受託する会社がどちらに当たるかは、事業者向けガイドラインの本文には書かれていません。厚生労働省のガイドラインの側では、企画管理編が外部の利用者のアクセス権限とアクセス状況の管理を求めています(13 章)。事務や運用の委託については、委託契約の契約書に守秘・非開示の内容を含めることを遵守事項にしています(7 章)。扱いは医療・ヘルスケアのアカウント管理にまとめています。

2 本はどうつながっているか

厚生労働省のガイドラインは、2 本と法令の基準を満たす事業者を選定するよう医療機関に求めています。契約で責任の分かれ目(責任分界)を明確にして合意すること、必要に応じて事業者向けガイドラインの遵守状況を確かめることも求めています(概説編 4.4)。医療情報を外部に保存する委託では、事業者向けガイドラインの遵守を契約で定め、定期的に報告を受けます(企画管理編 7 章)。事業者の対策状況は「サービス仕様適合開示書」(事業者が自社の対策状況を示す書類)などで確かめます。

事業者向けガイドラインの側は、医療機関等が厚生労働省のガイドラインを守れる設計になっていることを事業者が説明する義務がある、としています。多要素認証(2 つ以上の方法で本人を確かめること)を可能な限り早期に採用すべきだ、とも書いています(5.1.5)。アカウント管理について厚生労働省のガイドラインが求めることは、医療情報システムの安全管理に関するガイドラインとはにまとめています。