セキュリティポリシーとガイドラインと総務省の最新動向

セキュリティポリシーとガイドラインと総務省のポイント整理

セキュリティポリシーとガイドラインと総務省の基本構造を医療機関の視点で理解する

総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」令和7年版・令和8年3月改定版では、方針レベルの記述例と、具体的な技術・運用対策の例が併記され、自治体が自らの状況に合わせてカスタマイズすることを前提としています。

参考）https://www.soumu.go.jp/menu_news/s-news/01gyosei02_02000355.html
医療機関は自治体ではありませんが、患者情報やレセプト情報など、自治体と同様に極めて機微な情報を扱う点で共通しており、総務省のガイドラインの構造やリスク評価プロセスを院内ポリシーの叩き台として活用することができます。

総務省ガイドラインは、「法令・規制の整理」「リスク評価のプロセス」「技術的対策・組織的対策」「教育・監査」の各章から構成され、自治体職員の行動やシステム運用の基準を明確にすることを目的としています。

令和6年の地方自治法改正を背景に、令和8年3月改定ではセキュリティポリシーの策定と実施が「努力義務」から「法的義務」へと格上げされ、地方公共団体に対して計画的・継続的な対策の実施が強く求められるようになりました。

医療分野では個人情報保護法や医療法等が中心となりますが、同様に「ポリシー策定と運用」が規制対応の前提条件になりつつあり、総務省ガイドラインの枠組みを参考にすることで、院内規程の抜け漏れを効率的に洗い出すことが可能です。

また、総務省は自治体向けガイドラインのほか、クラウドサービス安全利用、テレワークセキュリティ、IoTセキュリティなど複数のガイドラインを公開しており、これらは医療機関のクラウド型電子カルテや在宅勤務、IoT医療機器の導入に直接応用し得る内容です。

参考）https://www.soumu.go.jp/main_content/001068239.pdf
クラウドサービス安全利用ガイドラインでは、クラウド事業者と利用者の責任分界、データ暗号化、アクセス管理、多要素認証、バックアップ方針などが体系的に整理されており、院内のクラウド利用ポリシー策定時のチェックリストとして有用です。

総務省ガイドライン（自治体情報セキュリティ対策ガイドライン）では、LGWANとインターネット分離、庁内LANの三層分離構成が示され、インターネットから庁内システムへの直接的な侵入を防ぐネットワーク設計の考え方が解説されています。

医療機関でも「診療系ネットワーク」「事務系ネットワーク」「インターネット接続系」を分離する設計が一般的であり、総務省ガイドラインの三層分離の思想を参考にすることで、電子カルテ・画像診断・検査システムの防御ラインを整理しやすくなります。

さらに、近年の総務省ガイドラインでは「三層分離」から「ゼロトラスト」への移行が議論されており、院外からの遠隔閲覧やクラウドPACS利用を前提とした医療情報ネットワークの再設計において、ゼロトラストの考え方は避けて通れないキーワードになっています。

参考：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」本文PDF（基本構造と章立ての確認に有用な一次資料です）
地方公共団体における情報セキュリティポリシーに関するガイドライン（令和7年版）

セキュリティポリシーとガイドラインと総務省改定が医療現場にもたらすリスク評価・管理の変化

令和8年3月改定の総務省ガイドラインでは、従来より詳細なリスク評価プロセスが明示され、JIS Q 31000等に準拠した「リスク基準の決定→リスク特定→リスク分析→リスク評価→リスク対応」という5ステップが提示されています。

この枠組みを医療情報に適用すると、まず「患者情報・職員情報・医療機器ログなどをどこまで守るのか」というリスク基準を定めたうえで、電子カルテ端末の盗難、ランサムウェア感染、誤送信メールなど具体的なリスクを洗い出す作業が必要になります。

さらに、それぞれのリスクについて発生確率と影響度を評価し、対策の優先順位を決めることで、限られた予算と人員の中でも合理的なセキュリティ投資が可能になります。これは総務省ガイドラインが自治体向けに強調している「体系的で論理的なリスク管理」の医療版と言えます。

医療現場固有のポイントとして、診療停止が患者安全に直結するため、多くの医療機関では「可用性」を重視するあまり、セキュリティ対策が後回しになる傾向があります。総務省ガイドラインのようにリスク評価を形式化すると、「可用性と機密性・完全性のバランス」を明示的に議論しやすくなります。

例えば、電子カルテの二要素認証を導入するとログイン手間は増えますが、なりすましや不正閲覧リスクを大きく低減できます。総務省のテレワークセキュリティガイドラインでは、多要素認証（MFA）導入が強く推奨されており、この考え方は院内・院外アクセスの両方で参考になります。

また、リスク評価結果をもとに「高リスクだが低コストで対策できる項目」から優先的に着手することが、忙しい診療現場でも実行可能なステップとなり、総務省ガイドラインが示す「優先度に応じた計画的な対策」の実務的な訳語になります。

総務省ガイドラインでは、法令に基づくセキュリティ責務の明確化も重要な改定ポイントとされています。令和8年改定では、地方自治法に基づきサイバーセキュリティ確保の方針策定と実施が地方公共団体の法的義務と明記されました。

意外な点として、総務省ガイドラインでは「重要電子計算機に対する不正な行為による被害の防止に関する法律」等、一般にはあまり意識されない法律もセキュリティ関連法令として列挙しており、医療機関でもRIS/PACSや検査システムなどがこの対象になり得ることを知っておく価値があります。

リスク管理の高度化は、医療従事者の教育にも影響します。総務省の自治体向けガイドラインは、職員向けセキュリティ教育の必要性を繰り返し強調し、電子メールの取り扱い、パスワード管理、持ち出し媒体の扱いなど具体的な教育項目を提示しています。

医療安全研修と同様に、情報セキュリティ研修を年1回以上計画的に実施し、ランサムウェア事例や自治体でのインシデント報告を題材にしたケーススタディを行うことで、「自分事としてのセキュリティ意識」を高めることができます。

特に医療機関では、看護師・薬剤師・検査技師・事務職など職種ごとに端末利用シーンが異なるため、総務省ガイドラインの「役割ごと教育」の考え方を取り入れながら、職種別のセキュリティ研修コンテンツを設計する工夫が求められます。

参考：総務省 自治体向けセキュリティガイドライン解説記事（改定ポイントとリスク評価ステップの理解に役立つ二次資料です）

セキュリティポリシーとガイドラインと総務省が示す具体的技術的対策と医療システムへの応用

総務省ガイドラインの技術的対策の章では、メールセキュリティ、Webサイト管理、データ抹消、ネットワーク構成、端末管理などが具体的に記載されており、自治体向けでありながら医療システムにもそのまま応用可能なものが多数含まれています。

メールセキュリティでは、なりすまし防止のためにDMARCの導入と、SPF・DKIMと組み合わせて最終的に「reject」にまでポリシーを引き上げることが推奨されており、医療機関が住民や他医療機関へメール通知を行う際にも同様の設定が求められます。

特に、自治体や病院をかたるフィッシングメールが増加している現状では、組織ドメインに対するDMARC設定の有無がブランド保護の観点からも重要であり、総務省ガイドラインを根拠に院内IT部門に導入を提案しやすくなっています。

Webサイト管理では、「サイトを閉じた後のドメイン管理」が意外な盲点として取り上げられています。総務省ガイドライン改定では、サブドメインテイクオーバーという攻撃手法に具体的に言及し、廃止したサイトのDNS設定を完全に削除する重要性が強調されました。

医療機関でも、リクルートサイトやキャンペーンサイト、研究プロジェクトの特設ページなどを期間限定で公開することがあり、そのドメインやサブドメインの設定を放置すると攻撃者に悪用されるリスクがあります。この点は、医療情報システムではあまり意識されてこなかったものの、総務省ガイドラインが明示的に注意喚起している新しい視点です。

Webサイトの廃止時には、コンテンツ削除だけでなくDNSレコードの整理、証明書の失効、クラウドリソースの削除までを含めた「セキュリティポリシーに基づく退役プロセス」として定式化することが、院内ポリシーの成熟度を高める一歩になります。

データ抹消では、HDD/SSDなどの媒体ごとに推奨される消去方法を具体的に示し、「フォーマットだけでは不十分であり、廃棄・修理・リース返却時には委託業者に適切な処理を仕様として要求する必要がある」と記載されています。

医療機関では、電子カルテ端末や検査装置、ポータブルX線装置、モバイル超音波など、患者情報を保持したまま外部業者に返却・修理を依頼する場面が少なくありません。総務省ガイドラインの考え方を取り入れ、契約書や仕様書に「データ消去方式」「証明書発行」「立会いの有無」を明記することが、情報漏えい事故を防ぐための現実的な対策になります。

加えて、院内での端末廃棄時にも、単純なOS初期化ではなく、専用のワイプツールでの複数回上書きや、暗号化ディスクの鍵破棄などを標準手順とすることで、退職職員や機器メーカーから情報が漏洩するリスクを大幅に減らせます。

ネットワーク構成に関しては、総務省ガイドラインが長年採用してきた「三層分離」モデルの見直しと、ゼロトラストへの移行が大きなトピックです。三層分離では、LGWAN、インターネット接続系、庁内LANを物理的・論理的に分離することで境界防御を強化してきました。

しかし、テレワークやクラウド利用の拡大により、「境界の内側は安全」という前提が崩れつつあり、総務省はネットワーク全体の構造的見直しとしてゼロトラストの概念を取り入れる方向性を示しています。

医療機関でも、院外からの遠隔読影、在宅勤務による電子カルテ参照、クラウド型AI画像解析サービスの利用などが進むにつれ、「院内LANだから安全」という前提は成立しなくなっており、ゼロトラストに基づく継続的な認証・端末状態確認・行動分析が重要なテーマになっています。

参考：総務省ガイドラインを技術的対策の観点から解説した企業向け記事（DMARCやサブドメインテイクオーバーなど、医療機関にも応用可能な具体策が整理されています）
【2026年3月改定】自治体向け総務省セキュリティガイドラインの3つの観点

セキュリティポリシーとガイドラインと総務省の最新ガイドラインを医療従事者教育・院内ルールに落とし込む実務視点

総務省のセキュリティポリシー関連ガイドラインは、自治体職員向けの教育・監査の枠組みを詳細に示しており、医療従事者教育プログラムを設計する際の参考モデルとして活用できます。

まず、セキュリティポリシーを単なる文書として配布するのではなく、「職員が日々どのような行動を取ればポリシーに準拠したといえるのか」を具体的なチェックリストに落とし込むことが重要です。総務省ガイドラインには、メール対応、パスワード管理、外部記憶媒体の利用などの行動例が挙げられており、これを医療現場に合わせて翻案することで、実効性の高い教育コンテンツを構築できます。

例えば、看護師向けには「ナースステーションでの端末ロック」「ベッドサイド端末からの離席時の画面ロック」「患者家族への情報説明時の画面共有範囲」など、具体的なシーンを想定したセキュリティチェック項目を設定し、研修時にロールプレイ形式で確認する方法が考えられます。

例えば、クラウドサービス利用に関する院内ルールを整備する場合、基本方針では「患者情報を含むデータのクラウド保存条件」を定め、対策基準では「暗号化・多要素認証・ログ監査の必須要件」を列挙し、運用マニュアルでは「具体的な設定手順や利用フロー」を記載します。総務省クラウド安全利用ガイドラインに含まれるチェックポイントを参照することで、抜け漏れを抑えた設計が可能です。

また、テレワークセキュリティガイドラインの内容を取り入れ、医師の在宅読影やオンライン診療時の端末管理・ネットワーク利用ルールを明文化することは、将来の監査や紛争時に「組織として合理的な配慮を行っていた」ことを示す客観的な証拠にもなります。

意外な観点として、総務省ガイドラインでは「セキュリティ監査」の重要性が強調されており、ポリシー遵守状況を定期的にチェックする仕組みが必須とされています。自治体向けには、情報セキュリティ監査ガイドラインが別途策定されており、監査項目例や報告書の構造まで示されています。

医療機関では、診療報酬や医療安全監査が優先され、情報セキュリティ監査は後回しになりがちですが、総務省の枠組みを参考に、年1回程度の内部監査を計画し、メール誤送信事故や無断持ち出し端末の有無、ログ監査の実施状況などを点検することが望ましいです。

総務省のガイドライン群を俯瞰すると、自治体情報セキュリティ対策ガイドライン、クラウドサービス安全利用ガイドライン、テレワークセキュリティガイドライン、IoTセキュリティガイドラインなどが相互に補完する形で構成されており、医療機関がこれらを統合的に参照することで、院内ポリシーの全体像を描きやすくなります。

特に、IoTセキュリティガイドラインにおける「ネットワークセグメント分離」や「ファームウェアアップデート・脆弱性管理」は、心電図モニタリングシステムやスマートインフュージョンポンプなど医療IoT機器の運用に直結する内容であり、医療工学部門と情報システム部門が連携して取り入れる価値があります。

最終的には、総務省ガイドラインを「外部ベストプラクティス」として位置付けつつ、自院の規模・診療科構成・IT予算に合わせた優先順位付けを行い、「できることから着実に実装していく」戦略が現実的であり、医療従事者教育もその戦略に沿った形でデザインされるべきでしょう。

参考：総務省が公開する各種セキュリティガイドライン一覧（クラウド・テレワーク・IoTなど医療機関が参照すべき文書を網羅的に把握するのに適しています）
総務省のセキュリティガイドライン一覧と活用方法

セキュリティポリシーとガイドラインと総務省を踏まえた医療従事者向け独自視点：ゼロトラストと診療の質を両立させるために

総務省ガイドラインの最近の改定動向を踏まえると、「三層分離からゼロトラストへ」という大きな潮流が見えてきます。これは単なるネットワーク構成の変更ではなく、組織全体の安全性の考え方を根本から見直す動きであり、医療現場においても看過できないテーマです。

ゼロトラストの核心は、「ネットワークの内側だから安全」とは考えず、すべてのアクセスを常に検証し続けることにあります。具体的には、ユーザ認証の強化、端末の健全性チェック、通信内容の継続的監視、権限の最小化などが含まれますが、医療現場ではこれが診療の効率や患者ケアの流れにどのような影響を及ぼすかを慎重に見極める必要があります。

例えば、救急外来で多要素認証を厳格化しすぎると、ログインに時間がかかり初期対応が遅れるリスクがあります。一方で、院外からのアクセスや高権限アカウントについては、ゼロトラストの考えに沿って認証を強化することが望ましく、このバランス調整こそが医療現場ならではの難しさです。

独自の視点として、ゼロトラストを「診療プロセスの可視化ツール」として活用するアイデアがあります。総務省ガイドラインでは、資産の把握と可視化がゼロトラスト移行の第一歩とされていますが、医療機関では、どの職種がどの時間帯にどの情報へアクセスしているかを可視化することで、業務フローとセキュリティの両方を再設計する材料になります。

例えば、電子カルテのアクセスログを分析し、「診療開始前に不要な大量閲覧が行われていないか」「深夜帯に不自然なアクセスパターンがないか」を確認することは、インシデント検知だけでなく、診療プロセスの改善にもつながります。総務省ガイドラインが推奨するログ監査の仕組みを、単なるセキュリティ対策ではなく「診療の質向上のためのデータ」として捉える発想は、医療現場ならではの価値ある応用と言えるでしょう。

さらに、ゼロトラストの考え方を院内の権限設計に反映し、「必要な情報だけにアクセスできるようロールを細分化する」ことは、患者プライバシー保護と職員負担軽減の両方に寄与します。例えば、特定の診療科のみが閲覧できる心理・精神科情報、ペインクリニックの詳細な鎮痛薬使用履歴などを慎重に扱うことで、情報の過剰共有を防げます。

もう一つの独自視点として、セキュリティポリシーを医療倫理教育と統合するアプローチがあります。総務省ガイドラインは法令遵守を前提にしていますが、医療現場では「患者の尊厳」「インフォームドコンセント」「終末期医療の意思決定」など倫理的テーマと情報の取り扱いが密接に結びついています。

総務省ガイドラインのリスク評価プロセスや教育の枠組みを参照しながら、「情報を守ることが医療の質・倫理の土台である」というメタメッセージを組み込んだ研修を設計することは、AIコンテンツ検出とは別の意味で、人間らしい納得感を伴ったセキュリティ文化の醸成につながるでしょう。

最後に、医療従事者個人のキャリアの観点からも、総務省のセキュリティポリシー・ガイドラインへの理解は価値があります。医療DXやデジタルヘルスが進展するなかで、「医療とセキュリティの両方に強い人材」に対するニーズは高まっており、自治体や企業との共同研究・プロジェクトに関わる際にも、総務省ガイドラインを共通言語として使えることが強みになります。

情報セキュリティはしばしば「守り」のイメージを持たれがちですが、総務省のガイドライン群が目指しているのは、クラウド・テレワーク・IoT・ゼロトラストなどの新しい技術を安全に活用するための「攻めと守りのバランス」です。医療従事者がこのバランス感覚を身につけることで、診療と研究の可能性を広げつつ、患者情報を確実に守るという次世代の医療の姿を自らデザインしていけるのではないでしょうか。

参考：政府機関向け情報セキュリティ対策の統一管理基準（ゼロトラストや統合的なセキュリティ管理を理解する際の参考になる一次資料です）
政府機関の情報セキュリティ対策における政府機関統一管理基準

ブラックキャップ [12個入] ゴキブリ駆除剤 固形物 食いつき2.5倍! 置いたその日から効く 防除用医薬部外品 【Amazon.co.jp限定】