「ウイルス対策ソフトは全端末に入っています」——医療機関でセキュリティの現状を聞くと、まずこの答えが返ってきます。実際、多くの病院・クリニックでパターンファイル型のウイルス対策は導入済みです。問題は、それで何が防げていて、何が防げていないのかが院内で共有されていないことにあります。
近年はEDR（Endpoint Detection and Response）という言葉を目にする機会が増えました。ベンダーからの提案にも入ってくるでしょう。ただ、この製品カテゴリは名前のとおり Detection（検知）と Response（対応） が対になっており、買って入れれば守られる種類の製品ではありません。検知した内容を誰かが見て、判断して、端末を止めるなり調査するなりの行動を取って初めて意味を持ちます。ここを詰めずに導入すると、アラートだけが溜まり、誰も見ない画面が増えます。
本記事は、医療機関の情報システム担当者・事務長が、ウイルス対策とEDRの導入・見直しを判断するための整理です。製品比較はしません。何を防ぐために、どこまでの運用体制を用意するのかという設計の話に絞ります。
免責：本記事は一般的な情報提供です。医療情報システムの安全管理に関する要求事項は、厚生労働省「医療情報システムの安全管理に関するガイドライン」および関係省庁の公表資料が正本です。診療報酬上の要件については、厚生労働省の公表資料および疑義解釈をご確認ください。
従来型のウイルス対策で止まらないもの
従来型のウイルス対策（パターンマッチング型）は、既知の不正プログラムの特徴を記録したパターンファイルと照合して検知・駆除する仕組みです。既知の脅威に対しては有効で、いまも必要な対策であることに変わりはありません。
一方で、次のような経路には原理的に弱さがあります。
- 既知のパターンに一致しないもの。わずかな改変で照合を外れる
- 正規のツールが悪用される場合。OSに標準で備わる管理用の機能が使われると、ファイル自体が不正ではない
- 認証情報を使った正規のログイン。盗まれたIDとパスワードで入ってくれば、不正なファイルは動かない
- ネットワーク機器の脆弱性を突く侵入。そもそも端末のソフトが見ている場所ではない
公表されている医療機関の被害事例に共通する構造として、外部公開されたネットワーク機器の既知の脆弱性が入口になり、その後は正規の認証情報と管理用ツールを使って院内を移動し、最後に一斉にファイルが暗号化されたというパターンが繰り返し語られます。この流れの中で、端末のウイルス対策が仕事をするのは最後の局面だけです。
つまり従来型のウイルス対策は「あれば十分」ではなく、守りの一層です。入口（ネットワーク機器の脆弱性管理・VPN機器の脆弱性対策）、移動（ネットワーク分離と資産管理、アクセス権限設計と特権ID管理）、そして復旧（バックアップ設計）と組み合わせて初めて全体になります。ランサムウェア対策全体の組み立ては 医療機関のランサムウェア対策 にまとめています。
EDRは何が違うのか
EDRは、端末上の振る舞い——プロセスの起動、ファイルの操作、通信、レジストリの変更など——を継続的に記録し、不審な連鎖を検知して、調査と対処ができるようにする仕組みです。
| 観点 | 従来型ウイルス対策 | EDR |
|---|---|---|
| 検知の考え方 | 既知の不正プログラムの特徴と照合 | 端末上の振る舞いの連鎖から不審さを判断 |
| 得意な相手 | 既知のマルウェア | 未知の手口、正規ツールの悪用、認証情報を使った侵入後の動き |
| 出力 | 検知・隔離の結果 | アラートと、前後の経緯を追える記録 |
| 求められる運用 | 定義更新と検知時の駆除確認 | アラートの確認・切り分け・対処の判断（人が必要） |
| 事後の調査 | 限定的 | 侵入経路・影響範囲の追跡がしやすい |
| 端末への負荷 | 比較的軽い | 記録量が多く、端末・回線への影響を事前検証する必要がある |
| 費用 | 端末単価は低め | 端末単価に加え、運用（監視）の費用が発生する |
決定的な違いは最後の2行です。EDRは記録を取り続けるため端末と回線に影響があり、そしてアラートを人が処理する前提の製品です。
医療機関で特に価値があるのは、事後の調査ができる点です。インシデントが起きたとき、「いつ、どの端末から入り、どこまで到達したか」を説明できるかどうかは、患者への説明、監督官庁への報告、復旧範囲の判断すべてに影響します。記録がなければ「分かりません」としか言えず、結果として全システムを疑って復旧するしかなくなる——これは復旧期間を大きく伸ばします。個人情報漏えい時の報告義務については 個人情報漏えい時の報告義務 を参照してください。
なお、EDRの導入が診療報酬上の加算要件であるという説明を見かけることがありますが、本記事の執筆時点で一次資料からは確認できていません（要一次確認）。 2026年度改定で新設された電子的診療情報連携体制整備加算について確認できているのは、共通要件がガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置であること、加算1ではこれに加えて複数方式によるバックアップ（一部はオフライン保管）とサイバー攻撃等を想定したBCPの策定・訓練が求められることです。要件の詳細は厚生労働省の公表資料および疑義解釈でご確認ください。改定の全体像は 2026年度診療報酬改定 にまとめています。
「入れただけ」では機能しない
ここが本記事の中心です。EDRを導入するかどうかは、製品を選ぶ判断ではなく、運用体制を用意できるかの判断です。
EDRは日々アラートを出します。その多くは業務上正当な動作か、判断の分かれるものです。誰かが次を行わなければなりません。
- アラートを見る（毎日、休日も含めて）
- 正当な業務か脅威かを切り分ける
- 脅威と判断したら端末を隔離するなどの措置を取る
- 影響範囲を調査する
- 必要に応じて復旧と再発防止を進める
このうち、医療機関で最も難しいのは1と2です。情報システム担当が1〜2名、しかも電子カルテの運用やヘルプデスク対応を兼務している体制では、毎日アラートを見続けることは現実的ではありません。兼務の担当者に24時間の監視を期待する設計は、導入初期の数か月で破綻します。
選択肢は次の3つに整理できます。
| 運用形態 | 内容 | 向くケース | 留意点 |
|---|---|---|---|
| 自院で運用 | 院内の担当者がアラートを確認し対処する | 情報システム部門に専任者がおり、夜間休日の当番が組める | 担当者の離職で運用が止まる。教育と手順書が必須 |
| 監視サービスの利用（MDR等） | 外部の監視事業者がアラートを一次判断し、必要な場合に連絡・対処する | 専任者を置けない中小規模の医療機関 | 連絡を受けたあと誰が院内で判断するかは結局決めておく必要がある |
| システムベンダーに委託 | 電子カルテ等の保守ベンダーが併せて監視する | 既存ベンダーとの関係で進めやすい | 監視の範囲・対応時間・通報基準を契約で明確にする（責任分界点の決め方） |
どの形態を選んでも、「外部から連絡が来たあと、院内の誰が何を決めるのか」は院内で決めておかなければなりません。 深夜に「この端末で不審な動作を検知しました。隔離してよいですか」と電話が来たとき、隔離の可否を判断できる人がいるか。その端末が病棟の業務に不可欠なら、隔離した瞬間に診療に影響が出ます。この判断基準を事前に作っておくのが、導入準備の実体です。
具体的には、次を文書にしておきます。
- 連絡の受け手（平日日中／夜間休日それぞれ）
- 隔離を判断できる人と、その人が不在のときの代理
- 隔離してよい端末／慎重な判断が必要な端末の区分
- 隔離した場合の業務の代替手段（紙運用への切替を含む）
- 院内でのエスカレーション先（事務長、院長、医療情報安全管理責任者）
これは実質的にインシデント対応計画の一部です。医療機関のインシデント対応計画 および サイバー攻撃を想定したBCP とあわせて設計してください。加算1の要件にBCPの策定と訓練が含まれることを踏まえれば、どのみち整備が必要な領域です。
医療機器や専用端末に入れられない場合
医療機関特有の論点がここです。院内の端末すべてに対策ソフトを入れられるとは限りません。
導入できない典型的な理由は次のとおりです。
- メーカーが動作保証していない。薬事承認を受けた医療機器では、承認時の構成からの変更が制限される
- OSが古く、対応する製品がない
- 性能上の制約。リアルタイムの検査・撮像処理に影響が出る
- ネットワークに常時つながっていないため、定義更新や監視が成立しない
こうした端末を「対策できないから諦める」のではなく、端末の外側で守るという発想に切り替えます。ネットワーク接続医療機器の扱いは ネットワーク接続医療機器のセキュリティ で詳しく扱いますが、代替の考え方は次のとおりです。
| 代替策 | 内容 | 効果 |
|---|---|---|
| ネットワークの分離 | 対象機器を専用のセグメントに置き、通信できる相手を限定する | 侵入経路と横移動の両方を制限。最も効果が大きい |
| 通信の許可リスト化 | 必要な通信先だけを許可し、それ以外を遮断する | 機器が踏み台にされた場合の影響を限定 |
| 接続する端末の限定 | 機器に接続してよい端末・媒体を定め、台帳で管理する | USBメモリ・可搬媒体の管理 と一体で設計 |
| ネットワーク側での監視 | 機器の通信を外側から観察し、通常と異なる挙動を検知する | 端末に何も入れずに済む |
| 物理的なアクセス制限 | 機器の設置場所への入室管理、ポートの物理的な封止 | 持ち込み機器の接続を抑止 |
| 更新計画への反映 | 次の更新時にセキュリティ要件を調達仕様へ入れる | 中長期での解消（調達要件にセキュリティを入れる） |
重要なのは、「入れられない」という事実を一覧化しておくことです。 どの機器に何が入っていないのか、その代わりに何をしているのかを文書にしておけば、ガイドライン準拠の説明もできますし、更新時の要件にも反映できます。逆にこの一覧がないと、「全端末に対策済み」という誤った前提のまま設計が進みます。
導入前に確認する項目
最後に、ウイルス対策・EDRの導入や切り替えを検討する際の確認項目をまとめます。見積りを比較する前にこれを埋めると、比較の土台が揃います。
| 確認項目 | 見るべき点 |
|---|---|
| 対象端末の数と種類 | サーバ、クライアント、共用端末、持ち出し端末、医療機器。導入可否を機器ごとに確認 |
| 既存製品との関係 | 従来型を置き換えるのか、併用するのか。併用時の競合検証 |
| 電子カルテとの共存 | カルテベンダーの動作保証・推奨設定の有無。必ず事前に確認する |
| 端末・回線への影響 | 記録量と通信量。老朽端末での動作検証 |
| 検知後の運用 | 自院／監視サービス／ベンダー委託のいずれか。対応時間帯と通報基準 |
| 隔離の権限 | 誰が、どの端末を、どの手順で隔離できるか |
| ログの保存期間 | 事後調査に足りる期間か（ログ管理と監査証跡） |
| 導入できない端末 | 一覧と代替措置 |
| 費用の内訳 | ライセンスだけでなく、監視費用・初期構築・チューニングを含めた総額 |
| 契約期間と解約 | 複数年契約の条件、途中解約時の扱い |
電子カルテベンダーへの事前確認は省略しないでください。 対策ソフトがカルテの動作に影響したという事例は各所で報告されており、導入後に判明すると診療に直接響きます。ベンダーへの確認項目の立て方は 事業者に確認すべき質問リスト と ベンダーへのセキュリティチェックシート が参考になります。
また、費用を比較するときは3年の総額で見てください。ライセンス単価が安くても監視費用が別建てであれば、総額の順位は変わります。これは事業者側の情報セキュリティ体制を評価する視点とも共通します（ISMS（ISO/IEC 27001）とは）。
まとめ
- 従来型のウイルス対策は守りの一層であり、入口・横移動・復旧の対策と組み合わせて初めて全体になる
- EDRは端末の振る舞いを記録して不審な連鎖を検知する仕組みで、事後の調査ができる点に大きな価値がある
- EDRは「入れれば守られる」製品ではない。 アラートを誰が見て、誰が隔離を判断するかを決めていなければ機能しない
- 運用形態は自院／監視サービス／ベンダー委託の3択。どれを選んでも、院内での判断者と代替業務手段の決定は避けられない
- 医療機器など導入できない端末は、ネットワーク分離・通信の許可リスト化・外側からの監視で守り、その事実を一覧化しておく
- 導入前にカルテベンダーへの動作確認と、監視費用を含めた3年総額での比較を行う
- EDR導入が診療報酬の加算要件であるとする説明は一次資料で確認できていない。要件は厚生労働省の公表資料で確認する
EDRの導入可否は、製品の性能よりも「院内で運用を受けきれるか」で決まります。自院の体制でどこまで受けられるのか、どこを外部に出すのかの線引きにお悩みでしたら、お問い合わせ からご相談ください。電子カルテの運用実態を踏まえて整理をお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
※診療報酬上の算定要件は、厚生労働省の告示・通知および疑義解釈が正本です。本記事の記載と齟齬がある場合は一次資料に従ってください。