3行まとめ
- 1.医療機関があなたのサービスを審査するとき、求められるのは「対応済みであることの証明書」ではなく開示です。具体的には SDS開示書（Ver.5.0・160問）、ガイドライン第7.0版 保守委託機関編【別紙】の MDS/SDS 99項目、そして3省2ガイドライン416項目の対応状況——この3つの様式に、自社の文書・実装・記録を根拠として紐づけて答えることになります。
- 2.答えの根拠になる成果物は、規程類・SLA・設計書・各種台帳と記録・そして監査ログや認証の実装そのものまで含めて十数種類あります。本記事はその一覧と、「それぞれが審査のどの設問に効くのか」を1行ずつ添えて示します。
- 3.「大変さ」の正体は項目数ではありません。①規程に書いたことが設定・コードと一致し続けること、②「対象外」の根拠を設計選択から説明できること、③「いいえ」を隠さずに通る形で書くこと——この3つで、いずれも書類仕事ではなく設計の仕事です。だからこそ、整理済みの標準回答と文書ひな形から差分だけ検討するアプローチが効きます。
1. 審査で求められるのは「証明」ではなく「開示」
医療機関にシステムやSaaSを売ろうとすると、商談のどこかで必ず「セキュリティの確認をさせてください」というフェーズが来ます。このとき事業者側がまず知っておくべき前提がひとつあります。
3省2ガイドラインには、「対応済みであることを証明する公的な認証制度」はありません。求められるのは開示——「自社がどの項目にどう対応しているか（していないか）を、根拠つきで開示すること」です。
開示の様式は、実務上ほぼ次の3つに集約されます。
| 様式 | 設問数 | 出どころ・位置づけ |
|---|---|---|
| SDS開示書（Ver.5.0） | 160問 | JIRA/JAHISが策定した標準開示様式「サービス事業者による医療情報セキュリティ開示書」。医療機関側のチェックリストと対になっており、「この開示書をください」という形で届く |
| MDS/SDSにおけるセキュリティ確認事項 | 99項目（MDS 41・SDS 58） | ガイドライン第7.0版 保守委託機関編【別紙】。医療機関が事業者を選定する際の公式の確認事項で、「はい」または「対象外」が選定の目安として明文化されている |
| 3省2ガイドラインの対応状況 | 416項目 | 2省ガイドライン別紙の対策項目を軸に、厚労省ガイドラインの要求と対応づけた対策項目の全量。病院の情報システム部門や共同利用の審査で「対応状況の一覧を出してください」という形で求められることがある |
つまり「3省2ガイドライン対応」とは、ガイドラインを読んで感想を持つことではなく、この3様式に根拠つきで答えられる状態を作ることです。そして、その答えの根拠になるのが、次章の成果物一覧です。
2. 成果物の一覧 —— 何を用意することになるのか
当社が実際にAWS上の医療情報システムで整備した成果物を、「審査のどこに効くか」を添えて一覧にします。形態は3種類——文書（規程・設計書）、記録（台帳・実施記録）、実装（コードと設定）です。
2-1. 規程・計画（文書）
| 成果物 | 審査のどこに効くか |
|---|---|
| 運用管理規程 | 組織的安全管理の土台。第三者提供時の手続・委託先管理・非常時対応など、人的・組織的対策（153項目）の多くの受け皿 |
| アクセス管理規程 | 「誰が・どの権限で・どう承認されてアクセスするか」。アカウント管理・特権管理系の設問の根拠 |
| 利用者認証方式規程 | 二要素認証の方式と対応ロードマップ、認証手段が使えない場合の代替手順。MDS/SDSの認証系設問は、実装が途上でも「期日と計画を規程で約束しているか」を見る |
| DR計画・復旧手順書・BCP | 非常時・災害時系の設問。業務プロセスの優先順位、縮退運転、復帰後のデータ同期まで書けているか |
| リスクアセスメント | 「リスクを評価したうえで対策を選んだ」こと自体の証跡。多くの設問の前提になる |
2-2. サービス文書（文書）
| 成果物 | 審査のどこに効くか |
|---|---|
| SLAと責任分界 | 第7.0版で新設された保守委託機関編の「みなし遵守」は、事業者がセキュリティアップデート責任を負うことが契約書・約款・SLAに書かれているかで決まる。顧客側の遵守スキームの前提があなたの契約書にある |
| サービス仕様書 | データのエクスポート形式・利用終了時の見読性・APIのバージョニングなど、「やめるとき」「変わるとき」の設問の根拠 |
| 詳細設計書（セキュリティ章） | 技術的対策（222項目）の実装根拠。アクセス制御・ログ監査・ネットワーク・ストレージ設計を「文書として見せられる」形にしておく |
2-3. 台帳・記録（記録）
| 成果物 | 審査のどこに効くか |
|---|---|
| 扱う情報の一覧 | 「何を預かっているのか」の特定。リスク評価と持ち出し管理の前提 |
| 持ち出しリスク分析 | 可搬媒体・端末持ち出し系の設問。「持ち出さない設計」ならその根拠を書く |
| 業務端末台帳 | 端末管理系の設問。誰のどの端末が業務に使われているか |
| 教育実施記録 | 人的対策の設問。従業者への教育訓練を「やったことにする」のではなく記録で示す（理解度テストの結果まで残すと強い） |
| 第三者評価報告書の取得記録 | 利用しているクラウド事業者の評価・認証を確認した記録。「クラウドに任せている」で終わらせないための証跡 |
2-4. 実装（コードと設定）
ここが見落とされがちですが、開示書の設問には文書では答えられないものがあります。
| 成果物 | 審査のどこに効くか |
|---|---|
| 監査ログの仕組み | 「アクセス記録を取っているか・改ざんから保護しているか・定期レビューしているか」。ログは規程では生成できない。取得・保全（削除不能化）・閲覧・レビュー手順までセットで初めて「はい」になる |
| 二要素認証 | 第7.0版で対象と期限（令和9年4月1日）が明確化。実装済みか、規程でロードマップを約束しているかのどちらかが必要 |
| パスワード品質・履歴の管理 | 使い回しの禁止・類推しやすいパスワードの拒否・アカウントロック。「規程に書いてある」だけでなく動いているか |
| 脆弱性・悪性パッケージの検査 | サプライチェーン系の設問。依存パッケージの脆弱性検査を継続的に回しているか |
| 医療機関向け説明資料 | 成果物というより「成果物一式を商談で説明できる形」。審査の往復回数を減らす |
数えると、文書だけで数十点、実装と記録を含めて十数種類のカテゴリになります。当社の実物では、規程・計画・サービス文書・手順のひな形が35文書、詳細設計書の関連章が35ファイルです。この一覧を自分のプロダクトで一つずつ確認したい方は、/3m2g/ の「提供アセットの全体像」に実物の内訳を公開しています。
3. 「大変さ」の正体は項目数ではない
416項目・160問と聞くと数に圧倒されますが、実際にやってみると、時間を奪うのは項目数ではありませんでした。正体は3つです。
3-1. 文書と実装の整合が、更新のたびにずれる
規程に「パスワードは12文字以上」と書き、実装では8文字で通る——この状態は、どちらか単体では気づけません。開示書は文書と実装の両方を根拠に答えるので、ずれていると答えが嘘になります。そして文書と実装は更新のタイミングが違うため、放っておくと必ずずれます。対応の実務とは、一度揃えることではなく、揃い続ける仕組み（どの設問の根拠がどの文書・どの設定かの対応表を持ち、変更時に突合すること）を作ることです。
3-2. 「対象外」は、設計選択から説明できて初めて対象外になる
416項目を全部「対応」する必要はありません。当社の標準回答では、171項目が「設計選択により対象外」です（例: 物理サーバを自社で持たない、院内ネットワークに接続しない、可搬媒体を使わない）。ただし「対象外」と書くだけでは審査は通りません。「どの設計選択の帰結として対象外なのか」を項目ごとに説明できる必要があります。逆に言えば、設計が固まる前に対応を考え始めれば、4割前後の項目をそもそも発生させないことができます。
3-3. 「いいえ」は隠すものではなく、書き方があるもの
全問「はい」の開示書は、むしろ不自然です。当社のSDS開示書（160問）の標準形ははい72・いいえ1・対象外72・非該当15——「いいえ」が1件あります（パスワードの定期変更: 使い回し禁止とロックで代替する設計のため、有効期限を設けていません）。理由と代替策を添えた「いいえ」は通ります。隠した「いいえ」が後から見つかることが、いちばん信頼を失います。
4. ゼロから作ると何が起きるか
前提を明示したうえでの目安です（体制・プロダクトの性質で大きく変わります。「この期間でできる」という保証ではありません）。
- ゼロから自前で: ガイドライン本文（企画管理編59ページ・システム運用編51ページほか）の読み込み → 416項目の該当性検討 → 規程・設計書の書き起こし → 実装の突合、で当社試算は数ヶ月規模（4〜6ヶ月・数百万円規模の人件費）。最大のリスクは期間ではなく、設計確定後に対応不能な項目が見つかって設計からやり直す手戻りです。
- 整理済みの土台から差分だけ: 標準回答416項目・文書ひな形・実装の型を土台に、自社プロダクト固有の差分だけを検討する形なら、当社の実測記録で416項目の検討が営業日10日（担当1名＋責任者レビュー・AWSサーバレス構成・2025年3月の案件実測）まで短縮できました。
この差は作業速度の差ではなく、「すでに答えと根拠の対応表があるか」の差です。
5. 差分だけ検討する、という選択肢
当社は、この記事に書いた成果物一式を自社で整備し、実物を提供アセットとして公開しています——416項目の標準回答データベース（対応済み192・設計選択により対象外171・未対応0）、MDS/SDS 99項目への回答素材（「はい/対象外」見込み94項目・95%、「いいえ」0件、要件付き14件は成立要件まで文書化）、規程・手順35文書と設計書35ファイルのひな形、そして監査ログ・認証・文書自動生成までの実装の型です。
- 全体像と数字の内訳は /3m2g/ の「提供アセットの全体像」で公開しています。
- 自社の現在地をまず知りたい方は、27問のセルフチェック（約8分・自動判定・解説PDF送付つき）から始めるのが早いです → セルフチェックを始める（無料）。
「何を用意すべきか」の一覧がこの記事だとすれば、「自社はどこまでできているか」を数えるのがセルフチェック、「残りをどう埋めるか」が個別のご相談です。順番に進めてください。
出典（一次資料）
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」保守委託機関編（全27ページ・【別紙】MDS/SDSにおけるセキュリティ確認事項〔計99項目〕を含む）
https://www.mhlw.go.jp/content/10808000/001716297.pdf - 同 企画管理編（全59ページ）
https://www.mhlw.go.jp/content/10808000/001716292.pdf - 同 システム運用編（全51ページ）
https://www.mhlw.go.jp/content/10808000/001716295.pdf - JIRA/JAHIS「製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）Ver.5.0 利用の手引き」
https://www.jira-net.or.jp/commission/system/files/MDS-Ver5-0_UsersGuide.pdf - 総務省 報道発表「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（第2.0版）」（令和2年8月策定・令和7年3月改定）
https://www.soumu.go.jp/menu_news/s-news/01ryutsu06_02000427.html
本記事の項目数・件数は、当社が整備・運用している対応アセットの実物の集計値（検証日を付して管理）および上記一次資料に基づきます。期間の目安は条件を明示した試算・実測記録であり、すべての事業者に当てはまることを保証するものではありません。個別の判断は原文・所管官庁・専門家にご確認ください。