医療機関のサイバー保険見直し｜立入検査前に台帳・BCP・委託先を確認

病院・診療所・薬局が立入検査に備えてサイバーセキュリティ対策を点検すると、機器台帳、委託先、バックアップ、BCPなど、サイバー保険の見積・更新でも問われやすい情報が集まります。ただし、立入検査への対応と保険の補償確認は同じ作業ではありません。チェックリストを埋めても引受が決まるわけではなく、保険に加入しても安全管理措置の代わりにはなりません。この記事では、検査資料を保険見直しに転用する方法と、電子カルテ停止や委託先事故まで含めて補償を確認する順序を整理します。（2026年7月時点）

Summaryこの記事のポイント

• 立入検査では、チェックリストの記入に加え、機器台帳・連絡体制図・BCP・運用管理規程等の現物が確認されます。
• 検査資料は保険見積の土台になりますが、売上、事故歴、希望限度額、免責、休業損失などは別途整理します。
• 補償は「事故対応費用」「患者等への賠償」「診療停止による損失」の三層に分けると、抜けを確認しやすくなります。
• 保守事業者が対応する範囲と医療機関側に残る範囲を契約で確認し、保険の被保険者・委託先事故の条件と照合します。
• 保険見直しの目的は検査を通すことではなく、発生時の費用負担と診療継続の空白を把握することです。

立入検査の準備とサイバー保険の見直しは、分けて進める

厚生労働省は2026年6月に「医療情報システムの安全管理に関するガイドライン 第7.0版」と、医療機関・薬局向けのサイバーセキュリティ対策チェックリストを公表しました。2026年度版では、従来分かれていた医療機関用と薬局用の様式が統合されています。公表資料にはチェックリストだけでなく、マニュアル、BCP確認表、ひな形も含まれます。詳細は厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」で確認できます。

同省のマニュアルでは、病院・診療所・助産所は医療法に基づく立入検査、薬局は薬機法に基づく立入検査でサイバーセキュリティ確保の取組を確認するとしています。一方、サイバー保険は事故後に生じ得る費用や損害を契約条件に従って補う仕組みです。検査対応は安全管理の確認、保険見直しは費用負担の移転と残存リスクの確認であり、目的を混ぜないことが出発点になります。

サイバー保険の基本的な補償構造を先に確認したい場合は、サイバー保険の補償範囲と事業中断を整理した記事も参照してください。

立入検査前に現物を確認する四つの資料

厚生労働省の令和8年度版チェックリストマニュアルでは、立入検査時にチェックリストの回答と確認日を確認し、そのうち機器台帳、連絡体制図、サイバー攻撃を想定したBCP、運用管理規程等は現物を確認するとしています。保険見直しでは、この四資料をそのまま提出するのではなく、事故原因、費用、停止時間、責任分界を説明できる情報へ置き換えます。

立入検査で確認される資料と、保険見直しで読み取る情報

検査で確認される資料	主な記載内容	保険見直しで確認すること
機器台帳	サーバ、端末、ネットワーク機器の所在・利用者・バージョン・稼働状態	対象システムの範囲、古いOS、電子カルテ・レセコン停止の影響
連絡体制図	院内・薬局内、保守事業者、セキュリティ事業者、行政・警察等の連絡先	事故時に誰が調査会社や保険会社へ連絡し、費用の事前承認を取るか
サイバーBCP	継続業務、代替運用、バックアップ、復旧手順、意思決定	診療停止時間、復旧優先順位、追加費用、休業損失の想定
運用管理規程等	機器・ID管理、異常時対応、教育・訓練等の実施方法	質問票への回答根拠、実施状況と規程のずれ、事故後の再発防止

資料が存在するだけでは十分とは限りません。たとえばBCPに「バックアップから復旧する」とあっても、復旧テストの結果、必要時間、紙運用へ切り替えられる診療部門が分からなければ、休業損失の見積には使いにくい状態です。検査資料を保険にも使うには、実際の停止時間と費用に翻訳する作業が必要です。

検査書類から保険見積に足りない情報を補う

立入検査用のチェックリストは、保険会社共通の見積質問票ではありません。引受審査の項目や求められる資料は保険会社・商品・医療機関の規模によって異なります。検査資料を整えた後、少なくとも次の情報を追加すると、見積条件を比較しやすくなります。

検査資料に追加して整理する保険見積情報

追加情報	確認する内容	判断に使う場面
事業規模	医業収益・売上、拠点数、従業者数、病床・処方箋等の業務規模	保険料、限度額、休業損失の基礎
取扱情報	患者・利用者・従業者情報の種類と概数、保存先	漏えい対応費用と第三者賠償の規模
事故・請求歴	不正アクセス、マルウェア、誤送信、システム停止と再発防止	告知、引受判断、免責・条件の比較
委託・外部接続	電子カルテ、レセコン、オンライン資格確認、保守回線、クラウド、再委託	委託先起因事故と責任分界の確認
希望する補償	事故対応、賠償、事業中断、支払限度額、免責金額・免責時間	複数案の比較と院内決裁

チェックリストの回答が「はい」でも、見積質問票には実施方法や対象範囲を求められることがあります。逆に、未対応項目がある場合も空欄にせず、対応予定日、代替策、予算化の状況を説明できる形にしておくと、現在地を正確に伝えられます。引受可否や条件は個別審査で決まるため、チェック項目を満たしたことだけを加入可能性の根拠にはしません。

医療機関が確認する補償は三つに分ける

医療機関のサイバー事故は、情報漏えいだけではありません。電子カルテや部門システムが止まり、診療制限、予約変更、紙運用、データ復旧が必要になることがあります。補償の検討では、次の三つを分けます。

1. 事故対応費用：原因・影響範囲の調査、フォレンジック、復旧支援、法律相談、コールセンター、患者等への通知など。
2. 第三者への賠償：患者情報等の漏えい、プライバシー侵害、取引先への損害など。法的な賠償責任の有無と契約条件を確認します。
3. 事業中断・追加費用：診療や調剤の停止による利益損失、代替運用、臨時対応等。原因となる事故、免責時間、てん補期間、利益の算定方法を確認します。

同じ「サイバー保険」でも、三つのすべてが同じ条件で含まれるとは限りません。システム障害だけでサイバー攻撃が確認できない場合、保守事業者側で事故が起きた場合、事故前から把握していた脆弱性が関係する場合などは、約款・特約・個別事情によって扱いが変わります。

事故が疑われる段階では、復旧を急ぐ一方でログや端末を上書きしない判断も必要になります。初動時に確認する証拠と連絡の順序は、サイバーインシデント対応費用の記事で整理しています。

電子カルテ停止と委託先事故は、契約の責任分界まで見る

厚生労働省のマニュアルは、契約する医療情報システム事業者ごとに「事業者確認用」チェックリストを求め、医療機関等が回収するよう示しています。また、事業者が「対象外」とした項目は医療機関等側が責任を負うため、認識のずれを確認するよう求めています。

ここで確認したいのは、保守事業者がサイバー事故を防止・復旧する責任と、事故による費用を最終的に誰が負担するかは同じとは限らないことです。保守契約に復旧作業が含まれていても、患者への通知、外部調査、診療停止による損失まで事業者が負担するとは限りません。逆に、保険に委託先起因の事故が含まれていても、対象となる委託先・原因・費用の範囲は契約条件で確認が必要です。

役割分担の確認には、経済産業省が公表する「医療情報システムの契約における当事者間の役割分担等に関する確認表」を使えます。保守契約、サービス仕様書、事業者確認用チェックリスト、保険証券を横に並べ、次の四点を照合します。

• 外部接続点とリモートメンテナンス機器を誰が管理するか
• インシデントの調査・報告・復旧を誰が開始するか
• 再委託先やクラウド事業者の事故が契約上どこまで扱われるか
• 診療停止、患者対応、データ復旧などの費用を誰が負担するか

病院・診療所と薬局で追加確認する事項

2026年度版チェックリストは医療機関と薬局で統合されましたが、業務停止の影響とシステム構成まで同一になるわけではありません。病院・診療所では電子カルテ、医事会計、検査・画像・部門システム、予約、医療機器との接続を洗い出します。入院・救急・手術など、停止しても継続すべき業務をBCPと照合することが重要です。

薬局ではレセコン、電子薬歴、オンライン資格確認、電子処方箋、店舗間ネットワーク、在庫・発注、決済等を確認します。複数店舗を運営する法人は、一つの障害が全店舗へ波及する構成か、店舗ごとに代替運用できるかも見ます。チェックリストが共通でも、希望する事業中断補償や限度額は、停止時の業務と収益構造を基に個別に置く必要があります。

立入検査・保険更新前の確認チェックリスト

検査資料と保険資料を別々に作るのではなく、次の順序で一つの棚卸しから二つの成果物を作ると効率的です。

1. 機器台帳を更新し、電子カルテ・レセコン・部門システム・ネットワーク機器と外部接続点を特定する。
2. システム事業者ごとの確認票、MDS/SDS、保守契約、サービス仕様書を回収する。
3. 連絡体制図に、院内責任者、保守事業者、セキュリティ支援先、行政・警察、保険会社・代理店への連絡順序を記載する。
4. BCPで、継続する診療・調剤業務、紙運用、バックアップ、復旧優先順位、訓練結果を確認する。
5. 売上・医業収益、取扱情報、事故歴、希望限度額、免責、停止時間を加えて保険見積情報を作る。
6. 現契約の事故対応費用、賠償、事業中断、委託先事故の条件と照合する。

①機器台帳、②事業者一覧と保守契約、③チェックリスト、④BCP、⑤現契約の証券・明細、⑥事故歴、⑦事業規模は、検査対応と切り分けて補償の空白を確認する材料になります。

那由他保険テクノロジーズによる保守契約とサイバー保険証券の責任分界照合

責任分界と補償を照合すると、医療機関側で個別に整理が必要な実務が三つあります。第一に、システム事業者が「対象外」とした項目の費用を最終的にどちらが負担するかが、保守契約にもサイバー保険証券にも書かれていない状態。第二に、BCPに記載した復旧優先順位と想定停止時間が、事業中断補償の免責時間・てん補期間・利益の算定方法と結び付いていない状態。第三に、電子カルテ、レセコン、オンライン資格確認、電子処方箋など外部接続ごとの停止影響を、希望する支払限度額の根拠として説明できていない状態です。

那由他保険テクノロジーズは、サイバー領域の補償ギャップ分析と保険プログラムの設計・調達支援として、次の照合を行います。

• 事業者確認用チェックリスト、MDS/SDS、保守契約、サービス仕様書、経済産業省の役割分担等確認表を、現行サイバー保険証券・約款・特約の被保険者の範囲、委託先起因事故の条項、除外事由と一列に並べ、外部調査、患者等への通知、代替運用、データ復旧のうち、どちらの文書にも負担者が書かれていない費用項目を特定する。
• BCPの継続業務と復旧時間の想定を、事業中断補償の免責時間、てん補期間、医業収益・利益の算定方法へ置き換え、想定停止時間が免責時間を下回って支払対象外となる区間を確認する。
• 病院・診療所は部門システム別、薬局は店舗別に停止時の収益影響を並べ、支払限度額と免責金額・免責時間の複数案について、保険料の増減幅と削減余地を分析する。
• 現契約の証券番号、更新月、付帯特約、告知済みの事故歴を整理し、更新前に保険会社・引受担当へ照会する事項と、システム事業者の保守担当へ確認する事項に分ける。

これにより、事務長や情報システム責任者、院長・管理薬剤師が、どの費用を保守契約で回収し、どの費用を保険で移転し、どの費用を自院・自局で保有するかを、金額と契約条件で比較できます。照合の結果、現契約のままで空白が見当たらなければ、更新時に変更しない判断も選択肢です。なお、立入検査への適合可否や行政対応の判断は所管行政、契約条項の法的解釈は弁護士等の専門家の領域で、引受可否・条件・保険料は保険会社の個別審査によります。

状況が整理できていない段階でも、まずはご相談ください。確認すべき点はご相談後に一緒に整理し、負担者の記載がない費用項目から補償条件の比較表を作成します。

よくある質問

立入検査でサイバー保険の証券は必要ですか

厚生労働省の令和8年度版マニュアルが現物確認の対象として示しているのは、機器台帳、連絡体制図、サイバー攻撃を想定したBCP、運用管理規程等です。サイバー保険への加入を検査対応と同一視せず、最新の検査通知や所管行政の案内も確認してください。

チェックリストをすべて満たせばサイバー保険に加入できますか

加入できるとは限りません。公的チェックリストと保険会社の引受審査は目的が異なります。事業規模、取扱情報、事故歴、委託先、セキュリティ対策などを基に、引受可否と条件は個別に判断されます。

電子カルテの停止による診療収入の減少は補償されますか

事業中断補償の有無、停止原因、免責時間、てん補期間、利益の算定方法などによります。単なる機器故障、クラウド障害、保守作業、サイバー攻撃では条件が異なることがあるため、約款と特約で原因別に確認します。

システム事業者の事故なら医療機関の保険は不要ですか

事業者が負う契約責任と、医療機関に発生する患者対応・調査・診療停止等の費用は一致しないことがあります。保守契約の責任分界と、医療機関側の保険で委託先事故を扱う条件を並べて確認します。

薬局も同じチェックリストを使いますか

2026年度版では医療機関用と薬局用が「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」に統合されています。ただし、レセコン、電子薬歴、電子処方箋、複数店舗のネットワークなど、薬局固有の停止影響は別途棚卸しします。

参考一次情報

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」
• 厚生労働省「令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル」
• 厚生労働省「サイバー攻撃を想定したBCP策定の確認表」
• 経済産業省「医療情報システムの契約における当事者間の役割分担等に関する確認表」

情報確認日：2026年7月14日

執筆：中村 祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業 執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社 編集部｜最終更新日：2026年7月14日

本記事は情報提供を目的としたものであり、立入検査への適合、補償の有無、引受可否、保険料、保険金の支払を保証するものではありません。補償内容は商品・約款・特約・契約条件および個別事情により異なります。行政対応や法的判断は、所管行政または専門家へご確認ください。