医療情報システムの安全管理に関するガイドラインは、2026年6月に第7.0版へ改定されました。これまで概説編に経営管理編・企画管理編・システム運用編を加えた構成でしたが、新たに保守委託機関編が加わり5編構成になっています¹。保守を外部から担う事業者にとって、どの編を読み、どこまで責任を負う設計になっているのかは、案件に参画する前に整理しておきたい論点です。この記事では、新設された編の位置づけと、責任の所在が契約文書の記載でどう変わるのかを順に見ていきます。

1. 第7.0版で「委託を受ける側の編」ができた

概説編に加わった保守委託機関編

医療機関のシステムに関わるガイドラインは、版を重ねるたびに参照する項目が増え、どこから読めばよいのか分かりにくくなりがちな資料です。第7.0版では、その入り口の設計が変わりました。各編に共通する内容を整理した概説編に加え、読者の類型ごとに経営管理編・企画管理編・システム運用編・保守委託機関編という4つの編が並ぶ、合わせて5編の構成になっています¹。読み始める前に、自分がどの類型に当たるかを決められる作りです。

この中で保守委託機関編は、今回新たに設けられた編です。すべてのサーバのセキュリティアップデートを事業者に委託している医療機関等の負担を軽くする狙いで創設されました²。保守という工程を担って案件に入る側からすると、自分たちの役割を指す編が、はじめて名前を持ったとも言えます。全体を読み込むことより、まず自分の類型に当たる編を確認することのほうが、要点をつかむ近道になります。

出典：医療情報システムの安全管理に関するガイドライン（厚生労働省、2026年6月）をもとに作成

対象は導入から廃棄まで、外から入る立場も含む

このガイドラインが指す対象は、思っている以上に幅広く設定されています。医療情報システムの導入、運用、利用、保守及び廃棄に関わる者を対象としており⁹、保守という工程を担う事業者は、はじめから対象の内側に位置づけられています。外部から案件として関わる立場だから対象外、という読み方はできない構成です。

対象に含まれるということは、責任の設計とも無関係ではいられないという意味を持ちます。保守委託機関編という編ができたことで、外部から関わる立場の役割が、ようやく編として言葉になったと捉えると分かりやすくなります。次の章では、どの編を読めばよいかを決める分岐の条件を見ていきます。

ここまでの内容を編ごとに整理すると、次のようになります。概説編が土台となり、経営管理編・企画管理編・システム運用編がそれぞれの実務領域に対応し、保守委託機関編が外部からの保守を担う事業者に対応する編です¹。

編	主に対応する立場	備考
概説編	すべての読者に共通	各編に共通する内容を整理1
経営管理編	経営・管理に携わる立場	–
企画管理編	システムの企画・管理に携わる立場	–
システム運用編	システムの運用に携わる立場	–
保守委託機関編	保守を受託する事業者	第7.0版で新設2

5編のうち自分がどこに当たるかは、名前を見れば判断できます。次に整理したいのは、実際にどこまで読めばよいかという範囲の話です。

2. 読む範囲は分岐で決まる

「概説編+保守委託機関編」で足りる場合がある

第7.0版は、全部を読まなくてよい場合があることも明確にした点に特徴があります。保守委託機関編の対象となる機関においては、概説編と保守委託機関編に対応することで、本ガイドラインを遵守しているものとみなされます³。読む範囲を絞ってよいという整理は、外部から保守に入る事業者にとって扱いやすい設計です。

ただし、この扱いには条件が付きます。どの編を読めばよいかは、すべてのサーバのセキュリティアップデート責任を事業者に委託しているかどうかで分かれます⁴。委託している側なのか、委託されている側なのかを、まず自分の立場で確認しておく分岐です。

分岐の軸は「作業」ではなく「責任」

この分岐で見ているのは、誰が作業をしているかではなく、誰が責任を負っているかです。作業を実際に担っていても、責任の所在が別にあれば、読むべき編は変わります。作業の実態よりも、責任の設計のほうが、読む範囲を決める基準になっています。

この考え方は、保守という工程に案件として関わる事業者にとって重要な整理です。日々の対応を担っているという事実だけでは、自分がどの編の対象かは決まりません。次の章では、責任の所在そのものがどう決まるのかを見ていきます。

実務の感覚では「対応しているのだから自分たちの責任」と捉えたくなりますが、ガイドラインの整理はそれとは別の軸で動いています。分岐が見ているのは契約上の責任分担であり、日々の作業量ではありません。

図2は、この分岐を簡単に示したものです。委託している場合は概説編と保守委託機関編、委託していない場合はそれに加えて経営管理編・企画管理編・システム運用編も読む範囲に入ります³。自分がどちら側かを最初に見極めることが、遠回りをしない読み方につながります。

出典：医療情報システムの安全管理に関するガイドライン（厚生労働省、2026年6月）をもとに作成

3. 責任は書いてあるかどうかで決まる

「委託している」と選べるのは契約文書に書いてある場合だけ

責任の所在を決めるのは、実際にどちらが対応しているかではありません。「事業者がセキュリティアップデート責任を負うこと」が、契約書や約款、サービスレベル合意書等に記載されている場合にのみ、委託していると選択できます⁵。運用の実態と、文書に書いてあることが、一致しているとは限りません。

この規定を読み替えると、「対応しているつもり」は根拠にならないということです。事業者が担当していても、契約文書にその一文が無ければ、委託していると選ぶことはできません。日々の対応の丁寧さよりも、文書に何が書いてあるかのほうが、責任の所在を左右します。

案件に入る前に確認しておきたい3つの文書

外部から保守委託機関編の対象として案件に関わる場合、確認しておきたい文書は主に3種類です。契約書、約款、サービスレベル合意書のいずれかに、セキュリティアップデート責任の所在が明記されているかどうかです⁵。

この3つのどこにも記載が見当たらない場合、責任の所在は書かれていない状態にあります。次の章で見るように、この状態は委託していない側に有利には働きません。契約の文言を確認することは、作業内容を確認することと同じくらい、参画前に大切な工程になります。

契約文書を確認する作業は、地味に感じられるかもしれません。けれど、案件の枠組みを決める作業内容の確認よりも、責任の所在を決める文言の確認のほうが、後々の役割の線引きに直結します。

次の表は、契約文書への記載の状態によって、委託していると選べるかどうかがどう変わるかを整理したものです。文言があるかどうかを、契約前に確認する材料として使えます⁵。

契約文書の記載状態	委託していると選べるか
契約書・約款・サービスレベル合意書等に「事業者が責任を負う」旨が明記されている	選択できる5
契約文書に記載が見当たらない	選択できない
記載はあるが内容が不明確	選択できない

4. 曖昧なままだと、責任は委託した側に残る

「書いていない」は「委託していない」に近い扱いを受ける

契約文書に記載が無い場合や、記載が不明確な場合には、医療機関側の責任となっている可能性があります⁶。これは、書いていないという状態が、そのまま「委託していない」に近い扱いを受けるということです。

この整理は、外部から保守委託機関編の対象として関わる事業者にとって、都合の良い誤解を招きやすい点でもあります。日々の対応を担っているという実態があっても、契約文書に一文が無ければ、責任は医療機関側に残っている可能性があるという整理になります⁶。

「対応している」と「責任を負っている」は別の話

対応の丁寧さと、責任の所在は、別の軸で動いています。日々の保守を丁寧に進めることよりも、契約文書に責任の所在を書き残しておくことのほうが、後から見たときの立場を守ります。

この違いを曖昧にしたまま案件を進めると、想定していた役割分担と、文書上の責任分担がずれたまま気づかない状態になりかねません。曖昧さを残さないことは、事業者側にとっても、医療機関側にとっても、双方に意味のある確認です。

次の表は、記載の状態と、責任がどちらに残るかの対応を簡単に示したものです。記載がない、あるいは不明確な状態では、責任は医療機関側に残っている可能性があります⁶。

契約文書の状態	責任が残る側
事業者が責任を負う旨が明記されている	事業者側5
記載が見当たらない	医療機関側にある可能性6
記載はあるが内容が不明確	医療機関側にある可能性6

曖昧なままにしないための具体的な行動は、契約書や約款、サービスレベル合意書の文言を、案件が始まる前に確認しておくことです。文言の有無を確認する一手間が、後の役割の線引きを守る材料になります。

5. どこまでが「サーバ」として対象になるか

原則はサーバのみ。PCやタブレットは含まれない

セキュリティアップデートの対象になる範囲にも、明確な線引きがあります。ここでいうサーバには、原則としてPCやタブレット等のクライアント端末は含まれません⁷。日々の業務で使う端末まで対象に含まれるわけではない、という整理です。

この原則だけを見ると、対象範囲は限定的に思えます。けれど、この後に続く例外が、実務上は重要な意味を持ちます。原則を基準にするより、例外の条件を理解しておくことのほうが、実際の対象範囲を正しく捉える近道になります。

端末上で処理が完結する場合は、端末もサーバに含まれる

電子カルテアプリ等を端末にインストールし、当該機器上で処理が完結する場合は、PC等の端末もサーバに含まれます⁷。判断の基準は、端末の種類そのものではなく、処理がどこで完結するかに置かれています。

同じPCという見た目であっても、通信の先で処理が完結しているのか、その端末の中だけで処理が完結しているのかで、対象かどうかの判断は変わります。端末の見た目よりも、処理の完結する場所のほうが、対象範囲を決める基準です。

この判断軸は、保守委託機関編の対象として案件に関わる事業者にとって、確認の起点になります。管理している端末や機器が、通信を前提にしているのか、それとも単独で処理が完結する構成なのかを、案件の初期に整理しておくとよい点です。

なお第7.0版では、根拠法にサイバーセキュリティ対策基本法が追加され、重要インフラのサイバーセキュリティに係る安全基準等策定指針との整合性が確保されています⁸。対象範囲の細かな線引きは、こうした位置づけの変化とあわせて読むと、整理がしやすくなります。

出典：医療情報システムの安全管理に関するガイドライン（厚生労働省、2026年6月）をもとに作成

6. まとめ

第7.0版は、保守委託機関編という編を新たに設け、外部から保守を担う事業者を、名前のある読み手として位置づけました²。読む範囲は、概説編と保守委託機関編で足りる場合と、経営管理編・企画管理編・システム運用編まで読む必要がある場合とに分かれ、その分岐はアップデート責任の所在で決まります⁴。

その責任の所在を決めるのは、実際の対応状況ではなく、契約書や約款、サービスレベル合意書等に書いてあるかどうかです⁵。記載が無い、あるいは不明確な場合には、医療機関側の責任となっている可能性があります⁶。対応の丁寧さよりも、文言の有無のほうが、責任の線を引いています。

対象となる範囲についても、原則はサーバに限られますが、端末上で処理が完結する構成であれば、端末もサーバとして対象に含まれます⁷。案件に入る前に、契約文書の文言と、システムの構成の両方を確認しておくことが、後から役割の線引きに迷わないための備えになります。

保守や運用の経験を積んできた立場にとって、こうした責任の設計を読み解ける力は、案件を選ぶ場面でも生きてきます。Remoguはリモートワーク案件に特化したエンジニアマッチングで、案件の90%以上がフルリモート可能です¹⁰。場所に縛られずに、これまでの経験を活かせる保守・運用系の案件を確認できます。まずは登録して、自分の経験に合う条件を確かめてみるのも一つの進め方です。

7. よくある質問

保守を担当する案件では、まず何を確認しておくとよいですか

案件に入る前にまず確認しておきたいのは、契約書や約款、サービスレベル合意書等に、セキュリティアップデート責任の所在がどう書かれているかです⁵。書かれていない場合や不明確な場合は、責任が医療機関側に残っている可能性があります⁶。

あわせて、自分たちが管理する端末や機器が、通信の先で処理が完結する構成なのか、端末単独で処理が完結する構成なのかも整理しておくと、対象範囲の判断がしやすくなります⁷。

ガイドラインは全部読む必要がありますか

保守委託機関編の対象となる機関においては、概説編と保守委託機関編に対応することで、本ガイドラインを遵守しているものとみなされます³。全編を読み込まなくてもよい場合があるという整理です。

ただし、これは、すべてのサーバのセキュリティアップデート責任を事業者に委託している場合の話です⁴。委託していない場合は、経営管理編・企画管理編・システム運用編も読む範囲に入ります。

出典：医療情報システムの安全管理に関するガイドライン（厚生労働省、2026年6月）をもとに作成

契約書に何も書かれていない場合はどうなりますか

契約書や約款、サービスレベル合意書等のいずれにも、事業者が責任を負う旨の記載が見当たらない場合、医療機関側の責任となっている可能性があります⁶。

この場合、事業者側は「委託している」と選択することができません⁵。契約前の段階で、この一文があるかどうかを確認しておくことが、後から生じる認識のずれを防ぐ具体的な手立てになります。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編（2026年6月）
＊2 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編（2026年6月）
＊3 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編（2026年6月）
＊4 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編 構成と読み方（2026年6月）
＊5 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編 注記（2026年6月）
＊6 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編 注記（2026年6月）
＊7 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編 用語（2026年6月）
＊8 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編（2026年6月）
＊9 厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版 概説編 対象読者（2026年6月）
＊10 Remoguサイト公開情報（フルリモート可能案件の割合）