3省2ガイドラインとSCS評価制度は何が違う？（前編）

医療DX時代に求められる「医療情報システム」と「サプライチェーン」の新しいセキュリティ戦略（前編）

近年、医療機関を狙ったランサムウェア攻撃やサプライチェーン攻撃が相次ぎ、電子カルテの停止や救急受け入れの中止など、診療そのものが継続できなくなる事例が国内外で発生しています。

かつて医療機関の情報セキュリティは、「患者情報を漏えいさせないこと」が主な目的でした。しかし現在では、それだけでは十分ではありません。

電子カルテ、オンライン診療、クラウド型予約システム、画像診断システム（PACS）、医療機器、さらには医療DXによる外部サービスとの連携が進んだことで、医療機関は数多くのシステムや事業者と接続されるようになりました。

つまり、

「自院だけを守れば安全」という時代は終わった

と言っても過言ではありません。

こうした背景から、現在医療機関で重要視されているのが、

• 厚生労働省「医療情報システムの安全管理に関するガイドライン（いわゆる3省2ガイドライン）」

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」

という二つの考え方です。

一見すると、どちらも

• 多要素認証（MFA）

• VPN管理

• バックアップ

• パッチ適用

• アクセス管理

など同じ内容を求めているように見えます。

しかし実際には、

「何を守るための制度なのか」

という思想が大きく異なります。

365メディカルでは、この違いを理解することが、これからの医療DXを安全に進めるために非常に重要だと考えています。

本記事では、3省2ガイドラインとSCS評価制度の違いを、医療機関・医療系システムベンダー双方の視点から分かりやすく解説します。

なぜ今、医療機関に「2つのセキュリティ基準」が必要なのか

数年前まで、多くの医療機関では

「電子カルテのバックアップを取っている」

「ウイルス対策ソフトを導入している」

というレベルでも一定の安全性を確保できていました。

しかし現在は状況が大きく変わっています。

例えば一つの診療所でも、

• 電子カルテ

• レセプトコンピューター

• オンライン資格確認

• オンライン診療

• Web予約

• LINE連携

• クラウドバックアップ

• 医療機器

• PACS

• 遠隔保守

など、数十ものシステムが相互接続されています。

さらに、その多くは

• システムベンダー

• 保守会社

• クラウド事業者

• ネットワーク事業者

• 医療機器メーカー

など外部企業によって運用されています。

つまり、

医療機関は「IT企業との共同運営」で診療している

と言っても過言ではありません。

そのため、現在求められるセキュリティは

院内だけを見る時代から、医療サプライチェーン全体を見る時代へ

移行しています。

この流れを受けて、厚生労働省は2026年6月に「医療情報システムの安全管理に関するガイドライン 第7.0版」を公表し、サイバーセキュリティ対策をさらに強化しました。第7.0版では、小規模医療機関の実態を踏まえた「保守委託機関編」の新設や、責任分界の明確化などが盛り込まれています。厚生労働省

3省2ガイドラインとは何か

正式名称は

「医療情報システムの安全管理に関するガイドライン」

です。

厚生労働省・総務省・経済産業省が連携して策定してきたことから、一般的には

「3省2ガイドライン」

と呼ばれています。

現在は第7.0版が公表されており、医療DX時代に対応した内容へ大きく見直されています。厚生労働省

最大の目的は「診療を止めないこと」

一般企業のセキュリティでは

「情報漏えい防止」

が最優先になることが少なくありません。

しかし医療機関では違います。

医療機関が守るべきものは、

• 患者の生命

• 診療の継続

• 医療情報

• 個人情報

• 医療機器

です。

電子カルテが停止すると、

• 救急患者を受け入れられない

• 手術を延期する

• 投薬情報が確認できない

など、人命に直結する問題が発生します。

そのため3省2ガイドラインでは、

「診療を継続できること」

が重要な考え方になっています。

これは一般企業向けセキュリティ基準との大きな違いです。

第7.0版で何が変わったのか

今回の改訂では、

特に

「医療機関だけでは対応できない現実」

が反映されました。

例えば小規模クリニックでは、

専任の情報システム担当者がいるケースは多くありません。

電子カルテもネットワークも、

保守会社へ委託していることが一般的です。

こうした実態を踏まえ、

第7.0版では

保守委託機関編

が新設されました。

これは、

「高度な技術を医療機関自身が理解する」

ことよりも、

適切な保守事業者を選び、管理すること

を重視した考え方です。

つまり、

「ベンダー任せ」ではなく、

「ベンダーを適切に管理する責任」

が医療機関側へ求められるようになっています。トテックメディカル

SCS評価制度とは何か

一方で、近年急速に注目されているのが

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）

です。

こちらは厚生労働省ではなく、

経済産業省

が制度構築を進めています。

SCS評価制度は、

「病院を守る制度」

ではありません。

対象は

サプライチェーン全体

です。

つまり、

• 医療機関

• 電子カルテベンダー

• クラウド事業者

• 保守会社

• ネットワーク事業者

• 医療機器メーカー

など、

医療DXに関わるすべての企業が対象になり得ます。

なぜSCS評価制度が必要なのか

近年増加しているサイバー攻撃では、

病院へ直接侵入するよりも、

取引先を踏み台にする攻撃が増えています。

例えば、

保守会社のVPNが侵害され、

そこから病院へ侵入する。

クラウドサービスの認証情報が漏えいし、

病院データへアクセスされる。

こうした

サプライチェーン攻撃

では、

病院側だけが頑張っても防ぎ切れません。

そこで、

取引先全体のセキュリティレベルを一定以上へ引き上げる目的で、

SCS評価制度が設計されています。

評価は★3・★4・★5の段階で示され、★3・★4については2026年度末頃から制度開始が予定されています。制度は現時点では任意ですが、調達や取引先評価の基準として活用が見込まれています。厚生労働省

共通するのは「NIST CSF」という考え方

では、

なぜ3省2ガイドラインとSCS評価制度は似ているのでしょうか。

その理由は、

どちらも国際的なサイバーセキュリティの考え方である

NIST Cybersecurity Framework（NIST CSF）

を参考に設計されているからです。

そのため、

両制度とも

• 多要素認証

• アクセス権限管理

• 資産管理

• パッチ管理

• ログ管理

• バックアップ

• インシデント対応

• BCP

• 教育

など、

求められる対策は非常によく似ています。

しかし、

ここで勘違いしてはいけないことがあります。

同じ対策を求めていても、「守る対象」が違うのです。

ここが両制度を理解する最大のポイントになります。

（第2回へ続く）

次回は、以下の内容を詳しく解説します。

• 共通する要求事項を項目ごとに徹底比較

• 「医療を守る制度」と「サプライチェーンを守る制度」の本質的な違い

• SCS★3・★4の違い

• 医療機関・医療系ITベンダーが今後取るべき対応

• 365メディカルが考える「安全な医療DX」