3省2ガイドラインの概要｜介護・訪問看護で押さえたいこと
使う側と、提供する側。その両方で、医療情報とケアの継続を守る。
「3省2ガイドライン」は、医療情報を扱う組織と、システムを提供する事業者が、それぞれ何を守り、どう協力するかを示す2つのガイドラインの総称です。
確認日：2026/10/23
1．「3省」と「2ガイドライン」とは
「3省」は、厚生労働省・総務省・経済産業省。「2ガイドライン」は、次の2つを指します。3つの省が、それぞれ2つずつ出しているという意味ではありません。[1]
| 区分 | 厚生労働省のガイドライン | 総務省・経済産業省のガイドライン |
|---|---|---|
| 正式名称 | 医療情報システムの安全管理に関するガイドライン | 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン |
| 主な対象 | 医療情報システムを使い、管理する医療機関等 | 医療情報を扱うシステム・サービスを提供する事業者 |
| 身近な例 | 病院、診療所、薬局、訪問看護ステーション、医療情報をシステムで扱う介護事業者 | 電子カルテや記録システム、クラウド等の提供事業者 |
| 確認できた版 | 第7.0版（2026年6月） | 第2.0版（2025年3月28日改定） |
2．何を守るためのものか
目的は、情報漏えいを防ぐことだけではありません。医療情報の安全管理では、次の3つをそろえて考える必要があります。[4]
| 守ること | 身近な言葉でいうと | 現場で考える例 |
|---|---|---|
| 機密性 | 見てよい人だけが見られる | 利用者情報の閲覧権限を、業務に必要な範囲に絞る。 |
| 完全性 | 正確な情報が保たれる | 記録の誤変更や改ざんを防ぎ、変更の経緯を確認できるようにする。 |
| 可用性 | 必要なときに使える | 障害や攻撃が起きても、必要な情報を確認し、支援を続けられるようにする。 |
上の現場例は、考え方を理解するための例です。「漏らさない・誤らせない・止まっても支える」ための、組織とシステムの備えと捉えると分かりやすくなります。
3．介護・訪問看護にも関係するのか
**関係します。厚生労働省のガイドラインは、訪問看護ステーションや介護事業者も「医療機関等」に含めています。**公式Q&Aでも、介護事業者が医療情報を情報システムで扱う場合は対象と明記されています。[1][4]
判断のポイントは、事業所の名称だけではなく、どのような情報を、どのシステムで扱っているかです。
- 医療情報を含む文書は、法定の保存義務があるものだけに限りません。
- 保存するシステムだけでなく、医療情報を扱う情報システム全般が対象です。
- 医療情報を含まない、費用請求の情報だけを扱う会計・経理システム等は、対象となる医療情報システムには含まれません。[1]
したがって、「介護事業所だから関係ない」も、「社内のすべてのシステムに同じ対策を一律適用する」も適切ではありません。まず情報の内容と利用環境を確認することが出発点です。
4．最も大切なのは「業者任せにしない」こと
クラウドを使い、保守を委託していても、利用する組織の責任がなくなるわけではありません。医療機関等は情報の管理主体としての責任を持ち、提供事業者と役割・責任を分担して対策を進めます。[4]
この分担を明確にすることを、責任分界といいます。「何かあったらどちらが悪いか」だけではなく、普段から誰が何を行い、事故時に誰がどう動くかを決めておくことです。
以下は、契約や運用を確認する際の問いの例です。
| 確認する場面 | 確認したいこと |
|---|---|
| アカウント管理 | 入職・異動・退職時に、誰が権限を付け、変更・削除するか。 |
| 更新・保守 | サーバ、端末、通信機器の更新を、それぞれ誰が担うか。 |
| バックアップ | 誰が取得し、誰が復元を確認するか。どの時点のデータまで戻せるか。 |
| 異常・事故 | どの窓口に連絡し、誰が調査・復旧・利用者への説明を担うか。 |
| 契約終了 | 必要なデータをどう受け取り、残ったデータをどう削除するか。 |
5．「準拠しています」という説明だけで十分か
**提供事業者の説明に加え、具体的な対応状況と、自分たちが担う範囲を確認することが必要です。**厚生労働省のQ&Aは、事業者からMDS/SDSを提出してもらい、適合状況を確認する方法を示しています。[4]
MDS/SDSは、システムやサービスのセキュリティ対応状況を事業者が開示する資料です。提出を依頼し、対応している項目だけでなく、利用する側で設定・運用が必要な項目も確認します。提出が難しい場合には、契約書、製品仕様、問い合わせ等で必要事項を確認する方法も示されています。[4]
「このサービスを契約すれば、自社も自動的にすべて準拠する」とは考えず、実際の契約範囲と運用に照らして判断することが大切です。
6．第7.0版で知っておきたい「保守委託機関編」
第7.0版では、「保守委託機関編」が新設されました。すべてのサーバのセキュリティアップデート責任を事業者に委託しているなど、定められた条件を満たす医療機関等は、「概説編」と「保守委託機関編」の遵守事項に対応することで、本ガイドラインを遵守できているものとみなされます。[1]
ただし、次の点に注意が必要です。
- 小規模という理由だけで対象になるわけではありません。
- 「クラウドを使っている」という事実だけでは判断できません。
- 事業者が更新責任を負うことが、契約書・約款・SLA（サービス水準についての合意書）等で明確になっている必要があります。
- 業者が実際に更新していても、責任が書面で不明確な場合は確認が必要です。[4]
7．法律なのか。守らないと罰則があるのか
ガイドライン自体に独立した罰則はありません。ただし、対応していない状態が、個人情報保護法・医療法等の関係法令上の義務を満たしていないと評価される可能性があります。逆に、ガイドラインを守っていても、事故が起きたときの法的責任が当然に免除されるわけではありません。[4]
「単なる参考資料だから任意」「準拠していれば絶対に安全」という両極端を避けることが重要です。個別の義務や責任は、事業の種類、取り扱う情報、契約、運用実態等により確認が必要です。
8．最初の一歩は、重要なシステムを1つ確認すること
以下は、理解を実務につなげるための着手例です。当社の対応状況を評価したものでも、ガイドラインの全項目を網羅した点検表でもありません。
まず、止まると日々のケアに最も影響する記録・情報共有システムを1つ選び、提供事業者と責任分担を確認するところから始めます。
- 扱う情報と、利用できなくなったときの影響を整理する。
- 最新版への対応状況と、MDS/SDS等の確認資料を依頼する。
- 更新・権限・バックアップ・事故時連絡の担当範囲を確認する。
- システム停止時に、訪問や支援を続ける代替手段を確かめる。
一度にすべてを測ることより、まず「責任の空白」と「止まったら困る場面」を1つ明らかにすることが、実効性のある備えにつながります。
公式資料
本ページは概要の解説です。個別の適用判断・準拠確認は、最新の公式資料と実際の契約・システム構成・運用を照合して行ってください。