「電子カルテが止まった医療機関のニュースを見た院長から、うちは大丈夫かと聞かれた。何と答えればいいのか分からない」——情報システム担当者や事務長から、この種の相談を受ける機会が増えています。対策メニューは手元にあるものの、自院がどこまでできていて何が抜けているのかを説明する材料がない、というのが実情だと思います。
本記事では、報じられている被害の入り方を整理したうえで、対策を「入られないための対策」と「入られた後も診療を続けるための対策」に分けて設計する考え方をまとめます。3省2ガイドラインの要件をこの二軸に対応づける方法と、自院の現状を測るチェック項目まで扱います。
報じられている被害の入り方
国内の複数の医療機関で、ランサムウェアによって電子カルテが停止し、外来や手術の受け入れを一時的に制限したという事案が報じられています。公表される情報の粒度には差がありますが、繰り返し語られるのは、攻撃の起点が未知の高度な手口というより、外から到達できる既知の弱点だったという点です。
医療機関に固有の事情として、電子カルテや部門システムの保守を外部ベンダーに委ねる構造があります。保守用の接続経路は夜間・休日の障害対応のために常時つながったままの場合があり、院内の担当者がその存在と設定を把握しきれていない状態も見受けられます。
侵入経路を型で分けて眺める
「どこから入られたか」を製品カテゴリではなく、院内の状態で並べてみます。
| 経路 | よくある状態 | そこで起きること |
|---|---|---|
| インターネット公開されたVPN機器 | ファームウェアが数年前のまま。退職者や旧ベンダーのアカウントが残っている | 既知の脆弱性や漏えい済みの認証情報を使い、外部から院内ネットワークに到達される |
| リモート保守用の接続経路 | ベンダーごとに個別の経路があり、院内に一覧が存在しない | 委託先の環境が侵害された場合、そこを踏み台にして院内へ入られる |
| 職員の業務端末 | 同じ端末でインターネット閲覧・メールと電子カルテ操作を兼ねている | 端末が侵害されたとき、電子カルテ側のネットワークまで見通されてしまう |
| 院内ネットワークの構成 | 医事・部門システム・検査機器が同一セグメントに同居している | 1台の侵害が短時間で全体に広がり、被害範囲の切り分けができない |
| 持ち込み端末・保守用の外部媒体 | 接続の台帳がなく、誰がいつ何をつないだか追えない | 侵入経路の特定に時間がかかり、復旧を始める判断が遅れる |
目を引きやすいのは1行目のVPN機器ですが、実務で厄介なのは2行目と4行目です。前者は自院の管理台帳の外にあり、後者は意識して分けない限り平坦なままになります。
規模ではなく到達可能性で決まる
インターネット側からの探索は自動化されており、対象を選ばず応答した機器を順に試す型が一般的だと報じられています。「この規模なら狙われるはずがない」という前提は、この構造とかみ合いにくい部分があります。判断の軸を規模から「外から届く経路がいくつ開いているか」に置き換えると、自院の状況を測れます。
電子カルテが止まると、何が止まるのか
復旧計画を組むときの出発点は、止まるのが電子カルテの画面だけではないという確認です。処方・オーダ・予約・会計・部門システムの参照が連鎖して止まると、診療の順序そのものを組み直すことになります。検査結果が院内で回らない、退院の判断に要る記録が引けない、といった影響が同時に出ます。
紙運用は「戻せる状態」になっているか
システム障害時は紙運用に切り替える、と院内規程に書いている医療機関は多くあります。ただし切り替えが想定どおり動くかは、2つの条件に左右されます。紙の様式が現在の運用と整合しているか。そして、直近の処方内容・アレルギー情報・予約患者リストを、システムとは別の場所から参照できるか。後者のために、数日分の患者リストと投薬内容を定期的に別媒体へ出力する施設もあります。
戻す順番をあらかじめ決める
全システムを同時に復旧させるのは現実的ではないため、再開に要る順番を先に決めておくと有事の判断が速くなります。受付と患者識別、処方とオーダ、会計とレセプト、というように診療の流れに沿って並べ、どこまで戻れば何を再開できるかを診療部門と合意しておく形です。順番は情報システム部門だけでは決められないため、平時に議論する価値があります。
対策を二軸に分けて設計する
「入られないための対策」と「入られた後に診療を続けるための対策」は、目的も費用の性質も異なります。同じ袋に入れると、投資判断のときに効果を説明しづらくなります。
| 軸 | 目的 | 代表的な打ち手 | 手当てが薄いと起きること |
|---|---|---|---|
| 平時：入口を減らす | 外部から到達できる経路を減らす | 外部公開資産の棚卸し、機器の更新方針、多要素認証、アカウントの定期棚卸し | 既知の弱点が残り、そこが起点になる |
| 平時：広がりを止める | 侵入されても被害範囲を限定する | ネットワーク分離、権限の最小化、ログの集約と保全 | 1台の侵害が全体に波及し、切り分けに時間を取られる |
| 有事：診療を続ける | システムが止まっても診療を継続する | 紙様式と直近データの代替出力、診療制限の判断基準、対外説明の手順 | 現場の判断が属人化し、混乱が長引く |
| 有事：戻す | データとシステムを復元する | 世代管理されたバックアップ、オフライン保管、復元テスト、復旧順序の文書化 | バックアップごと暗号化され、戻す先が残らない |
分けて考える効き目は、経営層との会話に現れます。「セキュリティ対策一式」で予算要求すると効果が伝わりにくい一方、「診療を何時間で戻すための投資か」と置き換えると、他の設備投資と同じ土俵で比較できます。有事側は文書と訓練が中心のぶん後回しになりがちなだけに、この置き換えが効きます。
復旧計画をどこまで詰めるか
有事側の中核が復旧計画です。すでに計画がある場合も、下記の3点は確認したいところです。
バックアップは3点で確認する
- 世代：日次1世代のみだと、侵害の発覚が遅れた場合に暗号化後のデータで上書きされている可能性が残ります。週次・月次を含む複数世代を保持する設計が一般的です
- 保管場所：同一ネットワーク上のバックアップは、本番データと同時に暗号化されうる位置にあります。ネットワークから切り離した媒体、または書き換えできない設定で保持する領域を1つ持っておく考え方があります
- 復元テスト：取得成功のログは、復元できることの証明にはなりません。年1回でも別環境へ実際に戻す試験を行い、所要時間を記録しておくと、有事の見通しが立てやすくなります
復旧目標を診療の単位で置く
復旧目標時間（RTO）と復旧目標時点（RPO）は、システム単位で置かれることの多い指標です。院内で合意を取るなら「電子カルテを◯時間で復旧」より「外来を◯時間後に通常の何割で再開する」という置き方のほうが、診療部門と共有しやすくなります。システム側の数値は、その目標から逆算する順序です。
訓練で確かめておきたいこと
机上訓練の範囲でも確認できることは少なくありません。誰が誰に何分以内に連絡するか。意思決定者が不在の時間帯に誰が代行するか。保守ベンダー・所管の保健所・警察・個人情報保護委員会への連絡先と、報告に踏み切る判断基準はどこか。記録は事後の説明資料としても機能します。
3省2ガイドラインでも、非常時の対応と事業継続の観点は独立した論点として扱われています。全体の構成と委託先管理の実務は、下記の記事で整理しています。
委託先・保守ベンダーを自院の設計に含める
自院の境界の外にある経路も、自院のセキュリティ設計の一部として扱うのが実務的です。契約更新やベンダー選定で確認したい項目を挙げます。
- 保守用の接続経路の一覧——誰が、どの端末から、どの経路で接続するか
- 接続時の認証方式——共有アカウントでないか、多要素認証が入っているか
- 接続ログの保存先——ベンダー側と自院側のどちらに、どのくらいの期間残るか
- ベンダー側でインシデントが起きた場合の通知——連絡先、想定リードタイム
- 再委託先の把握——監視・開発・サポートの下請け構造を確認できるか
- 契約終了時の手順——アカウント停止、経路の閉塞、データ返却または削除の証跡
5番目の再委託先は、内部監査で指摘を受けやすい領域です。契約書には事前承諾を得ると書かれているのに、運用は包括承諾で回っていて全容を把握できていない、というパターンが典型です。AIサービスを併用する場合の契約条項の見方は別記事で扱っています。
外部接続が増える局面での確認
制度対応を進めると、外部とつながる経路そのものが増えます。電子カルテ情報共有サービスへの接続や、加算要件に伴うオンライン資格確認の対応は、新しい接続点を院内に持ち込みます。接続先ごとに責任分界とログの所在を先に確認しておくと、後の整理が楽になります。
3省2ガイドラインの要件を二軸に読み替える
院内で説明するとき、ガイドラインの章立てのまま持ち出すと分量に圧倒されがちです。前述の二軸に対応づけると、どの要件が何のためにあるのかを短く伝えられます。
| ガイドラインの領域 | 平時側での読み替え | 有事側での読み替え |
|---|---|---|
| 医療情報システムの安全管理 | アクセス制御、ID管理、ネットワーク分離、機器の更新 | ログの保全（原因調査に使える形で残す） |
| 委託先の監督 | 保守経路の把握、選定基準の文書化 | ベンダー側インシデント時の通知と役割分担 |
| 非常時の対応・事業継続 | 復旧順序と代替手段の事前決定 | 訓練の実施、実際の切り替え運用 |
| インシデント対応 | 検知の仕組みと監視体制 | 報告先と時限、再発防止策の文書化 |
厚生労働省版のガイドラインは第6.0版が公表されており、サイバー攻撃対策やクラウド利用の記述が改定のたびに更新されてきました。版数と内容は改定で変わるため、最新版は厚労省・経産省・総務省の各サイトで確認する前提でお読みください。医療法施行規則にも、医療機関の管理者にサイバーセキュリティ確保の措置を求める規定が置かれています。
同省は医療機関向けのサイバーセキュリティ対策チェックリストも公表しており、立入検査の場で確認対象に含まれる運用が進んでいます。様式は年度で更新されるため、最新版を取得して使う形になります。
自院の位置を測るチェック項目
監査前や経営層への報告前の棚卸しに使える形で、8項目に絞って整理します。
| 確認する問い | 「できている」と言える状態 | 未達のときの最初の一手 |
|---|---|---|
| 外部公開資産を把握しているか | 外から到達できる機器・サービスの一覧が更新されている | 一覧を作る（機器名・設置目的・保守担当・更新状況） |
| 機器の更新を追えているか | 更新の適用状況を管理台帳で確認できる | ベンダーに更新方針とサポート提供期限を書面で確認 |
| アカウントを棚卸ししているか | 退職者・異動者・旧ベンダーのIDが定期的に見直されている | 直近1年の入退職リストとID一覧を突合 |
| 外部からの接続に多要素認証があるか | VPNと保守経路の双方に適用されている | 保守経路から優先して適用を検討 |
| バックアップを説明できるか | 世代・オフライン保管・復元テストの3点を答えられる | 復元テストの実施日をまず決める |
| 復旧順序が決まっているか | 診療再開に要るシステムの順番が文書化されている | 診療部門と一緒に順番を仮置きする |
| 訓練を実施しているか | 年1回、机上でも実施し記録が残っている | 次回の日程を先に押さえる |
| 委託先の経路を管理しているか | 保守経路の一覧と、事故時の通知の取り決めがある | 次の契約更新時に条項の追加を提案 |
「できている」項目を数えるより、未達の項目に次の一手を書けるかどうかを見たほうが、報告資料としては機能します。
AIBTRUSTでの取り組み
前提として、院内ネットワークや職員端末の防御は医療機関側の領域に残ります。クラウドを導入してもそこは自動的に解決しません。そのうえで担っている範囲を記します。
ヘルスインタビューは、問診と同意管理をクラウド側で担うプラットフォームです。データは国内のデータセンターで運用し、患者データへのアクセス・利用履歴は改ざん検知が可能な形で保全しています。ログの保全は平時の監査だけでなく、有事の原因調査にも効く部分です。いつ誰がどの情報に触れたかを時系列で示せるかどうかが、調査と報告の速度を左右します。
委託先・再委託先の一覧、責任分界、インシデント時の報告リードタイムは契約書と付属文書で明示しています。サービス構成はヘルスインタビューのサービスページにまとめています。
よくある質問
Q. 小規模なクリニックでも狙われるものでしょうか？
攻撃の探索は自動化されており、対象を選ばずインターネット側から到達できる機器を機械的に走査する型が報じられています。規模より「外から届く経路がいくつ開いているか」で状況が決まる面が大きくなります。まずは外部公開している機器と保守用の接続経路の棚卸しから始めるのが現実的です。
Q. バックアップは毎日取得しています。これで復旧できると考えてよいですか？
取得しているだけでは判断が難しいところです。同じネットワーク上のバックアップは、侵害時に本番データと一緒に暗号化される可能性があります。世代（何日前まで戻せるか）・保管場所（切り離した領域があるか）・復元テスト（実際に戻したことがあるか）の3点で、復旧の見込みを説明できます。
Q. クラウドサービスを使えば、セキュリティは事業者側に任せられますか？
責任分界によります。サーバやインフラの防御は事業者側の領域ですが、利用者IDの管理・権限設定・院内端末の状態は医療機関側に残るのが一般的です。契約書とSLAでどの領域を誰が持つかを書き分けておくと、監査でも事故時でも説明が通ります。
Q. サイバー保険に加入していれば、復旧計画は省略できますか？
保険は復旧に要した費用や損害の一部を補うもので、止まった診療そのものを戻す手段ではありません。加入時や更新時に対策状況の申告を求められる場合もあります。費用面の備えと、診療を戻すための計画は別々に用意しておくのが安全です。
Q. 予算も人手も限られています。何から着手するとよいですか？
外部から到達できる経路の一覧化と、バックアップの復元テストの2つが、費用をかけずに着手でき、判断材料として効きやすい項目です。前者は守るべき入口の数を、後者は戻るまでの時間を可視化します。この2つが出そろうと、投資の優先順位を議論しやすくなります。
まとめ
報じられている入口は、外から到達できる既知の弱点と、管理台帳の外にある保守経路に集中しています。対策を、そこを塞ぐ側と、塞ぎきれなかったときに診療を続けて戻す側に分けると、院内での説明と投資判断がかみ合いやすくなります。
次の一手を1つ選ぶなら、外部から到達できる機器と保守経路の一覧づくりです。ここが埋まると、更新の優先順位も、委託先への確認事項も、復旧計画で守るべき範囲も、同じ1枚から議論できます。
自院の構成に合わせた進め方や委託先への確認事項は、医療機関向けのお問い合わせからご相談ください。