【2026年版】薬局のサイバーセキュリティ対策｜チェックリスト・BCP・立入検査

薬局のサイバーセキュリティ対策は、レセコン会社や本部に任せて終わる仕事ではありません。2026年6月に厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版」と2026年度版チェックリストが公表され、保険薬局にも、責任者の明確化、機器・ソフトウェアの把握、アカウント管理、バックアップ、事業継続計画（BCP）、インシデント連絡体制などを実装し、説明できる状態が求められています。【[1]】

後輩薬剤師なぎさ

うちはクラウド型の電子薬歴ですし、保守会社も入っています。薬局側でセキュリティ対策をする必要はありますか？

ゆずまる

クラウドや委託は有効な対策ですが、薬局の責任が自動的になくなるわけではありません。契約上の責任分界、職員のアカウント、端末、USB、停電・通信障害時の業務まで、薬局自身が確認する必要があります。

前書き｜サイバー対策は「情報管理」と「患者安全」の両方で考える

ランサムウェアや不正アクセスの被害は、個人情報の漏えいだけで終わりません。電子薬歴を参照できない、処方内容を取り込めない、重複投薬・相互作用を確認できない、オンライン資格確認が使えない、レセプト請求が遅れるといった形で、調剤の安全性と薬局運営に直結します。

小規模薬局では「自店が狙われるはずがない」と考えがちです。しかし攻撃は、特定の薬局を人が選んで狙うものだけではなく、広く送られるフィッシングメール、盗まれたパスワード、更新されていない機器、リモート保守経路などから始まります。規模が小さいことは免責理由になりません。

本記事では、厚生労働省の第7.0版ガイドライン、経営管理編・企画管理編・システム運用編・システム運用管理編の考え方と、2026年度版の立入検査用チェックリストを、薬局現場で使える順番に再構成します。【[2]】

2026年版で薬局が押さえるべき変更点

医療情報システム安全管理ガイドライン第7.0版とは

第7.0版は2026年6月に公表された、医療情報を扱う組織向けの安全管理指針です。病院だけでなく診療所、歯科診療所、薬局、訪問看護ステーションなども対象です。経営層が決めること、企画管理者が整えること、現場で運用すること、保守事業者が担うことを分け、組織全体で対策する構成になっています。

小規模薬局でも「委託したから終わり」ではない

第7.0版では、すべてのサーバー等の更新・管理責任を保守事業者へ契約で委託している小規模医療機関等について、概要編とシステム運用管理編を中心に確認できる考え方が示されています。ただし、これは対策不要という意味ではありません。誰が、どの機器を、どこまで、何日以内に更新し、事故時に誰へ連絡するかを契約上明確にしていることが前提です。【[2]】

チェックリストは2026年度中に全項目「はい」を目指す

厚生労働省の2026年度版チェックリストは、病院・診療所・薬局で共通化されました。各項目は年度内に「はい」と回答できる状態を目指し、立入検査では、チェック結果だけでなく資産台帳、連絡体制図、BCP、規程などの実物を確認されることがあります。【[3]】

まず整理する責任者と役割分担

表のポイントは、管理薬剤師がすべての技術作業を行う必要はない一方、現場で誰が何を担うかを把握し、異常時に動ける状態は管理薬剤師の仕事だという点です。薬局開設者と管理薬剤師の役割は、薬機法上の薬局管理とも結びつきます。厚生労働省は薬局向けページで、サイバーセキュリティ確保に関する必要な措置を薬局管理に位置づけています。【[4]】

後輩薬剤師なぎさ

パソコンが苦手な管理薬剤師でも、責任者にならないといけないのでしょうか？

ゆずまる

技術責任者と現場責任者は分けられます。大切なのは、分からないまま放置せず、誰に確認するか、止まったらどう業務を続けるかを決めておくことです。

薬局の情報資産を漏れなく洗い出す

対象はレセコンと電子薬歴だけではない

資産台帳には、レセプトコンピューター、電子薬歴、電子処方箋端末、オンライン資格確認端末、調剤監査システム、自動錠剤分包機の接続端末、在庫管理、在宅用タブレット、複合機、NAS、ルーター、Wi-Fiアクセスポイント、保守用端末、USBメモリ、クラウドサービス、メール、Web会議、遠隔サポートソフトなどを含めます。

2026年度チェックリストを薬局業務に落とし込む

1．アカウントと権限を個人単位で管理する

共通IDを全員で使うと、誰が閲覧・変更したか追跡できません。職員ごとにIDを付与し、受付、調剤、監査、請求、管理者設定など、業務に必要な最小限の権限にします。退職・異動・長期休職時は、最終勤務日までに停止または変更する運用を決めます。

• 退職者アカウントの即日停止
• 応援勤務者には期限付きIDを発行
• 管理者権限は日常業務用と分離
• 共用端末でもログインIDは個人別
• 定期的に利用者一覧と在籍者名簿を照合

2．強いパスワードと二要素認証を使う

2026年度チェックリストでは、二要素認証を導入していない場合は13文字以上、二要素認証を導入している場合は8文字以上を目安とし、使い回しを避けることが示されています。二要素認証とは、パスワードに加え、認証アプリ、トークン、生体情報など別の要素で本人を確認する方法です。対応可能なシステムでは優先して有効化し、未対応なら更新計画を記録します。【[5]】

3．OS・ソフトウェア・機器を更新する

アップデートは新機能のためだけでなく、既知の脆弱性を塞ぐために行います。自動更新を止めている端末、古いブラウザ、サポート終了OS、長期間電源を入れていない在宅用端末、使っていない遠隔操作ソフトを点検してください。医療機器・調剤機器は自己判断で更新すると動作保証に影響する場合があるため、メーカーと調整して実施します。

4．USBメモリと外部接続を制限する

患者情報の持ち出しやマルウェア侵入を防ぐため、私物USBは禁止を基本にし、業務上必要な媒体は管理番号、利用者、利用日時、目的、返却を記録します。メール添付、個人クラウド、私物スマートフォンへの転送も同じリスクがあります。

5．ログを保存し、異常を確認できるようにする

ログは、不正アクセスや誤操作が疑われるときに、いつ、誰が、どこから、何をしたかを調べる記録です。薬局側がすべてを解析する必要はありませんが、何のログを何日保存し、誰が確認でき、事故時にどう提供されるかを委託先へ確認します。

6．リモート保守の入口を把握する

保守会社が遠隔接続できること自体が直ちに危険なのではありません。問題は、常時開放、共通パスワード、接続元制限なし、利用記録なし、契約終了後も接続可能といった状態です。接続方法、認証、許可手順、ログ、緊急停止、契約終了時の無効化を文書で確認します。

7．医療機器のセキュリティ文書を確認する

MDS/SDSは、医療機器やシステムのセキュリティ機能、利用者側が講じる対策、脆弱性対応などを確認するための文書です。監査機器や調剤機器がネットワーク接続されている場合、メーカーに文書の有無を確認し、資産台帳と一緒に保管します。

委託先と必ず確認したい責任分界

クラウドサービスや保守委託を利用するときは、次の質問を文書で確認します。口頭説明だけでなく、契約書、仕様書、サービスレベル合意、運用手順書などに落とし込みます。

1. 薬局と事業者のどちらがOS・ミドルウェア・アプリを更新するか
2. 重大な脆弱性が判明してから対応までの目標時間は何時間・何日か
3. バックアップの対象、頻度、保管場所、世代数、暗号化はどうなっているか
4. 復元試験を誰が、どの頻度で行い、結果を誰に報告するか
5. 遠隔保守の認証、接続元制限、接続ログ、停止方法は何か
6. インシデントを何時間以内に薬局へ連絡するか
7. 契約終了時にデータをどの形式で返却し、残存データをどう消去するか
8. 再委託先があるか、再委託先にも同等の義務があるか

委託先から受け取った回答は、チェックリストの根拠資料になります。「事業者に任せている」ではなく、「契約第○条で更新責任は事業者、アカウント管理は薬局、バックアップ復元試験は年○回」と説明できる形が理想です。

バックアップは「取っている」より「戻せる」が重要

3-2-1の考え方を薬局向けに応用する

すべての環境で同じ構成が必須とは限りませんが、実務では、データを複数コピーし、異なる媒体・場所に置き、少なくとも1つは攻撃者から書き換えにくいオフラインまたは書込保護された状態にする考え方が有効です。同じネットワーク上のNASだけでは、ランサムウェアに同時暗号化されるおそれがあります。

復元目標時間（RTO）は、停止後どれくらいで業務を再開したいか、復元時点目標（RPO）は、どこまでのデータ損失を許容するかを示す考え方です。薬局では、服薬情報の安全確認、当日受付分、在宅患者の緊急対応など、患者影響の大きい業務から優先順位を決めます。

サイバーBCP｜システム停止中も安全に調剤する準備

紙で最低限そろえる帳票

• 受付・患者連絡先記録票
• 処方内容転記・確認票
• アレルギー、副作用歴、併用薬の聞き取り票
• 疑義照会記録票
• 調剤・監査チェック票
• 交付時の説明・フォロー記録票
• 復旧後の電子記録転記チェックリスト
• 本部、保守会社、医療機関、行政等の緊急連絡網

停止時に決めておく業務の優先順位

システム停止時も、確認できない情報を推測で埋めて調剤しないことが重要です。お薬手帳、マイナポータル等の利用可否、医療機関への照会、患者・家族への聞き取りを組み合わせます。それでも安全性を確保できない場合は、調剤可否と代替先を責任者が判断します。

関連記事：台風で薬局を臨時休業するときの管理薬剤師対応

異常を発見したときの初動フロー

1. 患者安全を確保する：影響する端末・業務を特定し、誤調剤を防ぐため新規入力や交付を一時停止する。
2. 被害拡大を抑える：手順に従ってネットワークから切り離す。証拠を失うため、自己判断で初期化・再インストールはしない。
3. 責任者へ報告する：管理薬剤師、本部、情報システム担当、委託先へ、発見時刻、端末、表示内容、直前操作を伝える。
4. 代替運用へ切り替える：BCPに従い紙受付・紙監査を開始し、優先患者を整理する。
5. 外部連絡を判断する：個人情報漏えい、広域障害、犯罪の疑い等に応じ、所管行政、個人情報保護委員会、警察、厚生労働省等へ相談・報告する。
6. 復旧と検証を行う：安全なバックアップから復元し、再接続前に侵入経路、認証情報、更新状況を確認する。
7. 再発防止を記録する：時系列、判断、患者影響、連絡先、復旧確認、改善策をまとめる。

薬局で起こり得る3つの架空事例

事例1｜請求書メールの添付ファイルを開いた

状況：事務職員が取引先を装うメールの添付ファイルを開いた直後、警告画面が表示され、端末の動作が遅くなった。

確認：端末名、発見時刻、メール送信者、添付名、クリック後の表示、同じメールを受信した職員、端末が接続するシステムを確認します。

対応例：定めた手順で端末をネットワークから隔離し、管理薬剤師・本部・保守事業者へ連絡します。同じメールを開かないよう全店へ周知し、自己判断でファイルを削除して終わりにしません。

記録例：「10:12受付端末Aで不審添付開封。10:14ネットワーク隔離。10:16管理薬剤師・本部へ連絡。患者情報入力は端末Bへ切替。影響範囲は委託先調査中」

事例2｜退職者のIDが残っていた

状況：立入検査前の点検で、3か月前に退職した薬剤師の電子薬歴IDが有効なまま残っていた。

考え方：直ちに停止し、最終ログイン日時と操作履歴を確認します。不正利用の有無を調べ、退職手続きのチェックリストに「システムID停止」「端末返却」「鍵・カード返却」を追加します。

再発防止：人事の退職情報と情報システムのアカウント停止を連動させ、毎月の在籍者照合を店長業務にします。

事例3｜電子薬歴が朝から開けない

状況：開局時に複数端末で電子薬歴へ接続できず、委託先からサイバー攻撃の可能性があると連絡があった。

薬剤師の判断：障害範囲と復旧見込みを確認し、紙運用へ切り替えます。新規患者、ハイリスク薬、腎機能に応じた調整が必要な薬、重複・相互作用の懸念がある処方を優先的に精査します。安全確認が不足する場合は医療機関へ照会し、交付時期の調整も検討します。

復旧後：紙記録を二人で照合して電子薬歴へ転記し、障害中の処方、疑義照会、服薬指導、未完了フォローを一覧化します。「復旧したから終わり」にせず、転記漏れと患者影響を確認します。

後輩薬剤師なぎさ

訓練というと大がかりに感じます。小さな薬局では何をすればいいですか？

ゆずまる

まずは30分で十分です。「電子薬歴が2時間止まった」と想定し、誰へ電話するか、紙で何を記録するか、どの患者を優先するかを実際に確認しましょう。

スタッフ教育は「禁止事項」だけで終わらせない

毎月5分で確認する教育テーマ

• 不審メール・SMSの見分け方と報告先
• パスワードの使い回し禁止と二要素認証
• 私物USB・個人クラウド・私物端末の扱い
• 離席時の画面ロック、紙の患者情報の放置防止
• 退職・異動・応援者のアカウント手続き
• 警告画面、急な動作低下、見慣れないログイン通知への対応
• システム停止時の紙運用と患者への説明

患者への説明例

「サイバー攻撃です」と未確認の段階で断定したり、逆に障害を隠したりせず、分かっている事実、患者への影響、代替手段、見込みを簡潔に伝えます。

管理薬剤師が本部・開設者へ伝える文面例

依頼は「危ないと思います」だけでなく、根拠、現状、患者影響、必要な対応、担当、期限をセットにすると動きやすくなります。

立入検査前にそろえる証拠書類

チェックリストの「はい」は、書類を作っただけでなく、現場が手順を説明し実行できる状態を意味します。未達がある場合は隠さず、リスク、暫定措置、担当、期限を明記した改善計画を作ります。

関連記事：薬局の管理簿・管理記録を実務で整える方法

あわせて読みたい：管理薬剤師になる前に確認したい責任と職場環境

明日から始める30日改善計画

法令遵守、行政対応、管理薬剤師の店舗管理を体系的に整理したい方は、著書『はじめての管理薬剤師完全ガイド』も学習の選択肢です。内容と購入方法は著書一覧ページで確認できます。

まとめ｜守るべきものはデータだけではなく調剤の安全

ゆずまる

完璧な防御を一日で作るのではなく、資産・人・契約・バックアップ・代替運用を順番に整えます。最優先は、異常を早く見つけ、患者安全を守りながら業務を継続・復旧できることです。

• 第7.0版と2026年度チェックリストを起点に、未達項目を改善計画へ落とす
• 薬局・本部・保守事業者の責任分界を契約と手順書で明確にする
• 資産台帳と個人別アカウントを整え、退職・異動時に即停止する
• 更新、二要素認証、USB制限、ログ確認を多層的に実施する
• 攻撃から分離されたバックアップを持ち、復元試験を行う
• 電子薬歴停止中の紙運用と患者への説明方法を準備する
• 年1回以上の訓練と毎月の短時間教育で、手順を現場に定着させる

よくある質問

Q1．クラウド型電子薬歴なら薬局側の対策は不要ですか？

不要ではありません。サーバー保守を委託していても、職員ID、端末、パスワード、ネットワーク、紙運用、事故連絡は薬局側の管理が残ります。契約書で責任分界を確認してください。

Q2．一人薬剤師の小規模薬局もガイドラインの対象ですか？

対象です。規模に応じた実装は可能ですが、患者情報を扱う以上、責任者、資産把握、アカウント、バックアップ、事故対応などの基本対策は必要です。

Q3．管理薬剤師がITに詳しくないと違反になりますか？

IT専門家である必要はありません。ただし、必要な管理を放置してよいわけではありません。本部や事業者へ確認し、現場運用と連絡体制を整え、説明できる状態を作ります。

Q4．パスワードは何文字にすればよいですか？

2026年度チェックリストでは、二要素認証なしなら13文字以上、二要素認証ありなら8文字以上が目安です。使い回しを避け、システムの最新仕様と組織の規程も確認してください。

Q5．USBメモリは全面禁止にすべきですか？

原則禁止は有効ですが、業務上必要な場合は組織が許可した暗号化媒体に限定し、利用者、日時、目的、データ消去、保管を管理します。私物媒体は使用させません。

Q6．バックアップが毎日成功していれば十分ですか？

十分とは限りません。感染したデータを保存している可能性、同時暗号化、設定不足があるため、複数世代、分離保管、定期的な復元試験まで確認します。

Q7．立入検査で未達項目があったらどうしますか？

未達を把握した時点で、暫定措置、責任者、期限、予算を定めた改善計画を作成してください。回答だけ「はい」にせず、実際の書類・運用と一致させることが重要です。

Q8．サイバー攻撃時も処方箋を受け付けなければなりませんか？

患者の緊急性、利用可能な代替手段、安全確認の可否、地域の受入先を総合して判断します。システムが止まったことだけで一律に結論づけず、紙運用、医療機関への照会、他薬局への責任ある案内を検討します。安全な調剤ができない場合は、理由と代替手段を丁寧に説明し記録してください。

参考文献

1. 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」URL：https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html（最終確認日：2026年07月26日）
2. 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版 概要編」URL：https://www.mhlw.go.jp/content/10808000/001716290.pdf（最終確認日：2026年07月26日）
3. 厚生労働省「医療機関等におけるサイバーセキュリティ対策チェックリスト（令和8年度版）」URL：https://www.mhlw.go.jp/content/10808000/001716185.pdf（最終確認日：2026年07月26日）
4. 厚生労働省「薬局、医薬品販売業等」URL：https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iyakuhin/yakkyoku_yakuzai/index.html（最終確認日：2026年07月26日）
5. 厚生労働省「医療機関等におけるサイバーセキュリティ対策チェックリストマニュアル（令和8年度版）」URL：https://www.mhlw.go.jp/content/10808000/001716186.pdf（最終確認日：2026年07月26日）
6. 厚生労働省「医療機関におけるサイバーセキュリティ対策の強化について」URL：https://www.mhlw.go.jp/web/t_doc?dataId=00tc7989&dataType=1&pageNo=1（最終確認日：2026年07月26日）

※本記事は2026年7月26日時点の公表資料を基にした一般的な実務解説です。個別のシステム構成、契約、事故報告、法的判断は、薬局開設者、所管行政、委託事業者、専門家へ確認してください。