3省2ガイドラインとは？第7.0版の改定点と3省3ガイドラインとの違い

3省2ガイドラインは、厚生労働省が医療機関等に向けて定める「医療情報システムの安全管理に関するガイドライン」と、総務省・経済産業省が事業者に向けて定める「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」の2本をまとめて指す呼び方です。厚生労働省側は令和8年6月29日に第7.0版へ、総務省・経済産業省側は令和7年3月28日に第2.0版へと、いずれも改定されました。この記事では、2本の役割分担、第7.0版で変わった点、検索でよく並ぶ「3省3ガイドライン」との関係を、策定通知とガイドライン本文にあたって整理します。

まとめ

• 3省2ガイドラインは1本の文書ではなく2本の総称。医療機関等が読むのは厚生労働省版、事業者が読むのは2省ガイドラインです。
• 厚生労働省版の現行は第7.0版（令和8年6月29日策定通知）。構成が4編から5編に増え、保守委託機関編が新設されました。
• パスワードの「定期的な変更」要件は削除。二要素認証は令和9年度に稼働が想定されるシステムの更改時に求められ、クライアント端末はアプリのログイン、サーバはOSログインが対象です。
• 「3省3ガイドライン」は3省2ガイドラインより詳しい別の基準ではありません。令和2年8月の統合前に使われていた旧称です。
• 事業者側は2省ガイドライン4.4でプライバシーマーク認定またはISMS認証が必要。ただし認証だけでガイドラインを満たしたことにはなりません。

以下、それぞれの根拠と対応範囲の判断材料を順に見ていきます。

3省2ガイドラインを構成する2本の文書と読み分け

3つの省庁が関わりながら文書は2本、という構造がこの呼び名の由来です。2本の違いは次のとおりです。

「医療機関等」の範囲は概説編2.1に列挙があり、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者、医療情報連携ネットワーク運営事業者などが入ります。院内で自ら開発・構築したシステムも対象に含まれる一方、医療情報を含まない費用請求だけを扱う会計・経理システムは対象外です。医事会計システムとは：レセコンとの違い・電子カルテ連携と会計システムへの接続設計で扱うレセコン連携では、どこから医療情報が流れ込むかで適用範囲が変わります。

「3省2ガイドライン」は公式文書に登場しない通称

実務では定着した言い方ですが、これは行政の用語ではありません。第7.0版の5編（概説編・経営管理編・企画管理編・システム運用編・保守委託機関編）、策定通知、チェックリスト、および2省ガイドライン第2.0版の全文を抽出して「3省2」「３省２」などの表記を検索したところ、該当は8文書すべてで0件でした。厚生労働省側の文書は自らを「本ガイドライン」と呼び、相手方を「２省ガイドライン」と表記します。

逆に、旧称のほうは公式文書に残っています。2省ガイドライン第2.0版は「いわゆる3省3ガイドラインにより、必要な対策等が規定されてきた」と本文で明示しており、書かれたのは古い呼び名だけ、という逆転が起きています。実務上は、「3省2ガイドライン」で官公庁サイトを検索しても一次資料に届かない、という形で効いてきます。正式名称か「２省ガイドライン」で当たるのが確実です。

3省3ガイドラインとの違いは新旧の呼称差

「3省3ガイドライン」を3省2ガイドラインより詳細な基準、あるいは特定システム向けの上位規定と説明する記事がありますが、これは誤りです。両者は並存していません。3省3ガイドラインは、事業者向けガイドラインが2本あった時代の呼び名で、それが1本に統合された結果が現在の3省2ガイドラインです。省庁の数は変わらず、ガイドラインの本数だけが減ってきた、という履歴を表しています。

3省4から3省2に至る統合の年表

2省ガイドライン第2.0版の「1.1 本ガイドライン策定の経緯」に、統合の過程が記録されています。なお同項が明示的に用いているのは「いわゆる3省3ガイドライン」という表現までで、それ以前の4本体制を指す「3省4ガイドライン」は一次資料には現れない業界の言い方です。

表中の略称は、総務省の「ASP・SaaSにおける情報セキュリティ対策ガイドライン」「ASP・SaaS事業者が医療情報を取り扱う際の安全管理に関するガイドライン」、経済産業省の「医療情報を受託管理する情報処理事業者における安全管理ガイドライン」（平成24年10月に第2版）、および平成30年7月にこれらを引き継いだ「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン」を指します。

統合の理由も第2.0版に書かれています。医療情報を外部保存するクラウド事業者は総務省版と経済産業省版の両方を参照する必要がありましたが、2本は対策を記述する観点が異なり、双方への対応が負担になっていました。統合は基準を厳しくするためではなく、重複を解消するために行われたのです。3省3ガイドラインを上位規定と読むのは、経緯を逆に取っていることになります。

2省ガイドライン側の改定履歴

統合後の版も動いています。

第2.0版の趣旨には、表に挙げた2点に加えてリスクコミュニケーションの実効化があります。事業者が医療機関にリスクをどう説明し合意をどう維持するかが強化された版です。

第7.0版（令和8年6月29日）で変わった点

厚生労働省は令和8年6月29日付の通知「産情発0629第1号」で第7.0版を策定しました。前版の第6.0版は令和5年5月ですから、約3年ぶりの改定です。通知が挙げる背景は、医療機関等を狙ったサイバー攻撃の継続、サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律・令和7年法律第42号）の成立、そして2省ガイドラインが第2.0版へ改定されたことです。改定は事業者側の動きと連動しています。

4編から5編へ｜保守委託機関編の新設

最大の構造変更は保守委託機関編の追加です。全読者が読む概説編を土台に、経営層向けの経営管理編、安全管理者向けの企画管理編、運用担当者向けのシステム運用編が並び、そこに保守委託機関編が加わりました。この編が効くのは、判定が「読む量を減らす」方向に働くからです。すべてのサーバのセキュリティアップデート責任を事業者に委託している医療機関等は、概説編と保守委託機関編の2編に対応すれば、ガイドライン全体を遵守しているものとみなされます。専任のシステム担当者がいない小規模医療機関が主な想定です。5編それぞれの想定読者と中身、医療情報システム安全管理責任者の置き方、規程類と技術的対策の対応は安全管理ガイドライン第7.0版の5編の読み方と規程・技術対策の対応表で整理しています。概説編はSaaS型システムの採用で特別な契約を交わすことなく保守委託を実現することを想定していますが、これは想定であって成立要件ではありません。約款等への記載がなければ「委託できている」とは判定できない点は後述します。

二要素認証はシステム更改時が起点｜実装箇所と「みなす」代替措置

システム運用編14の遵守事項⑤は、令和9年度（令和9年4月1日時点）に稼働していることが想定される医療情報システムについて、新規導入または機器の入替等を伴うシステム更改の際に、二要素認証を採用するか、これに相当する対応を行うことを求めています。義務が発動するのは更改のタイミングであり、稼働中のシステムを直ちに改修せよという書き方ではありません。技術的な理由等で対応が間に合わない場合は、令和9年度以降で直近の更改・新規導入までが経過措置です。実装箇所は表14－1で切り分けられています。

クライアント端末はアプリケーションのログイン時、サーバはOSのログイン時が対象です。ただしクライアント端末側は、認証した情報をアプリケーションの資格情報等と連携して適切な権限付与ができる場合に限り、OSやミドルウェアでの二要素認証も許容されます。OSで一要素、アプリケーションで一要素という組み合わせは許容されません。後述のチェックリストで二要素認証が2項目に分かれているのは、この区分に対応しているためです。

実務でいちばん効くのはサーバOS側の代替措置です。サーバOSの二要素認証は院内ネットワークの再構築を伴う場合があるため、次の①②いずれか、または同等以上の措置があれば「二要素認証を実装できているものとみなす」と明記されました。①は、サーバ群へのアクセスを別ドメインの踏み台端末からのRDPやSSH等に限定したうえで、踏み台端末のOSログインに二要素認証を実装する構成。②は、同じくアクセスを踏み台端末経由に限定し、踏み台端末に振る舞い検知の機能（EDR製品に限らずWindows標準機能でも可）を持たせ、外部からの接続をVPN経由に限定する構成です。全サーバのOSを一斉に改修する前に、この経路限定で満たせないかを先に検討すべきです。

パスワード要件の見直し｜定期変更の廃止と桁数の下限

パスワードの扱いは、削除された要件と追加された要件の両方があります。使い回しの禁止とアカウントロックの導入が追記された一方、「定期的な変更」の要件は、セキュリティ面の強化につながらないとして削除されました。システム運用編は「いずれの場合においても、パスワードの定期的な変更は不要とする」と断定しています。90日ごとの変更を院内規程に残しているなら、運用管理規程の見直し対象です。

桁数には条件が付きます。英数字を混在させた8桁以上（PINであれば4桁以上）が基準で、二要素認証を採用していない場合は13桁以上。システム仕様上13桁を設定できない場合は設定可能な最大桁数とし、直近のシステム更改・新規導入時に必ず対応することとされています。アカウントロックは「一定回数、認証に失敗した場合には、以降一定時間ログイン試行が不能となる仕組みを講じること」という形で要件化されており、回数と時間は医療機関側が定めます。VPN装置についても、記憶認証のみに依存せず二要素認証等を導入することが望ましいとされました。

根拠法へのサイバーセキュリティ基本法の追加

第7.0版からは、ガイドラインの根拠法にサイバーセキュリティ基本法（平成26年法律第104号）が加わりました。国家サイバー統括室（NCO）が公表する「重要インフラのサイバーセキュリティに係る安全基準等策定指針」との整合性を確保するためで、サプライチェーンリスクに関する記述も追記されています。

ここは読み違えやすい箇所です。概説編は根拠法の説明に続けて、サイバーセキュリティ基本法の対象は重要インフラ事業者であり、本ガイドラインが対象としている医療機関と必ずしも同一となるものではない、と留意を促しています。根拠法に加わったことは、自院がただちに重要インフラ事業者として扱われることを意味しません。一方で薬局には別の経路で義務が及んでおり、医薬品医療機器等法施行規則第11条第2項第1号が、薬局の管理者の遵守事項として同法第2条に規定するサイバーセキュリティの確保に必要な措置を講じることを定めています。

医療機関・薬局が立入検査で確認されるチェックリスト

「3省2ガイドライン チェックリスト」で探している人が実際に必要としているのは、本編の膨大な要求事項ではなく、この1枚です。第7.0版とあわせて「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の令和8年度版が公表されています。冒頭に「立入検査時、本チェックリストを確認します」と明記されており、令和8年度中にすべての項目が「はい」になるよう取り組むことが求められます。「いいえ」の項目には年度内の対応目標日を書き込む欄が付いています。

項目は4区分です。1が体制構築（医療情報システム安全管理責任者の設置）、2が医療情報システムの管理・運用、3がインシデント発生に備えた対応、4が規程類の整備。分量の中心は区分2で、機器の台帳管理、リモートメンテナンスの有無の事業者への確認、事業者からのMDS/SDS（製造業者/サービス事業者による医療情報セキュリティ開示書）の提出、不要アカウントの削除、セキュリティパッチの適用、アクセスログの管理、接続元制限などが並びます。

二要素認証はアプリケーションログイン時とOSログイン時の2項目に分かれ、いずれも「実装している」か「令和9年度以降初回のシステム更改時に実装予定である」のどちらかを満たす必要があります。区分3にはBCPの策定が入っており、サイバー攻撃の想定を含む事業継続計画が求められます。策定の進め方はBCP対策の全体像と国内公的ガイドラインが果たす位置づけ・実務上の活用条件もあわせて参照してください。

見落とされがちですが、このチェックリストは2枚組で、2枚目は事業者確認用のシートです。医療機関・薬局用の選択肢が「はい・いいえ」の2択なのに対し、事業者用には「対象外」が加わります。事業者が「対象外」を選んだ項目は保守契約の範囲外という意味で、その項目の責任は医療機関・薬局側に残ります。ベンダーから返ってきたシートは、「いいえ」だけでなく「対象外」の位置を見てください。

事業者に求められるプライバシーマーク認定・ISMS認証

対象事業者は3類型｜直接契約が無くても対象になる

第2.0版の改定趣旨のひとつが対象事業者の明確化でした。対象は、医療機関等との契約等に基づいて医療情報システム等を提供する事業者にとどまりません。医療機関等と直接的な契約関係が無くても、提供される医療情報システムに必要な資源や役務を提供する事業者、そして患者等の指示に基づいて医療機関等から医療情報を受領する事業者も含まれます。

直接契約が無い事業者は、契約元の対象事業者から求められた際に、リスクマネジメントと制度上の要求事項への対応状況に関する資料を提供する義務を負います。ここでいう契約元は一次請けとは限らず、二次請け以降も同様に扱われます。第2.0版は認証取得についても、医療情報を直接取り扱わない対象事業者の場合においてもプライバシーマーク認定またはISMS認証の取得が強く求められると書いています。データに触れないインフラ提供や開発の受託であっても、適格性の提示からは外れられません。

認証取得は最低限の適格性であって免罪符ではない

第2.0版4.4は、対象事業者に対し、情報セキュリティに係る公的な第三者認証等としてプライバシーマーク認定またはISMS認証を取得することを求めています。両者は等価に扱われておらず、「特にプライバシーマーク認定を取得していることが望ましい」と優劣が付けられている点が実務上の分かれ目です。

ISMS認証については、情報システム管理が適正であることを認証するものであって安全対策の有効性までを認証するものではない、という留保が明記されています。ISMS認証のみを取得する場合は、具体的な管理方法を説明できる資料を用意しておくことが望ましいとされます。適用範囲は医療情報の入口から出口まで包括的に設定し、適用宣言書も医療機関が委託先を選定する際に確認できるよう開示を前提に記載することが望ましい、というのが原典の書き方です。どちらを軸に据えるかはPマーク（プライバシーマーク）とISMSの違い｜最新規格・2026年改正で選ぶ判断基準、管理策の選定実務はISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順を実務目線で解説が参考になります。

代替も認められています。「政府情報システムにおけるクラウドサービスの利用に係る基本方針」（令和3年3月30日 各府省情報化統括責任者連絡会議決定）のクラウドセキュリティ認証等は、両者と同等と認められます。ただし第2.0版はこれら認証の取得をもって本ガイドラインが求める安全管理水準を満たすわけではないと釘を刺しています。この線引きを取り違えると、提案書に「Pマーク取得済みのため3省2ガイドライン準拠」と書いてしまう事故が起きます。

クラウド型電子カルテを使う医療機関の適用範囲

第7.0版で最も判断が要るのが、自院が保守委託機関編の対象になるかどうかです。判定基準は「すべてのサーバのセキュリティアップデート責任を事業者に委託しているか」の1点。ここでの「サーバ」は、医療情報の保存や主要な処理を担う機器を指します。原則としてPCやタブレット等のクライアント端末は含みませんが、電子カルテアプリを端末にインストールし、その機器上で処理が完結する場合は、そのPCも「サーバ」に含まれます。策定通知は、CD-Rで電子カルテのアプリケーションをインストールして運用するケースを例に挙げています。院内に1台でもこうした端末が残っていれば、その端末の更新責任も委託できているかを問われます。

もうひとつ、判定を甘く見積もらせない条件があります。「YES」を選べるのは、事業者がセキュリティアップデート責任を負うことが契約書・約款・サービスレベル合意書等に記載されている場合のみです。記載が無い、あるいは不明確な場合は医療機関側の責任になっている可能性があるとされ、契約事業者への直接確認が求められます。運用上ベンダーが更新してくれている、という実態だけでは要件を満たしません。ここは口頭確認ではなく契約書面を開いて確かめるべき箇所です。

対象になった場合に対応する遵守項目は、安全管理に関する責任・責務、責任分界、リスクマネジメント、安全管理全般、人的管理、情報管理、情報機器等の資産管理、サイバーセキュリティ、利用者の認証等及び権限、技術的な安全管理対策の管理、法令で定められた記名・押印のための電子署名と紙媒体等で作成した医療情報の電子化という11区分に整理されます。

末尾の別紙には、事業者選定の合格ラインが書かれています。別紙のすべてにおいて「はい」または「対象外」となっている事業者を選定すること、が原則です。「いいえ」を含む事業者を選ぶ場合や約款に十分な記載がない場合は、各項目についてリスク評価とリスク対応を実施し、立入検査や監査の際に説明できる状態にしておくことが求められます。詰めずに契約すると、検査で説明責任を負うのは医療機関側です。

対象から外れる条件も明示されています。事業者に委託せず医療機関等が自らシステムを構築して利用する場合は、保守管理の責任が医療機関に生まれるため保守委託機関編の対象とならず、システム運用編の遵守事項を自ら確認して対策を講じることになります。院内で内製したシステムが1つでも残っていれば、読む範囲は5編側に戻ります。

オンプレミス型を選ぶこと自体が否定されているわけではありません。ただし院内にサーバを置き続けるなら、更新責任を誰が持つかを契約で固める作業からは逃げられません。医用画像を扱う場合は保存容量と更新の両面で影響が出るため、PACSとは？仕組み・電子カルテ連携・容量設計から導入判断まで解説【2026年版】もあわせて検討してください。

よくある質問

3省2ガイドラインの最新版はどれですか？

2本それぞれに最新版があります。厚生労働省版は第7.0版で、令和8年6月29日付の通知（産情発0629第1号）で策定されました。2省ガイドラインは第2.0版で、令和7年3月28日の公表です。両者は改定時期がずれるため、片方だけを見て「最新版に対応済み」と判断しないでください。概説編にも、随時内容を見直す予定であり最新の版であることに十分留意するよう記載があります。

3省3ガイドラインは今も有効ですか？

別の基準として併存しているわけではありません。厚生労働省版・総務省版・経済産業省版の3本立てだった令和2年8月以前の体制を指す呼び名です。令和2年8月21日に総務省版と経済産業省版が統合されて2省ガイドライン第1.0版になり、以降は3省2ガイドラインという言い方に置き換わりました。現在参照すべきは厚生労働省版第7.0版と2省ガイドライン第2.0版の2本です。

2省ガイドラインとは何を指しますか？

総務省と経済産業省が共同で策定する「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」のことです。厚生労働省の文書内では「２省ガイドライン」と表記されます。医療機関等が読む厚生労働省版に対し、事業者側が読むのがこちらです。現行は第2.0版（令和7年3月28日）で、対象事業者の範囲、医療機関等との合意形成、リスクマネジメントプロセスが中心です。

プライバシーマークを取得すれば3省2ガイドラインに準拠したことになりますか？

なりません。2省ガイドライン第2.0版4.4はプライバシーマーク認定またはISMS認証の取得を最低限の適格性として求める一方、同じ箇所で、これら認証の取得をもって求める安全管理水準を満たすわけではないと明記しています。リスクマネジメントの実施や医療機関等との責任分担の取り決めは別途必要です。プライバシーマークを取得する場合は「保健医療福祉分野のプライバシーマーク認定指針」を参照することが望ましいとされています。

クラウドサービスを使えば医療機関側の対応は不要になりますか？

不要にはなりませんが、対応範囲は狭くなります。すべてのサーバのセキュリティアップデート責任を事業者に委託できている医療機関等は、概説編と保守委託機関編に対応すればガイドラインを遵守しているものとみなされます。ただし「委託できている」と認められるのは、事業者が更新責任を負うことが契約書・約款・サービスレベル合意書等に書かれている場合のみです。記載が無ければ医療機関側の責任として扱われる可能性があるため、契約内容の確認が出発点になります。

関連記事

• Pマーク（プライバシーマーク）とISMSの違い｜最新規格・2026年改正で選ぶ判断基準
• PACSとは？仕組み・電子カルテ連携・容量設計から導入判断まで解説【2026年版】
• ISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順を実務目線で解説
• BCP対策の全体像と国内公的ガイドラインが果たす位置づけ・実務上の活用条件
• 医事会計システムとは：レセコンとの違い・電子カルテ連携と会計システムへの接続設計