3省2ガイドラインとSCS評価制度は何が違う？（後編）
5．3省2ガイドラインとSCS評価制度は、なぜ似ているのか
前編でご紹介したように、3省2ガイドラインとSCS評価制度は、どちらも「多要素認証（MFA）」「バックアップ」「資産管理」「インシデント対応」など、非常によく似たセキュリティ対策を求めています。
その理由は、両制度とも**NIST Cybersecurity Framework（NIST CSF）**やISO/IEC 27001などの国際的なサイバーセキュリティの考え方を参考に設計されているためです。
NIST CSFでは、組織のサイバーセキュリティを以下の6つの機能で整理しています。
Govern（統治）
Identify（識別）
Protect（防御）
Detect（検知）
Respond（対応）
Recover（復旧）
この考え方は、現在の医療DXにも非常に適しています。
例えば、電子カルテを導入しただけでは医療DXは完成しません。
誰が利用するのか
どの端末からアクセスできるのか
ログを取得しているか
サイバー攻撃を検知できるか
停止した場合に何時間で復旧できるか
まで考えて初めて、「安全な医療DX」と言えます。
そのため、3省2ガイドラインもSCS評価制度も、「技術」だけではなく、「組織」「運用」「教育」「継続的改善」を重視しています。
6．共通する要求事項を詳しく見る
両制度で重視されている主な項目を整理すると、次のようになります。
項目 | 共通する考え方 | 医療機関での具体例 |
アクセス管理 | 必要最小限の権限 | 退職者アカウントの即時削除、職種ごとの権限設定 |
多要素認証（MFA） | ID・パスワードだけに依存しない | VPN、クラウド電子カルテへのMFA導入 |
IT資産管理 | 利用機器を把握する | PC・サーバー・医療機器・ネットワーク機器の台帳整備 |
パッチ管理 | 脆弱性対策 | OS・電子カルテ・VPN機器の更新 |
バックアップ | 診療継続 | オフラインバックアップ、復元テスト |
ネットワーク管理 | 不正通信防止 | ファイアウォール、UTM、ネットワーク分離 |
ログ管理 | インシデント分析 | 誰がいつアクセスしたか記録する |
教育 | 人的リスク低減 | 標的型メール訓練、情報セキュリティ研修 |
インシデント対応 | 被害最小化 | 緊急連絡体制、初動対応手順 |
これらは、「サイバー衛生（Cyber Hygiene）」と呼ばれる基本的な対策です。
高価なセキュリティ製品を導入する前に、まず基本的な運用を徹底することが重要であるという考え方は、両制度で共通しています。
7．しかし、両制度の「目的」はまったく異なる
ここが最も重要なポイントです。
3省2ガイドラインが守るもの
3省2ガイドラインが最優先で守るのは、
患者の生命
医療情報
診療の継続
医療法等への適合
です。
つまり、
「医療機関が安全に診療を続けられること」
が最大の目的です。
例えば、
電子カルテが停止した場合、
一般企業なら業務停止で済むかもしれません。
しかし医療機関では、
救急受入停止
手術延期
投薬ミス
検査遅延
など、人命に直結する可能性があります。
だからこそ、BCP（事業継続計画）が非常に重視されています。
SCS評価制度が守るもの
一方、SCS評価制度は少し考え方が異なります。
こちらが守ろうとしているのは、
「サプライチェーン全体」
です。
例えば、
電子カルテベンダーが攻撃される。
↓
保守回線が侵害される。
↓
病院へ侵入される。
↓
複数病院へ被害が拡大する。
このような
"攻撃の連鎖"
を防ぐことが目的です。
つまり、
「自社を守る」
だけではなく、
「自社が他社への攻撃経路にならない」
ことも重要視しています。
ここが3省2ガイドラインとの最大の違いです。
8．SCS★3と★4は何が違うのか
医療関係者が特に気になるのが、
★3と★4の違いでしょう。
★3（Basic）
★3は、
最低限のセキュリティ対策
を確認する水準です。
例えば、
MFA
資産管理
バックアップ
パッチ管理
インシデント対応
など、
基本的な対策が実施されているかを確認します。
3省2ガイドラインを適切に運用している医療系ベンダーであれば、多くの項目はすでに対応済みと考えられます。
★4（Standard）
★4になると要求レベルは一段高くなります。
例えば、
EDR（Endpoint Detection and Response）
XDR
SOC監視
復元テスト
RTO（目標復旧時間）
第三者監査
など、
「実際に運用できていること」
まで確認されます。
つまり、
マニュアルが存在するだけでは不十分です。
実際に復元訓練を行い、
どれくらいで診療を再開できるかまで確認することが求められます。
9．医療機関は何を優先すべきか
365メディカルでは、
医療機関は次の順番で取り組むことをおすすめします。
① 3省2ガイドラインへの対応
まず最優先なのは、
医療情報システム安全管理ガイドラインへの適合です。
これが医療DXの土台になります。
② 委託先管理
次に重要なのは、
委託先管理です。
例えば、
電子カルテ
クラウドサービス
医療機器
保守会社
などについて、
誰が責任を持つのか、
契約内容は十分か、
定期的に確認する必要があります。
③ システム更新時の調達基準
今後は、
RFP（提案依頼書）や調達仕様書へ、
セキュリティ要件を明確に盛り込むことが重要になります。
将来的には、
SCS評価取得状況なども、
ベンダー選定の判断材料の一つになる可能性があります。
10．医療系ITベンダーはどう考えるべきか
医療系ITベンダーにとって、
SCS評価制度は
「認証」
ではなく、
信頼性を証明する手段
と考えるべきでしょう。
今後、
病院側から
「3省2ガイドラインに対応していますか？」
だけではなく、
「SCS評価は取得していますか？」
という質問を受ける可能性もあります。
そのため、
3省2ガイドライン準拠に加え、
SCS評価制度への対応を進めることは、
営業面でも大きな競争力になると考えられます。
11．365メディカルが考える「安全な医療DX」
365メディカルでは、
医療DXとは、
単に電子カルテやクラウドサービスを導入することではないと考えています。
本当に重要なのは、
安全に運用できること
継続して改善できること
委託先まで含めて管理できること
です。
現在365メディカルが提供を進めている医療機関WEB掲示コンプライアンス管理システムも、法令や制度改正への対応状況を継続的に管理するという点で、ITガバナンスや情報管理体制の強化につながる取り組みです。
医療DX、WEB掲示、サイバーセキュリティ、委託先管理は、それぞれ別のテーマではありません。
「安全で信頼される医療機関を運営する」という一つの目的のもとで相互に関連しています。
これからの医療機関には、制度対応だけでなく、セキュリティを経営課題として捉える視点が求められるでしょう。
まとめ
3省2ガイドラインとSCS評価制度は、多くの技術的要件を共有しています。
しかし、その目的は異なります。
3省2ガイドライン：患者・医療情報・診療継続を守る
SCS評価制度：サプライチェーン全体のセキュリティレベルを向上させる
今後の医療DXでは、この両方の視点が不可欠です。
365メディカルでは、制度への対応をゴールとするのではなく、「安全に医療を提供し続けられる体制づくり」を支援することが、これからの医療DXの本質だと考えています。
引用・参考
厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」
厚生労働省「医療分野のサイバーセキュリティ対策」
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」
経済産業省「SCS評価制度 FAQ」
NIST「NIST Cybersecurity Framework（CSF 2.0）」
ISO/IEC 27001 Information Security Management Systems
用語集
3省2ガイドライン：医療情報システムの安全管理に関する厚生労働省のガイドライン。
SCS評価制度：サプライチェーン全体のセキュリティ対策を評価・可視化する制度。
NIST CSF：米国NISTが策定したサイバーセキュリティフレームワーク。
MFA：多要素認証。
EDR：エンドポイントにおける脅威を検知・対応する仕組み。
XDR：複数のセキュリティ情報を統合して分析・対応する仕組み。
SOC：セキュリティ監視・運用を行う専門組織。
BCP：災害やサイバー攻撃時にも事業を継続するための計画。
RTO：システム復旧目標時間。
サプライチェーン攻撃：取引先や委託先を経由して標的組織へ侵入する攻撃。
免責事項
本記事は、2026年9月時点で公表されている厚生労働省、経済産業省等の資料をもとに、制度の概要を分かりやすく解説することを目的として作成しています。制度内容や運用方法は今後変更される可能性があります。本記事は法的・技術的助言を提供するものではなく、実際の制度対応やセキュリティ対策については、最新の公的資料を確認のうえ、必要に応じて情報セキュリティ専門家や法務・システムベンダー等へご相談ください。
コメント