3省2ガイドライン対応の進め方と費用感— 何を・どの順番で・どれくらいの期間とコストでやるのか【事業者・ベンダー向け】

1. この記事について

医療機関に医療情報システム・SaaS・AIサービスを提供する事業者には、いわゆる「3省2ガイドライン」への対応が実務上求められます。

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」(2026年6月) — 医療機関等側の遵守事項。2026年6月の改定で「保守委託機関編」が新設され、事業者選定の考え方が具体化されました
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」(令和2年8月策定・令和7年3月改定) — 事業者側の遵守事項

「対応が必要らしい」ことまでは知っていても、何を・どの順番で・どれくらいの期間とコストでやるのかの目安は、意外なほど情報がありません。本記事は、実際にAWS上の医療情報システムで対応を行った実務記録に基づいて、その目安を提示します。

対象読者: 医療機関・患者向けにシステム/SaaS/AIを提供している、または提供を予定している事業者の開発責任者・事業責任者。特に「これから対応に着手する」「見積り・計画を立てる立場にある」方を想定しています。

なお「そもそも自社は今どこまでできているのか」を先に知りたい場合は、セルフチェック全27問（約8分・無料）から始めることをお勧めします。

2. 対応の実体 — 6つの作業ブロック

「3省2ガイドライン対応」と一言でいわれる作業の実体は、次の6ブロックに分解できます。ガイドライン本文を通読することがゴールなのではなく、この6つを成果物として揃えることがゴールです。

見落とされがちなのは⑥です。第7.0版の保守委託機関編では、事業者への確認事項（MDS/SDS 計99項目）について「すべて『はい』または『対象外』となっている事業者を選定すること」が明文化されました。つまり①〜⑤をどれだけ頑張っても、⑥の開示文書で項目単位に答えられなければ、医療機関側の選定基準を通過できない構造になっています。

2.5 「416項目」は入口にすぎない — 対応の量を層で見る

「416項目」という数は、対応の重さを過小に見せます。対策項目は経産省・総務省ガイドライン（第2.0版）別紙2の管理単位にすぎず、1つ1つの項目に厚労省ガイドラインの条文参照と、医療機関からの確認事項がぶら下がっているからです。当社の項目マスタで実際に読んで判断する単位を数えると、次の層になります（機械集計・再現可能な数のみ）。

合算すると、読んで判断する単位は1,000を超えます（416＋371＋99＋160、別紙2の旧版参照を含めれば約1,250）。

1項目の深さを例で示します。「パスワードの世代管理」という対策項目（3.1-④-4）は、①対策項目の要求 → ②厚労省ガイドライン システム運用編 14.⑥ の条文 → ③医療機関の確認事項（SDS 17.1系） → ④自社の利用者認証方式規程の条文 → ⑤認証基盤（Cognito 等）の設定値、と5段そろって初めて「対応した」と言える構造です。416項目それぞれにこの深さがあるのが、「読めば分かるはず」の対応が数ヶ月かかる理由です。

逆に言えば、この層構造を一度正しく結線してしまえば、以後の対応は「ゼロから読む」作業ではなく「結線済みのどこが自社と違うか」の差分確認に変わります。4章の期間差（数ヶ月 → 3〜5週間）はここから生まれています。

なお、ガイドラインは厚労省と経産省・総務省が別々の周期で改定されます。当社の項目マスタで直近の改定分を機械突合したところ、416項目のうち300項目超で参照条文に変化がありました。対応は一度きりではなく、改定のたびに「どの項目が動いたか」を追える形で持っておく必要があります。

3. 進め方の標準ステップ — 5フェーズ

順番を間違えると手戻りが大きい領域です。実務では次の5フェーズで進めます。

Ph.0 現状把握・対象範囲の確定（数日）

預かる情報のうち何が「医療情報」に当たるか、提供形態（SaaS/オンプレ/アプリ）、データフロー、既存の規程類を棚卸しします。ここが曖昧なまま進めると、後段の全作業の対象範囲が揺れます。

Ph.1 設計選択と「対象外」の確定（数日〜1週間）

期間と費用を最も左右するフェーズです（詳細は5章）。物理サーバを自社保有するか、医療情報を可搬媒体や端末に保存するか、院内ネットワークに接続するか——といった設計選択を先に確定させると、検討すべき項目のうち相当数が「対象外」として確定します。当社の実務記録では、サーバレス／フルマネージドのクラウド構成を採用した場合、416項目のうち4割前後が設計選択の帰結として対象外になりました。

Ph.2 残った項目の検討（1〜2週間〜）

対象外にならなかった項目について、該当性と対応方針を1項目ずつ判断し、根拠とともに記録します。ここでの記録の質が、後の監査対応・医療機関からの照会対応・担当者交代時の引き継ぎ耐性を決めます。「対応した」だけで「なぜその対応でよいのか」が残っていないと、問われるたびに再検討になります。

Ph.3 文書整備（1〜2週間・Ph.2と一部並行）

運用規程・計画・手順書・設計書のセキュリティ章を整備します。ゼロから起案する場合はここが最大の工数になります（20文書前後×起案・レビュー・承認）。ひな形を使う場合も、自社の体制・数値（バックアップ周期・ログ保存期間等）の記入と、実態との一致確認は省略できません。

Ph.4 開示文書・運用開始（数日）

MDS/SDS等の医療機関向け開示文書に項目単位で回答し、運用を開始します。運用開始後も、ガイドライン改定への追従（直近では第7.0版で二要素認証の対応期限が令和9年4月1日と明確化）と、文書と実態の定期的な突合が続きます。

4. 期間と費用の目安

自前でゼロから対応する場合（試算）

対応経験のない事業者が自力で対応する場合の当社試算です。体制・単価は次の仮定に基づく試算であり、断定ではありません。

• 体制の仮定: 外部の医療情報セキュリティに知見のあるコンサルタント0.3〜0.5人月/月＋社内エンジニア0.5〜1.0人月/月＋社内PdM/品質担当0.3人月/月
• 単価の仮定: 医療×セキュリティ系コンサルタント人月150〜250万円、エンジニア（業務委託・中堅〜シニア）人月80〜120万円

この体制・期間を人件費に換算すると、概算で数百万円〜1,000万円規模になります（上記仮定のレンジで変動）。外部のコンサルティング会社に対応支援を依頼する場合の公開価格も、おおむね百万円台からのレンジで提示されているのが実情です（サービス範囲により大きく異なるため、見積りの際は本記事2章の6ブロックのうちどこからどこまでが含まれるかを必ず確認してください）。

整理済みの土台がある場合（実測1件）

一方、①の項目整理が済んでおり、標準的な対応方針（標準回答）と文書ひな形が揃っていて、かつ構成がサーバレスAWSに確定している状態では、②の416項目の検討が営業日10日で完了した実測記録があります（2025年3月・担当エンジニア1名＋責任者レビュー）。全体でも3〜5週間が標準スケジュールになります。医療情報の扱いが最もシビアな領域のひとつである医用画像のAI解析SaaS（大学病院との共同研究から事業化）でも、同じ土台で416項目すべてを実装と文書の実態で判定し、開示書と規程類を整備しています。

期間が1/4以下になっているのは作業スピードの差ではなく、構造の差です。①がゼロになり、②が「ゼロからの検討」から「標準回答との差分レビュー」に変わり、③④が「起案」から「ひな形のカスタマイズ」に変わるためです。

5. 費用を最も左右するのは「設計選択」

見積り段階で最も効くのは、コンサルタントの単価交渉でも作業の圧縮でもなく、「対応が要らない形を先に選ぶ」ことです。

当社が416項目を検討した実務記録では、「対象外」にできた項目の大半は、次のような設計選択の帰結でした。

• 物理基盤を自社で持たない（サーバレス／フルマネージド構成）→ 物理セキュリティ・機器管理・媒体管理系の項目群が対象外に
• 医療情報をクラウド内で完結させ、可搬媒体・端末保存をしない → 媒体・持ち出し系の項目群が対象外に
• 院内ネットワーク（閉域網）に接続しない（インターネット経由の提供）→ 院内NW接続系の項目群が対象外に

逆にいうと、これらの選択が固まる前に項目検討を始めると、対応する必要のない項目に投資する「過剰対応」か、設計確定後の再検討という「二度手間」のどちらかが起きます。また、設計が固まった後にガイドライン対応を始めると、対応不能な項目が見つかって設計からやり直す最悪の手戻りが起き得ます。Ph.1（設計選択）を項目検討の前に置くのが、この構造への対処です。

注意点も一つ。「対象外」は宣言ではなく判断です。なぜ対象外なのかの根拠（どの設計選択の帰結か）を項目単位で記録していないと、医療機関から「この項目はなぜ『対象外』なのですか」と問われたときに答えられません。当社は自らの対応表の点検で、「対象外」と記録していたのに実は要求が成立していた項目を検出・是正した経験があり、対象外の根拠記録は「作って終わり」にできない箇所だと考えています。

6. よくある失敗パターン

実務でよく見る（または当社自身が経験した）失敗です。

1. 全項目に律儀に対応してしまう — 対象外にできる項目を知らずに全項目対応し、期間と費用が倍以上に膨らむ。対処: Ph.1を先に置く（5章）
2. 判断根拠が残っていない — 「対応済み」の結論だけが残り、なぜその対応でよいのかが担当者の頭の中にしかない。監査・照会・担当交代のたびに再構築が発生する。対処: 項目ID⇔判断根拠⇔文書条文の対応を最初から記録する
3. 文書と実態の乖離 — 規程は立派だが実際の運用・実装と一致していない。医療機関のチェックシートに答える段階で発覚する。対処: 文書整備（Ph.3）を実装(⑤)と突き合わせながら進める
4. 版数の追従漏れ — 対応した時点のガイドライン版数のまま止まり、「最新版対応」と言えなくなる。第7.0版（2026年6月）・2省GL第2.0版（令和7年3月）と、直近2年でどちらも改定されています。対処: 改定を検知して差分だけ再点検する運用をあらかじめ決めておく
5. 開示文書を後回しにする — ①〜⑤を終えてから⑥に着手し、MDS/SDSの問いに対応表がそのまま答えられない形になっていることに気づく。対処: MDS/SDS 99項目を最初から「最終出力」として意識して②の記録形式を設計する

7. まずは現在地の把握から

進め方と費用感の全体像は以上です。次の一歩は、自社の現在地を知ることです。

• 現在地の把握（無料・約8分）: 3省2ガイドライン対応セルフチェック 全27問。回答すると判定と優先度の高い項目の個別解説を自動返信でお送りします
• 対応パッケージの詳細: 整理済みの項目マスタ・標準回答・文書ひな形を土台にした3省2ガイドライン対応パッケージ
• 個別のご相談: 構想段階・設計前でも歓迎です。「あなたのプロダクトの場合、何項目が対象外にでき、何項目の検討が残るか」から一緒に整理します（初回無料）