医療機関・薬局のサイバーセキュリティ対策は、いまや「やっておいたほうがよいこと」ではなく、立入検査で確認される事項になりました。令和8年度版の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」には、医療機関・薬局が自ら確認する項目が19並んでいます。
その19項目のうち、多くの現場で最後まで残りやすいのが「２ 医療情報システムの管理・運用」の⑭、接続元制限を実施しているという一行です。台帳や連絡体制図のように「書類をつくれば終わり」ではなく、ネットワークの設定そのものを変える話に見えるためです。
ただ、厚生労働省のマニュアルを読むと、求められているのは大がかりなネットワーク再構築ではありません。接続元を限定できている状態をつくることであり、その手段はいくつか示されています。この記事では、チェックリストの全体像、⑭が具体的に何を求めているのか、そしてもっとも運用が軽い「IPアドレスによる限定」を現実に成立させる方法までを整理します。
先に結論：⑭「接続元制限」の要点
| 論点 | 結論 |
|---|---|
| いつまでに対応するか | 令和8年度中に全項目が「はい」になるよう取り組む。立入検査では確認日と回答の記入が確認される |
| ⑭は何を求めているか | IPアドレス・MACアドレス・電子証明書などを用いて、接続元を限定すること |
| MACアドレスで足りるか | マニュアルに「効果は限定的」と明記されている。IPアドレスや電子証明書との併用が前提 |
| IPアドレス制限の壁 | 接続元のIPアドレスが変わると許可リストが破綻する。だから接続元IPを固定する必要がある |
| 固定IPで前進する項目 | ⑭だけでなく、⑫（サーバ二要素認証のみなし措置）・⑬（アクセスログ）・②（リモートメンテナンスの外部接続点）にも効く |
医療機関・薬局のご担当者さまへ
チェックリストの
「接続元制限」を
月額490円から
「ロリポップ！固定IPアクセス」は、回線工事もルーター設定も不要で固定IPアドレスを1つ用意できるVPN型サービスです。院内のネットワーク構成を変えずに、接続元を限定する運用を始められます。
VPN型固定IPサービス
国内最安値※1
実測調査で
VPN通信最速※2
情報セキュリティ
ISMS認証取得
無料期間はお申し込み月＋翌月末まで。ひとつ目の固定IPアドレス・最大10ライセンスまで適用されます。
令和8年度版チェックリストの全体像
チェックリストは、厚生労働省が公表している「医療情報システムの安全管理に関するガイドライン」のうち、医療機関等が優先的に取り組むべき事項を抜き出してまとめたものです。ガイドライン本体は分量が多く、専任のIT担当者がいない診療所や薬局が通読するのは現実的ではありません。そのための入口がこのチェックリストにあたります。
確認用紙は2種類あります。医療機関・薬局が自ら記入する「医療機関・薬局確認用」と、電子カルテベンダーや保守業者に記入してもらう「事業者確認用」です。複数のシステムを使っている場合は、システムを提供している事業者ごとに提出を求め、回収しておく必要があります。
医療機関・薬局確認用の項目は、次の4区分・全19項目で構成されています。
| 区分 | 項目数 | 主な内容 |
|---|---|---|
| １ 体制構築 | 1 | 医療情報システム安全管理責任者の設置 |
| ２ 医療情報システムの管理・運用 | 14 | 台帳管理、アカウント管理、パスワード、二要素認証、アクセスログ、接続元制限 など |
| ３ インシデント発生に備えた対応 | 3 | 連絡体制図、バックアップと復旧手順、BCPの策定 |
| ４ 規程類の整備 | 1 | 1〜3の実施方法を運用管理規程等に定める |
対応の期限と検査での扱いは、マニュアルに次のように整理されています。
- 令和8年度中に、すべての項目で「はい」にマルが付くよう取り組む
- 「いいえ」の場合は、令和8年度中の対応目標日を記入する
- 少なくとも年に1回はチェックリストを用いた点検を実施する
- 立入検査では、すべての項目について確認日と回答等が記入されていることを確認する
- 2-①の台帳、3-①の連絡体制図、3-③のBCP、4-①の規程類は現物を確認される
メモ
「事業者確認用」には「対象外」という選択肢があります。これは保守契約の範囲外という意味で、その項目の責任は医療機関・薬局側が負うことになります。
ベンダーから返ってきたチェックリストに「対象外」が並んでいる場合は、そこが自院で手当てすべき範囲です。⑭の接続元制限もここに入りやすい項目のひとつです。
⑭「接続元制限」が実際に求めていること
チェックリスト本体の記載は「⑭ 接続元制限を実施している。（ネットワーク機器）」の一行のみです。何をすれば「はい」と答えられるのかは、同時に公開されているマニュアルに書かれています。
システム運用担当者は、例えばIPアドレスやMACアドレス、電子証明書等を用いて接続元を限定することで、不正アクセス対策を実施してください。
つまり求められているのは、接続してよい相手をあらかじめ決めておき、それ以外を通さない状態です。手段は指定されておらず、代表例として3つが挙げられています。ただし、この3つは運用のしやすさが大きく違います。
| 手段 | やること | 運用のしやすさ | 留意点 |
|---|---|---|---|
| IPアドレス | 許可する接続元IPアドレスをシステム側に登録する | 設定は基本的に1回。以降は追加のみ | 接続元のIPアドレスが変わると成立しない |
| MACアドレス | 端末固有の番号を機器に登録する | 端末を増やすたびに登録が必要 | マニュアルに「効果は限定的」と明記されている |
| 電子証明書 | 端末・利用者に証明書を配布する | 発行・更新・失効の管理が継続的に発生する | 仕組みとしては強固だが、導入・運用の負荷が高い |
マニュアルはMACアドレスについて、補足で次のように注意を促しています。
MACアドレスによるアクセス制限の効果は限定的であることに留意する必要がある
MACアドレスは詐称が容易で、それ単体を根拠に「接続元制限を実施している」と説明するのは心もとない、ということです。電子証明書は堅牢ですが、証明書の配布・更新・失効を回す体制が必要で、IT担当者がいない規模の施設には重い選択肢になります。
消去法ではなく実務の観点でも、接続元をIPアドレスで限定する方法がもっとも現実的です。電子カルテのクラウドサービスも、グループウェアも、オンライン資格確認まわりの管理画面も、たいていは「許可するIPアドレス」を登録する欄を持っています。設定自体は、その欄に1行足すだけの作業です。
それでもIPアドレス制限が「続かない」のはなぜか
設定が1行で済むのに、IPアドレス制限が定着しない施設は少なくありません。理由はひとつで、接続元のIPアドレスが勝手に変わるからです。
多くのインターネット回線は、契約時に固定IPアドレスを指定しない限り動的IPアドレスになります。ルーターの再起動、回線側のメンテナンス、機器の入れ替えといったきっかけで、ある日突然IPアドレスが変わります。許可リストに登録したIPアドレスと実際の接続元がずれた瞬間、職員全員が電子カルテにログインできなくなります。
一度この事故が起きると、現場では「IP制限は危ないから外しておこう」という判断になりがちです。チェックリストの⑭が埋まらない施設の多くは、対策を知らないのではなく、一度やってみて運用が破綻したというほうが実情に近いはずです。
回線のIPアドレスが変わって、朝いちばんに電子カルテへ入れなくなった
VPN型の固定IPアドレスは回線契約から独立しているため、回線側でIPアドレスが変わっても、システムから見た接続元は常に同じ固定IPアドレスのままです。
訪問診療先や自宅から接続すると、そのたびに接続元が変わってしまう
院内・自宅・訪問先・モバイル回線のどこから接続しても、VPNを経由するため同じ固定IPアドレスで出ていきます。許可リストは1行のままで運用できます。
分院や薬局が複数あり、拠点ごとに回線もIPアドレスもバラバラ
拠点ごとに回線を契約し直す必要はありません。ひとつの固定IPアドレスを複数ライセンスで共有できるため、拠点や職員が増えても登録するIPアドレスは1つです。
保守ベンダーがどこから入ってきているのか把握できていない
保守用に別のライセンスを発行して接続元を限定すれば、外部接続点を台帳に書ける形で管理できます。2-②の確認にもそのまま使えます。
固定IPを1本用意すると、複数のチェック項目が同時に前進する
接続元IPアドレスを固定することの効きどころは、⑭だけではありません。チェックリストの他の項目にも、同じ仕組みが効きます。
| チェック項目 | 固定IPアドレスがどう効くか |
|---|---|
| ２-⑭ 接続元制限を実施している | 電子カルテ・グループウェア・各種クラウドサービスの許可リストに固定IPアドレスを1つ登録するだけで、接続元を限定できる |
| ２-⑫ OSログイン時の二要素認証 | みなし措置の条件に「医療機関等の外部からの接続はVPNを経由し、踏み台端末へのRDP・SSH等による接続に限定する」とある。VPN経由かつ接続元が固定された状態は、この条件をそのまま満たす方向に働く |
| ２-⑬ アクセスログを管理している | 接続元IPアドレスが固定されていれば、ログ上で「いつ・誰が・どこから」を追える。動的IPアドレスのままだと、同一の利用者を時系列で追跡することが難しい |
| ２-② リモートメンテナンスの外部接続点 | 保守業者の接続元を固定IPアドレスに限定すれば、外部接続点を把握して台帳に反映し、事業者にも確認しやすくなる |
とくに⑫は見落とされがちです。サーバのOSログインに二要素認証を実装するには院内システムの大規模な作り直しが必要になることがあるため、マニュアルは「みなし措置」を用意しています。その条件のひとつが、外部からの接続をVPN経由かつ踏み台端末への接続に限定することです。二要素認証そのものを入れる前に、接続経路を絞るという打ち手が先に立つ構造になっています。
踏み台端末を使った運用の考え方は踏み台サーバー（要塞ホスト）の運用管理、ログを監査に耐える形で残す考え方はアクセス管理と監査ログでも整理しています。
固定IPだけで全項目が埋まるわけではありません
誤解のないように書いておくと、IPアドレス制限は「どこから来たか」を見る対策であり、「誰が来たか」は判別できません。許可した端末や認証情報が持ち出されれば、許可済みのIPアドレス経由でも侵入されます。
- 二要素認証（⑪⑫）は別途必要
接続元制限は認証の代わりにはなりません。組み合わせて多層で守るのが前提です。 - アカウント管理（④⑤）も並行して進める
退職者アカウントが残っていれば、接続元を絞っても内側から破られます。 - 実施方法は規程に落とす（４-①）
設定しただけでは不十分で、運用管理規程等に手順として記載しておく必要があります。
「ロリポップ！固定IPアクセス」で接続元制限を実装する
「ロリポップ！固定IPアクセス」は、専用のVPNを経由することで固定IPアドレスを利用できるサービスです。回線契約とは切り離されているため、いま使っている回線・プロバイダをそのままに、固定IPアドレスだけを追加できます。
医療機関・薬局の環境で扱いやすいのは、次の3点です。
- 回線工事もルーター設定も不要。院内ネットワークの構成やオンライン資格確認まわりの配線に手を入れずに導入できます
- 回線にひも付かないため、院内・分院・訪問診療先・職員の自宅のどこから接続しても、同じ固定IPアドレスで出ていきます
- 1つの固定IPアドレスを複数ライセンスで共有できるため、利用者が増えてもシステム側に登録するIPアドレスは1つのままです
導入の流れは4ステップです。
料金はライトプランで月額490円（税込539円）〜、初期費用は0円です。10ライセンス以上をまとめて使う場合はスタンダードプラン（1ライセンスあたり月額450円（税込495円）・10ライセンスから）が選べます。お申し込み月と翌月末までは無料で使えるため、電子カルテやクラウドサービスごとの動作確認を済ませてから本格導入するという進め方ができます。
まずは無料期間で、接続元制限が問題なく回るか確かめてください
申し込みは最短5分。工事も書類のやり取りも不要です。分院を含む全体導入や、稟議に必要な資料のご相談は導入相談から承ります。
無料でお試し（最大2ヶ月）立入検査までに進めておきたい順番
⑭にいきなり着手すると、どのシステムに何を登録すればよいかが分からず止まります。次の順で進めると手戻りが出にくくなります。
- 2-①の台帳を先に作る。サーバ・端末・ネットワーク機器と、それぞれがどこから接続されているかを書き出します。⑭で絞るべき対象は、この台帳からしか出てきません
- システムごとに接続元制限の可否を確認する。電子カルテやクラウドサービスの管理画面に許可IPアドレスの登録欄があるかを確認し、なければベンダーに問い合わせます
- 固定IPアドレスを用意し、許可リストに登録する。無料期間のあるサービスであれば、この段階で費用は発生しません
- 弾かれることまで確認する。許可した経路で入れることだけでなく、許可していない経路で入れないことを必ず確認します
- 運用管理規程に実施方法を書く（4-①）。設定内容、変更時の手順、担当者を記載しておくと、立入検査で説明しやすくなります
医療DXの全体像や、電子カルテ導入とあわせた進め方はクリニック向けIT活用アイデア、医療機関における固定IPの位置づけは医療機関における固定IP活用もあわせてご覧ください。
よくある質問
電子カルテのベンダーから「固定IPアドレスを用意してください」と言われました
クラウド型の電子カルテでは、サーバ側をインターネットに直接公開せず、登録された固定IPアドレスからのアクセスだけを許可する構成が一般的です。この場合、回線側で固定IPアドレスを契約する方法のほかに、VPN型の固定IPサービスを使う方法があります。VPN型なら回線契約を変更せずに済み、院外の端末からも同じIPアドレスで接続できます。
院内にIT担当者がいなくても導入できますか
導入作業は、申し込み・アプリのインストール・設定ファイルの読み込みの3つで、いずれもWeb上で完結します。ルーターやファイアウォールの設定変更は不要です。許可リストへの登録先が分からない場合は、電子カルテベンダーに「接続元IPアドレスの登録方法」を確認すると話が早く進みます。
ライセンスは何人分必要ですか
同時に接続する端末の数だけ必要です。医師・看護師・事務職員がそれぞれ自分の端末から接続するなら、その人数分を用意します。ライセンスを増やしても、システム側に登録する固定IPアドレスは1つのままなので、許可リストの管理は増えません。
固定IPを導入すれば、立入検査で「はい」と答えてよいのでしょうか
固定IPアドレスを契約しただけでは不十分です。⑭が求めているのは接続元を限定できている状態なので、実際に電子カルテやクラウドサービス側で許可リストを設定し、許可外からのアクセスが遮断されることを確認したうえで「はい」と記入してください。あわせて、その実施方法を運用管理規程に記載しておくと、検査時に設定の根拠を説明しやすくなります。
見積書や稟議用の資料はもらえますか
Webから見積書の発行とサービス資料のダウンロードができます。分院を含む全体導入やセキュリティチェックシートへの対応が必要な場合は、導入相談から担当者がサポートします。
まとめ
令和8年度版チェックリストの⑭「接続元制限」は、ネットワークを作り直す話ではなく、接続してよい相手を決めて、それ以外を通さない状態をつくるという話です。
- 手段としてIPアドレス・MACアドレス・電子証明書が例示されているが、MACアドレスは「効果が限定的」と明記されており、運用が軽いのはIPアドレスによる限定
- IPアドレス制限が定着しない最大の理由は、接続元のIPアドレスが変わること。接続元を固定できれば運用は続く
- 接続元IPアドレスの固定は、⑭だけでなく⑫のみなし措置・⑬のアクセスログ・②の外部接続点の把握にも効く
- ただしIPアドレス制限は「どこから」しか見ない対策。二要素認証やアカウント管理と組み合わせる前提で考える
まずは台帳で接続元を洗い出し、無料期間のあるサービスで1系統だけ接続元制限を試してみてください。1つ通れば、残りのシステムは同じ手順の繰り返しになります。
接続元制限を、今日から1系統だけ試す
「ロリポップ！固定IPアクセス」なら、回線工事もルーター設定もなしで固定IPアドレスを用意できます。お申し込み月＋翌月末まで無料で、検証だけでも費用はかかりません。
無料でお試し（最大2ヶ月）本記事は、厚生労働省「令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」および同「チェックリストマニュアル〜医療機関・薬局・事業者向け〜」（2026年7月7日改定）の記載に基づいています。制度の内容は改定される場合があるため、対応にあたっては必ず厚生労働省が公表する最新版をご確認ください。
※1 国内の主要な「VPN型固定IPアドレス提供サービス」4社（自社を含む）の月額基本料金および初期費用を比較。2026年5月18日時点、自社調べ。各社の期間限定キャンペーン等は除外した、通常料金での比較に基づきます。
※2 国内主要VPN型固定IPサービス4社を対象とした、応答速度の比較調査において。2026年5月12日〜5月14日、自社による実測調査に基づく平均値。本サービスはベストエフォート型サービスであり、通信速度および遅延は、お客様の利用環境や回線の混雑状況により変動します。特定の環境下での実測値であり、常に最速を保証するものではありません。
※ 無料期間はお申し込み月＋翌月末までです。ひとつ目の固定IPアドレスのみに適用され、上限は10ライセンスです。2つ目以降の固定IPアドレスは初月からご利用料金が発生します。
