（更新：2026年10月1日）
第7.0版は5編構成です。
すべてのサーバのセキュリティアップデート責任を事業者に委託している医療機関は、概説編と保守委託機関編に対応することで、ガイドラインを遵守しているものとみなされます（概説編 2.1 p.2、3.1.5 p.4）。判定は概説編 図3-1 p.3のフローチャートで行います。フローチャートの注意点は2つです。
「サーバ」は医療情報の保存や主要な処理を担う機器を指し、PC・タブレット等の端末は原則含みません（端末上で処理が完結するアプリを入れている場合は端末もサーバ扱い）
「事業者がセキュリティアップデート責任を負うこと」が契約書・約款・SLAに記載されている場合のみYESを選べます。 記載がない・不明確な場合は医療機関側の責任とみなされるので、事業者に直接確認してください
Henryはクラウド型電子カルテのため、Henry単体では保守委託機関編の対象です。ただし、院内に自院管理のサーバ（部門システム・ファイルサーバ等）が1台でもあれば保守委託機関編は使えず、企画管理編・システム運用編への対応が必要です。
このひな型は、企画管理編・システム運用編ベースで書いています（自院管理サーバが残る病院を想定）。保守委託機関編で足りる医療機関は、第7条・第8条のうち自院管理サーバを前提とした条項を削る形で調整してください。
医療機関が定めるべき規程類・文書体系は、経営管理編・企画管理編・システム運用編に記載されています。運用管理規程については、特に以下の要請があります。
企画管理編
運用管理規程は、組織規程・個人情報保護規程・人事権限規程などと並ぶ「規程」として整備し、経営層の承認を得ること。整備した規程は関係者に周知すること。（4.2 p.19）
電子カルテにおける記録の確定に関して、入力者・確定者の識別認証、確定手順、更新履歴の保存、代行入力を認める業務と依頼者・実施者を規程等に含めること。（13 遵守事項⑧ p.43、13.2 p.44）
記録媒体及び記録機器の保管・取扱いについて運用管理規程を作成し、関係者に周知徹底・教育し、作業履歴を残すこと。（15 遵守事項③ p.50）
情報を保存する場所（内部・可搬媒体）を明示し、場所ごとの保存可能容量・期間・リスク・レスポンス・バックアップの頻度や方法等を運用管理規程に定めること。（15 遵守事項④ p.50）
動作確認や保守では原則として個人情報を含む医療情報を用いないことを運用管理規程等に含めること。（15 遵守事項⑨ p.50）
情報機器・ソフトウェアの品質管理に関する対応を運用管理規程で定めること。（15 遵守事項⑪ p.50）
保守事業者との間で、OS・ソフトウェアのアップデートやパッチ適用の役割分担を契約やSLA等で取り決めること。アップデートは可能な限り事業者の保守範囲に含めることが望ましい。（15 遵守事項⑧ p.50、15.1 p.51）
BYOD端末など医療機関が管理しない情報機器を用いる場合、利用を許諾する条件・利用範囲・管理方法を規程等に含め、台帳管理すること。（9 遵守事項⑦ p.34）
医療情報の持ち出しについて、記録媒体・情報機器による持ち出しのほか、ネットワークサービスを用いた持ち出し、外部からのアクセスによる持ち出しも想定して規程で定めること。（8 遵守事項⑤⑥⑦⑧ p.30、8.2.3〜8.2.4 p.32）
医療情報の破棄について、情報種別ごとに条件・実施できる職員・具体的方法を定めること。委託先の破棄については証跡の提出を求めること。（8 遵守事項⑪⑫ p.30）
情報システム管理委員会を置かない場合も、システムの導入・変更に経営層等の承認を必要とする仕組みを構築すること（シャドーIT対策）。保守回線は医療機関側で集約した回線を利用可能な事業者を選定するなど、外部接続点を減らすこと。（3 遵守事項① p.16、3.2.2 p.18）
サイバー攻撃を受けた（疑い含む）場合の所管官庁への連絡（平成30年10月29日通知に基づく）と、そのための体制整備。サイバーセキュリティ対応計画は年1回以上見直すこと。（12 遵守事項⑦ p.41、12.2 p.42）
システム運用編
バックアップは企画管理者が運用管理規程等に定めたルール（頻度・方法）に基づき確保し、非常時に利用できるよう管理すること。（12 遵守事項④ p.26、12.2 p.26）
重要なファイルは数世代（少なくとも3世代）のバックアップを2方式以上で確保し、古い世代はネットワーク・論理的に書き込み不可にすること。（11 遵守事項①(6) p.24、18.1 p.44）
IoT機器で医療情報を取り扱う場合、製造販売業者の情報を基にリスク分析し、運用管理規程を定めること。（8 遵守事項⑥ p.17）
BYODを認める場合、規程に基づく手順と設定を行い、医療機関管理の機器と同等の対策を講じること。管理されていない端末でのBYODは許可してはならない。（8 遵守事項⑧⑨ p.17、8.5 p.19〜20）
電子カルテ：一定時間経過後に記録が自動確定する運用では入力者・確定者を特定するルールを、確定者が確定操作できない場合の責任の所在を、運用管理規程に定めること。（14 遵守事項⑨(1)(e)(f) p.35〜36）
検査システム・画像ファイリング等の装置で記録が作成される場合、記録の確定ルールを運用管理規程等に定めること。（14 遵守事項⑨(2) p.36）
認証：令和9年4月1日時点で稼働が想定される医療情報システムを新規導入・更改する際は二要素認証を採用（クライアント端末はアプリログイン時、サーバはOSログイン時）。技術的に困難な場合は令和9年度以降直近の次期更改までが期限。（14 遵守事項⑤ p.35、14.1.1 p.36〜37）
パスワード：類推されにくい制限、システム間の使い回し禁止、一定回数失敗でロック。二要素認証ありなら8桁以上（PIN4桁以上）英数字混在、なしなら13桁以上。定期変更は不要。（14 遵守事項⑥ p.35、14.1.1 p.38）
アクセスログ：ログイン時刻・アクセス時間・操作した医療情報が特定できるよう記録し、定期的に確認すること。（17 遵守事項① p.42）
保守要員には専用アカウントを使わせ、個人情報へのアクセスと作業内容を記録すること。リモートメンテナンスは接続元・経路を限定し、ログを取得すること。（10 遵守事項③⑤ p.22、10.2 p.23）
経営管理編 3.2.1 p.10に以下の趣旨の記載があるとおり、運用管理規程は各医療機関の実態に合わせる必要があるためです。
他の医療機関等で策定された運用管理規程等をそのまま転用しても、実態と合致していなければ却ってリスクが増大する。極端に厳格な規程も、運用が困難であれば死文化する。参考資料を利用する場合でも実態との整合を図り、実際に運用可能で適切な内容を整備すること。
厚生労働省からも、規模別（大中規模病院／小規模病院・診療所）の文例をまとめた運用管理規程文例が公開されています。このひな型と併せて参照してください。
このひな型では罰則を定めていません。就業規則やその他ルールとの整合性を考慮したうえで、必要であれば定めてください。
このひな型は電子カルテ・レセコンとその周辺（端末・ネットワーク・持ち出し）を対象にしています。紙媒体のスキャナ電子化（企画管理編 16 p.52〜53）、検査装置・PACS等の部門システムで作成される記録の確定ルール、IoT機器の取扱いは病院ごとに運用が異なるため含めていません。該当する運用がある場合は、ガイドラインの該当箇所を参照して条項を追加してください。
この規程はXX病院（以下「本院」という）の医療情報を適正に保存し安全かつ合理的に活用するために必要な、医療情報システムで使用されるハードウェア、ソフトウェアおよびその運用全般についての取扱いに必要な事項を定める。
この規程は以下のガイドラインおよび法令で求められる医療情報システムの安全管理ならびにサイバーセキュリティ対策を維持管理するために必要な事項を定める。
医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）
医療法施行規則第14条第2項（令和5年厚生労働省令第20号による改正）
個人情報の保護に関する法律
サイバーセキュリティ基本法
7.0版では関連法令にサイバーセキュリティ基本法が追加されています。個人情報保護法は6.0版時点から対象ですが、規程の根拠として明記しておくことを推奨します。
医療情報システム
医療情報システムとは、レセプトコンピュータ、電子カルテ、オーダリングシステム等の医療事務や診療を支援するシステムだけでなく、何らかの形で患者の情報を保有するコンピュータ、遠隔で患者の情報を閲覧・取得するコンピュータや携帯端末も範疇とする。また、医療情報が通信される院内・院外ネットワークも含む。
医療情報システム安全管理責任者
情報セキュリティ対策に関する統制の実効性を確保するために、安全管理を実行する責任者で、経営者の中から任命される。
病院規模に応じて、経営者ではないシステム管理者等が任命されることもガイドラインでは想定されています。
企画管理者
医療情報システムの安全管理を行うために必要な運用管理の管理責任者。ここでいう「運用管理」は、安全管理のうち「組織的な対応」と「技術的な対応」のいずれも含む（企画管理編 3.1.1 p.16）。経営層の指示を受けて、適切な対応を医療情報システム運用責任者に指示・管理する。
企画管理者は本規程を定め、本規程に定めた内容に対応する措置を医療情報システムに反映するよう指示し、管理する。
医療情報システム運用責任者
システム運用編の内容を踏まえ、経営層や企画管理者の指示を受けて、医療情報システムを構成する情報機器、ソフトウェア、インフラ等の各種資源の設計、実装、運用等の実務を実施する。
医療情報に関する管理責任者
医療情報システムで扱われる各医療情報に関して管理責任を負う。部門システムで管理される医療情報については部門に管理責任者を配置する。企画管理者に対して管理状況を定期的に報告する（企画管理編 8 遵守事項② p.30）。
利用者
医療情報システムの利用者となる本院の従業者（派遣を含む）を指す。本規程および医療情報システム安全管理責任者や企画管理者が定めた教育に基づいて医療情報システムを利用する。
委託先事業者
本院の医療情報システム・サービスの提供、保守、運用、外部保存等を受託する事業者、およびその再委託先を指す。
本規程の対象システム
本院で用いる電子カルテシステム、オーダエントリシステム、レセプトコンピュータ、各部門システム、およびこれらが接続する院内ネットワーク・外部接続機器（VPN機器等）。従業者間の連絡に用いるグループウェアないしチャットツールも対象とする。
グループウェアやチャットツールで医療情報を扱わない整理とする場合は対象から外れますが、その場合は医療情報を扱わないことを別途規程で定めてください。
本規程の対象となる情報
対象システムで扱う情報全般を対象とする。対象システムの扱う情報については、システムごとに医療情報に関する管理責任者を置き、別途定義と安全管理上の重要度の分類を行わせ、リスク分析の結果を表に記入し保管する。重要度の分類には、患者への影響の大きさと、業務継続への影響の大きさの両方を考慮する（企画管理編 6.1.2 p.24）。
よくあるリスク例は以下のとおりです。リスクマトリクスを作るなどして重要度を分類します。医療提供者が起こした個人情報漏洩の事故原因に関する研究（大分県立看護科学大学）も参考にしてください。
① 医療情報システムに格納されている電子データ（a）権限のない者による不正アクセス、改ざん、毀損、滅失、漏えい（b）権限のある者による不当な目的でのアクセス、改ざん、毀損、滅失、漏えい（c）マルウェアや標的型メール等を用いたサイバー攻撃による不正アクセス、改ざん、毀損、滅失、漏えい（d）委託先事業者・供給元を経由したサプライチェーン攻撃
② 入力の際に用いたメモ・原稿・検査データ等（a）覗き見 （b）持ち出し （c）コピー （d）不適切な廃棄
③ 個人情報等のデータを格納したノートパソコン等の情報端末（a）持ち出し （b）ネットワーク接続による不正ソフトウェアによるアクセス、改ざん、毀損、滅失、漏えい （c）格納データの漏えい （d）盗難、紛失 （e）不適切な破棄
④ データを格納した可搬媒体等（a）持ち出し （b）コピー （c）不適切な廃棄 （d）盗難、紛失 （e）媒体接続による不正ソフトウェア感染
⑤ 参照表示した端末画面等（a）覗き見
⑥ データを印刷した紙やフィルム等（a）覗き見 （b）持ち出し （c）コピー （d）不適切な廃棄
⑦ 外部接続点（VPN機器・保守回線等）（a）脆弱性の放置による侵入 （b）管理外の回線・機器（シャドーIT）を起点とした侵入
上記に加え「置き忘れ」「誤送付・誤配布・郵送中の事故」「メール誤送信」「クラウドサービスの設定ミス」なども検討する。
医療情報システム安全管理責任者の任命
本院に医療情報システム安全管理責任者を置き、院長をもってこれに充てる。
企画管理者の任命
本院に企画管理者を置き、医療情報システム安全管理責任者が指名する。あるいは医療情報システム安全管理責任者が兼任する。
医療情報システム運用責任者の任命
本院に医療情報システム運用責任者を置き、企画管理者が指名する。
医療情報システム運用担当者の限定
医療情報システム運用担当者は一部の従業者が担当するものとし、その責務や権限を広く利用者に付与してはならない。
情報システムの導入・変更の承認
部門を含め、本院で医療情報システムまたはこれに接続する機器・回線・クラウドサービスを新たに導入または変更する場合、事前に企画管理者の確認と医療情報システム安全管理責任者の承認を得なければならない（企画管理編 3 遵守事項① p.16、3.2.2 p.18）。
情報システム管理委員会を設置している病院は、委員会の審議を経る形に書き換えてください。
監査責任者
本院に監査責任者を置き、医療情報システム安全管理責任者が企画管理者・運用担当者以外の者から指名する。院内で確保できない場合は外部の第三者に委託する（企画管理編 3.1.5 p.17、10.2 p.36）。
企画管理者の責務
定期的に医療情報システム運用責任者から管理状況の報告を受け、リスク分析結果を更新し、判明した課題に対して必要な措置を講じる。
医療情報に関する管理責任者や運用責任者から問題点の報告を受けた場合、必要な措置を講じる。
医療情報システムの安全管理の状況を経営層に報告し、承認を得る。
運用責任者の責務
医療情報システムの機能が支障なく運用される環境を整備する。
監査責任者による監査の結果報告を受け、問題点の指摘がある場合は直ちに必要な措置を講じる。
運用担当者の責務
運用責任者の監督のもと、利用者のアカウント管理やその権限管理、その他医療情報システムの保守業務を実施する。
利用者の責務
自身の認証情報（パスワード、ICカード等）を管理し、他者に利用させない。
与えられた権限を超えた操作、目的外利用を行わない。
システムの異常や不正アクセスを発見した場合、速やかに運用責任者に連絡し、指示に従う。
離席時はログアウトまたは画面ロックを行う。運用責任者は長時間離席時の自動画面ロックを設定する（システム運用編 12 遵守事項⑥ p.26）。
インシデント発生への備え
医療情報システム安全管理責任者は、インシデント発生時における組織内と外部関係機関（委託先事業者、厚生労働省、都道府県、都道府県警察等）への連絡体制図を作成し、本院内に周知する。サイバー攻撃を受けた（疑いを含む）場合、およびサイバー攻撃により障害が発生し個人情報の漏えいや医療提供体制に支障が生じる又はそのおそれがある場合は、「医療機関等におけるサイバーセキュリティ対策の強化について」（平成30年10月29日医政局通知）に基づき所管官庁へ連絡する（企画管理編 12 遵守事項⑦ p.41）。
連絡先は厚生労働省「医療分野のサイバーセキュリティ対策について」、「厚生労働分野における個人情報の適切な取扱いのためのガイドライン等」、「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（令和8年4月改正）」を参照してください。
ランサムウェア攻撃で金銭を要求された場合、支払いは行わない（経営管理編 3.4.3 p.13）。
医療情報システム安全管理責任者は、緊急時及び災害時の連絡・復旧体制並びに回復手順をマニュアルに定め文書化し、利用者に周知のうえ、災害が生じても利用可能な状態におく。
「災害が生じても利用可能」とは、電源が得られない、平時のインターネットに接続できない状況でも利用できることを指します。印刷して各部署に保管することも検討してください。
医療情報システム安全管理責任者は、サイバー攻撃を想定した事業継続計画（BCP）を別途策定する。策定にあたっては厚生労働省のサイバー攻撃を想定したBCP策定の確認表およびBCPのひな形を参照する。
医療情報システム安全管理責任者は、マニュアルおよびBCPをもとに災害・サイバー攻撃の発生を想定した訓練を年1回以上実施し、結果を踏まえて手順を見直す。
医療情報システム安全管理責任者は、サイバーセキュリティ対応計画を年1回以上見直す（企画管理編 12.2 p.42）。
従業者の教育
利用者が配属されたタイミングで、システム利用者が守るべき運用についての教育と理解度確認を実施する。
年1回以上定期的に、同様の教育と理解度確認を就業時間内に実施する（企画管理編 7.3 p.28）。
教育の実施記録（テキスト、出席者）を残し、実施状況を経営層に報告する。
窓口の設置
医療情報システム安全管理責任者は、医療情報システムに関する苦情、相談等を受け付ける窓口を設置するものとし、その運用等については別に定める。
監査の実施
監査責任者は、システム構成やソフトウェアの動作状況および本規程の運用状況に関する監査を年1回以上実施し、その結果を企画管理者および経営層に報告する（企画管理編 10 遵守事項④ p.36）。
動作確認
医療情報システムの動作確認や保守においては、原則として個人情報を含む医療情報を用いずにダミーの情報を用いる。やむを得ず医療情報を用いる場合、利用者は運用責任者に事前に相談し、運用責任者は漏えい等を防ぐ対策を講じ、具体的な手順を運用担当者ならびに相談者に指示する（企画管理編 15 遵守事項⑨ p.50）。
ユーザアカウントの発行
OSを含む各システムの利用に必要なユーザアカウントは、従業者ひとりに対してひとつ割り当てる。複数の従業者がひとつのアカウントを共有してはならない。利用者登録は人事情報と整合させ、対面またはこれに準じた身元確認を経て行う（企画管理編 13.1.2 p.44）。
ユーザアカウントの剥奪
異動、休職、退職によりアカウントを必要としなくなった場合、運用責任者はすみやかにログイン権限を剥奪する。
ユーザアカウントの権限
各アカウントには業務上必要な最小限の権限を付与する。
管理者権限は最小限の対象者にのみ付与し、管理者権限の種類・ID・利用者を一覧化して管理する（企画管理編 13 遵守事項⑤⑥ p.43）。
運用責任者は年1回以上IDの棚卸を行い、不要なIDを削除し、結果を企画管理者に報告する（同 遵守事項⑦ p.43）。
ユーザアカウントの認証
医療情報システムの利用者認証は二要素認証による。クライアント端末では電子カルテ等のアプリケーションへのログイン時に、サーバではOSへのログイン時に実装する（システム運用編 14 遵守事項⑤ p.35）。
令和9年4月1日時点で稼働する医療情報システムを新規導入または更改する場合は二要素認証対応のものを選定する。技術的な理由で間に合わないシステムは、令和9年度以降直近の次期更改・新規導入までを経過措置とする（同 14.1.1 p.36〜37）。
サーバOSの二要素認証は、別ドメインの踏み台端末経由に接続を限定し踏み台側で二要素認証を行う等、ガイドラインが同等とみなす措置で代えることができる（同 14.1.1 p.37）。
認証にパスワードを用いる場合、二要素認証を採用しているシステムでは英数字を混在させた8桁以上（PINは4桁以上）、採用していないシステムでは13桁以上とし、類推されやすいものを設定できないよう制限する。複数のシステム間でのパスワードの使い回しを禁止する。一定回数の認証失敗でアカウントをロックする。パスワードの定期的な変更は求めない（同 14 遵守事項⑥ p.35、14.1.1 p.38）。
運用担当者が利用者のパスワードを再設定する場合、本人確認を行い、その方法を台帳に記録する。再設定したパスワードは本人以外が知り得ない方法で通知する（同 14 遵守事項⑥(4) p.35）。
認証に用いるパスワードや物理デバイスは個人間で貸し借りせず、各従業者固有のものを用いる。ICカード等の破損時の一時的な代替手段を別に定める（同 14 遵守事項③ p.35）。
VPN装置の管理者認証にも二要素認証を導入する（同 14.1.1 p.38）。
Henryをご利用の医療機関へ：Henry単体では二要素認証を提供していません。Google Workspace等の外部IdPとHenryを連携させ、IdP側で二要素認証を有効にすることで対応します。院内でIdPを導入・運用することは医療機関側の対応事項になるため、第7条にIdPの管理（アカウント払い出し・二要素認証の強制・退職時の停止）を含めてください。現時点のHenryには、パスワードの桁数・文字種を強制する機能やアカウントロックの設定機能はありません（初期パスワード発行時の8文字チェックのみ）。本条のパスワード要件は運用ルールとして利用者に周知し、運用責任者が確認してください。医療機関ごとにパスワードポリシーを設定できる機能は開発中で、提供時期は別途ご案内します。アカウントロック等の作業は弊社従業員にて対応可能ですので、必要時にはお問い合わせください。
代行入力
従業者Aの代理として従業者Bが入力を行う場合、Aのアカウントを用いるのではなく、Bのアカウントに代行入力権限を付与して行う。代行入力を認める業務、依頼者と実施者の範囲は別に定める（企画管理編 13 遵守事項⑧ p.43）。
時間経過による自動確定などの機能を用いる場合、および確定者が確定操作をできない場合に誰の責任のもとに確定するかを定める必要があります（システム運用編 14 遵守事項⑨(1)(e)(f) p.35〜36）。代行入力の記録はできるだけ速やかに確定者が内容を確認して確定します（同 ⑨(5)(6) p.36）。
アクセスログ
すべての医療情報システムにおいて、ログイン時刻・アクセス時間・操作した医療情報が特定できるアクセスログを取得し、XX年間保存する（システム運用編 17 遵守事項① p.42）。
運用責任者はアクセスログを定期的にレビューし、不正利用の兆候を確認する（企画管理編 5.3 p.21）。
アクセスログが不用意に削除・改変されないよう、従業者アカウントの権限を管理する。
保管年数は法務担当者とご相談のうえ決定されることをおすすめします。Henryはサービス利用規約第14.3条に基づき利用ログを直近5年間保存しています。Henryのログは医療機関が画面から閲覧・出力する機能を提供しておらず、ご請求に応じて提供します。規程上の「定期的なレビュー」はHenryについては「必要時にヘンリーへ請求し確認する」と読み替えてください。
データの保存場所
データは原則として国内法が及ぶ国内に置かれたサーバに保存する。
国外のサーバにデータを保存する場合、バックアップを定期的に国内のサーバに転送し、国外サーバが利用できなくなった場合に備える。
情報機器・ソフトウェア・サービスの資産管理
運用責任者は、本院が管理するすべてのサーバ、端末PC、ネットワーク機器、ソフトウェア、利用するクラウドサービス・ライセンスを台帳管理し、定期的に棚卸する（企画管理編 9 遵守事項①〜③ p.34）。
運用責任者は、台帳管理する機器について、OS・ファームウェアが最新か、マルウェア対策ソフトの定義ファイルが更新されているか、サポート終了（EOS）に至っていないかを管理する。EOSを超えた機器は製造販売事業者等と連携して補完的対策を講じる（同 9.3 p.35）。
運用責任者は、本院が管理するすべてのネットワーク機器・外部接続機器（VPN機器等）にセキュリティパッチを適用し、接続元制限を実施して業務上不要な接続を遮断する。
運用責任者は、本院が管理するすべてのサーバや端末PCにおいて、不要なソフトウェア及びサービスを停止する。
運用責任者は、本院に設置されているが本院の管理下にないサーバ、端末PC、ネットワーク機器について、その管理事業者から定期的に管理台帳を提出させ、上記の状態が維持されていること、事業者が院内ネットワークに接続する場合の経路と機器を確認する。
保守回線は本院で集約した回線の利用を原則とし、新規導入システムは集約回線を利用可能な事業者から選定する（企画管理編 3.2.2 p.18）。
BYODは原則として認めない。認める場合は利用条件・範囲・管理方法を別に定め、機器を台帳管理し、本院管理の機器と同等の対策を講じる。管理されていない端末でのBYODは認めない（企画管理編 9 遵守事項⑦ p.34、システム運用編 8.5 p.19〜20）。
情報機器・ソフトウェアの品質管理
運用責任者は、本院で調達する情報機器・ソフトウェア・クラウドサービスについて、情報セキュリティの維持に最低限必要な調達基準を別途定め、運用担当者に提示する。調達にあたっては施行通知・外部保存通知等の法令要件を満たすことを確認する（企画管理編 15 遵守事項⑬ p.50）。
運用責任者は、本院で利用する情報機器・ソフトウェアの品質維持に関する対応を別途定め、運用担当者に提示する。
委託先事業者の管理
企画管理者は、委託先事業者との間で、通常時・非常時の責任分界、OS・ソフトウェアのアップデートおよびパッチ適用の実施主体、再委託の可否と条件、インシデント時の連絡体制を契約で取り決める（企画管理編 2 p.9、15 遵守事項⑧ p.50）。
企画管理者は、委託先事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）またはサービス仕様適合開示書の提出を受け、本規程を満たすことができるか確認する（企画管理編 2.1.5 p.12）。
Henryの以下の資料はヘルプセンターで提供しています（いずれも第7条「委託先事業者の管理」で確認する資料に当たります）。
サービス仕様適合開示書 v1.0（2省ガイドライン別紙）
サービスレベル共通合意書 v1.0（同 SLA参考例）
外部保存を委託する事業者は、総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（令和7年3月改定）の遵守を契約で定め、定期的に遵守状況の報告を受ける（企画管理編 7 遵守事項⑤ p.26）。
企画管理者は、委託先・供給元を含むサプライチェーンの構成を整理し、リスク分析の対象とする（企画管理編 9.2 p.35）。
運用責任者は、保守要員に専用アカウントを使わせ、個人情報へのアクセスの有無・対象・作業内容を記録する。リモートメンテナンスは接続元・経路を限定し、アクセスログを取得して作業計画書と照合し、企画管理者に報告する（システム運用編 10 遵守事項③⑤ p.22、10.2 p.23）。
インシデント発生への備え
運用責任者は、インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバックアップの実施と復旧手順を第6条で定めた訓練において確認する。バックアップは少なくとも3世代を2方式以上で確保し、古い世代はネットワーク・論理的に書き込み不可の状態で保管する（システム運用編 11 遵守事項①(6) p.24、18.1 p.44）。
運用責任者は、非常時用ユーザアカウント・非常時用機能の手順を整備し、通常時に不適切に使われていないことを監査する。使用後は正常復帰時に継続使用できないよう変更する（システム運用編 11 遵守事項①(1)〜(3) p.24）。
運用責任者は、各委託先事業者の責任分界点を明確にし、インシデント発生時の一次対応を本院で実施できる状態を維持する。
運用責任者は、医療情報システムを通常運用できないときに備え、縮退運用及び非定常時運用の規程を別に定め、運用担当者ならびに利用者に周知のうえ、常に利用可能な状態にしておく。
全体的に厳しい方に倒しています。端末間データ移動などで恒常的な媒体の利用が想定される場合は、実際の運用にあった規程を定めてください。
USBメモリやCD-ROMなどの記録媒体は、原則として利用しない。
記録媒体が必要と思われる業務が報告された場合、運用責任者は当該部門の医療情報に関する管理責任者とともに代案を検討する。
運用責任者は、リスク分析を行ったうえで利用者に一時的な許可を出すことができる。このとき媒体がいつ・誰に・何の目的で・どのような情報を扱うために使われたかを台帳管理する。
運用責任者は、記録媒体を暗号化し、第三者に内容を読み取られないようにする。
運用責任者は、記録媒体・情報機器を破棄する場合、OSのファイル削除ではなく専用ソフトによる消去または物理破壊で情報の再生が不可能な状態とし、その手段、実施者、日時の記録を残す。リース返却時も同様とする。破棄の条件・実施できる職員・具体的方法は情報種別ごとに別に定める（企画管理編 8 遵守事項⑪ p.30、システム運用編 7.3 p.15〜16）。
運用責任者は、記録媒体の廃棄業務を事業者に委託する場合も、前項の条件を満たす方法で廃棄したことを事業者に書類で提出させる。
運用責任者は、医療情報を保管する場所を管理し、その場所ごとの保存可能容量、期間、リスク、レスポンス、バックアップの頻度や方法等を明確にする（企画管理編 15 遵守事項④ p.50）。
委託先事業者が管理する記録媒体および記録機器においても本条を適用する。委託先での破棄については証跡の提出を求め、証跡の提出が困難なサービスについては破棄手順の事前協議と契約への反映をもって代える（企画管理編 8.3.2 p.33）。
全体的に厳しい方に倒しています。研究などにより恒常的な持ち出しが想定される場合は、実際の運用にあった規程を定めてください。
本院の保有する医療情報およびそれを取り扱う情報機器の院外への持ち出しは、原則として行わない。利用者が本院内において、企画管理者が承認したクラウドサービスに医療情報を保管する、あるいはそこから取り出す場合は、院外への持ち出しとはみなさない。
企画管理者が承認していないクラウドサービス・ネットワークサービスへの医療情報の保存・送信は、持ち出しとして禁止する。運用責任者は必要に応じて接続制御を行う（企画管理編 8.2.3 p.32）。
運用責任者は、院外に持ち出す必要のある医療情報および情報機器について、リスク分析を行ったうえで利用者に一時的な持ち出し許可を出すことができる。このとき、いつ・誰に・何の目的で・どのような情報を扱うために持ち出されたかを台帳管理する。
利用者が本院の外部から医療情報にアクセスする場合、本院の管理下にある情報機器のみによってアクセスを行い、ダウンロードした情報は利用が終わり次第速やかに削除する。外部からのアクセスの許諾対象者・条件・アクセス範囲は別に定める（企画管理編 8.2.4 p.32）。
委託先事業者が情報および情報機器を持ち出す場合、別途合意のない限り、事前に運用責任者の許可を得なければならない。保守目的で医療情報にアクセスする場合も同様とする。
持ち出した情報機器・記録媒体の紛失・盗難、ネットワークサービスの設定誤り等による漏えい（またはそのおそれ）が生じた場合、利用者は直ちに運用責任者に報告し、運用責任者は第6条の連絡体制に基づき対応する（企画管理編 8.2.5 p.33）。
運用責任者は持ち出し状況を定期的にレビューし、不自然な持ち出しがあれば理由を確認する（企画管理編 8.2.6 p.33）。
企画管理者は、業務上において情報漏えい等のリスクが予想される場合、運用管理規程の見直しを含めた予防対策を行う。
企画管理者は、ガイドラインの改定、サイバーセキュリティ対策チェックリストの年度更新、サイバーセキュリティ対応計画の見直し（年1回以上）に合わせて本規程を見直す。
企画管理者が本規程を更新する場合、医療情報システム安全管理責任者の承認を得なければならない。
企画管理者が本規程を更新する場合、施行前に利用者や委託先事業者に対して新しい規程を提示するとともに、運用の実現に必要な教育の提供や調整を行う。
この運用管理規程は、令和X年X月X日から施行する。