「うちのような小さなクリニックが狙われるはずがない」。そう考えている院長・事務長は少なくありません。しかし、個人情報の漏洩は大病院だけの問題ではありません。窓口での書類の渡し間違い、職員のパスワードの使い回し、委託しているクラウドサービスへの不正ログインなど、規模に関係なく起きる経路がいくつもあります。
2026年10月には、オンライン診療サービス「クロンオンライン診療」で、医療機関と患者のアカウントへの不正ログインが公表されました（詳しくはなぜ二要素認証が必要なのか？で解説しています）。クリニック自身のシステムが攻撃されたわけではなく、クリニックが使うクラウドサービスのアカウントが入口になった事例です。
本記事では、クリニックの情報漏洩がどこから起きるのかを公的なデータで確認し、漏洩の経路ごとに「何から手をつけるか」を整理します。最後に、今週できるチェックリストを載せています。
本記事は2026年10月31日時点の公表情報にもとづく一般的な情報提供です。個別の法的判断や報告の要否は、個人情報保護委員会の案内や専門家にご確認ください。
医療機関の情報漏洩はどこから起きているか
漏えい等の報告は四半期で6,000件超
個人情報保護委員会によると、令和8年度第1四半期（2026年4〜6月）に処理した個人情報の漏えい等報告は6,101件でした。令和7年度は四半期あたり4,500〜5,700件台で推移しており、減る傾向は見えません。
同委員会は、報告の傾向として次の点を挙げています。
- 要配慮個人情報を含む個人データの漏えい等が引き続き多い（病歴や診療情報は要配慮個人情報にあたります）
- 令和7年度は、その多くが病院や薬局での誤交付によるものでした。令和8年度第1四半期は、病院や薬局に限らず損害保険業者での誤交付も目立つとされています
- 不正アクセス等によるものも多く見られる
診療情報を扱うクリニックは、漏洩が起きると原則として報告の対象になりやすい立場にあります。報告の考え方は個人情報漏えい時の報告義務で整理しています。
組織が直面する脅威の上位
情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を悪用した攻撃」、7位が「内部不正による情報漏えい等」でした。
医療機関でも、ランサムウェアで電子カルテが止まる事例や、委託先の保守回線から侵入される事例が繰り返し報じられています。ここに、日々の業務で起きる誤交付や、パスワードの使い回しによる不正ログインが加わります。
情報漏洩の4つの経路
クリニックで起きる情報漏洩は、おおむね次の4つの経路に分けられます。対策は経路ごとに違うため、まず「どこから漏れるか」を分けて考えることが大切です。
| 経路 | 典型的な例 | 主な対策 |
|---|---|---|
| ① 人のミス | 処方箋・検査結果の渡し間違い、FAX・メールの誤送信、USBメモリの紛失 | 受け渡し時の本人確認の手順、送信前のダブルチェック、可搬媒体のルール |
| ② 認証の突破 | パスワードの使い回し・推測、共用IDの流出、退職者アカウントの放置 | 二要素認証、IDの個人ごとの発行、アカウントの棚卸し |
| ③ 外部からの攻撃 | ランサムウェア、VPN機器の脆弱性の悪用、不審メールからの感染 | 修正プログラムの適用、バックアップ、職員教育 |
| ④ 委託先・クラウド経由 | 保守業者の回線からの侵入、クラウドサービスのアカウントへの不正ログイン | 委託先の管理、事業者への確認、ログの確認 |
このほか、職員による不正な閲覧・持ち出し（内部不正）もあります。電子カルテの閲覧ログを定期的に確認することが抑止になります（電子カルテのアクセスログ点検）。
経路別：何から手をつけるか
① 人のミス：手順で防ぐ
件数として最も多いのは、窓口や事務作業でのミスです。注意喚起だけでは減らないため、手順に組み込むことが基本になります。
- 書類を渡すときは、氏名だけでなく生年月日など2つ以上の情報で本人確認する
- FAX・メールは、送信先を登録済みの宛先から選ぶ運用にし、新しい宛先への送信は2人で確認する
- 患者情報をUSBメモリで持ち出さない。必要な場合は、暗号化した媒体と持ち出し記録を使う（USBメモリ・可搬媒体の管理）
② 認証の突破：二要素認証と「1人1ID」
外部からの不正ログインの多くは、正しいIDとパスワードを使って入られるものです。他のサービスから流出したパスワードを試す「リスト型攻撃」では、パスワードを使い回していると、どれだけ複雑なパスワードでも突破されます。
- 電子カルテ、オンライン診療、Web予約、メールなど、院外から入れるサービスは二要素認証を有効にする
- 共用のIDをやめ、職員ごとにIDを発行する。共用IDでは、誰が操作したか追えません
- 退職・異動のたびにアカウントを停止し、年1回は全アカウントを棚卸しする
厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版」は、パスワードで利用者を認証している場合、令和9年度時点で稼働していることが想定される医療情報システムを今後新規導入・更新する際は、二要素認証を採用するシステムの導入、またはこれに相当する対応を行うことを求めています。導入の進め方は多要素認証の導入、パスワードのルールはパスワードポリシーの設計で解説しています。
③ 外部からの攻撃：入口を塞ぎ、戻せるようにしておく
ランサムウェアは、VPN機器などの脆弱性や、盗まれた認証情報を入口に侵入する例が多く見られます。
- VPN機器・ルーター・OSの修正プログラムを適用する。保守業者に任せている場合は、適用状況を報告してもらう（VPN機器の脆弱性対策）
- バックアップを、ネットワークから切り離した場所にも保管する（バックアップ設計の3-2-1ルール）
- 不審なメールを開いたときに、すぐ報告できる雰囲気と連絡先をつくる（職員教育・訓練の設計）
全体像は医療機関のランサムウェア対策にまとめています。
④ 委託先・クラウド経由：責任の分担を確認する
クラウド型の電子カルテやオンライン診療は、事業者が多くのセキュリティ対策を担います。それでも、アカウントの管理は医療機関側の責任として残ります。
- 使っているクラウドサービスを一覧にし、それぞれの管理者と二要素認証の設定状況を書き出す
- 事業者に、ログイン試行の制限、二要素認証の必須化、アクセスログの提供、不正ログイン時の連絡体制を確認する（事業者に確認すべき質問リスト）
- 契約時に、どこまでが事業者の責任かを確認しておく（責任分界点とは？）
今週できるチェックリスト
まずは次の10項目を確認してください。「いいえ」が付いた項目から順に対応します。
| No. | 確認項目 | はい／いいえ |
|---|---|---|
| 1 | 院外から入れるサービス（電子カルテ、オンライン診療、Web予約、メール等）を一覧にしている | |
| 2 | 上記のサービスで、二要素認証を有効にしている | |
| 3 | 職員ごとにIDを発行し、共用IDを使っていない | |
| 4 | 退職した職員のアカウントを停止している | |
| 5 | 業務用のパスワードを、他のサービスと使い回さないルールがある | |
| 6 | 書類の受け渡し時に、2つ以上の情報で本人確認している | |
| 7 | OS・VPN機器の修正プログラムの適用状況を把握している | |
| 8 | ネットワークから切り離したバックアップがある | |
| 9 | 情報漏洩が起きたときの連絡先と役割分担を決めている | |
| 10 | 主要な事業者に、不正ログイン時の連絡体制を確認している |
小規模なクリニックで、ガイドラインのどこまでを優先するかは小規模クリニックのガイドライン対応で整理しています。
漏洩が起きたら：報告の期限を知っておく
診療情報などの要配慮個人情報が漏洩した（またはそのおそれがある）場合は、原則として個人情報保護委員会への報告と本人への通知が必要です。報告は2段階で、期限があります。
| 報告 | 期限の目安 |
|---|---|
| 速報 | 事態を知った時点から概ね3〜5日以内 |
| 確報 | 原則30日以内。不正アクセスなど、不正の目的で行われたおそれがある場合は60日以内 |
速報の段階で分からない項目は、分かった時点で確報に書きます。調査を待って速報が遅れないよう、誰が判断し、誰が報告するかを先に決めておくことが大切です（医療機関のインシデント対応計画）。
よくある質問
Q. 小さなクリニックでも報告の対象になりますか。 A. 個人情報保護法は、事業の規模にかかわらず個人情報取扱事業者に適用されます。診療情報は要配慮個人情報にあたるため、1件の漏洩でも報告の対象になり得ます。
Q. クラウドサービスで漏洩が起きた場合、報告するのは事業者ですか、クリニックですか。 A. 個人情報保護委員会は、取扱いを委託している場合、原則として委託元と委託先の双方が報告義務を負うとしています。事業者からの連絡を待つだけでなく、自院としての報告の要否を確認してください。
Q. 何から始めればよいですか。 A. 費用がかからず効果が大きいのは、院外から入れるサービスの一覧化と、二要素認証の有効化です。チェックリストの1〜5から着手することをおすすめします。
まとめ
- クリニックの情報漏洩は、人のミス・認証の突破・外部からの攻撃・委託先経由の4つの経路で起きる
- 件数が多いのは誤交付などの人のミスで、注意喚起ではなく手順で防ぐ
- 不正ログインの多くは正しいIDとパスワードで入られる。二要素認証と1人1IDが基本
- クラウドサービスを使っていても、アカウントの管理は医療機関の責任として残る
- 漏洩時の報告期限（速報は概ね3〜5日以内、確報は30日／60日以内）を知り、役割分担を先に決めておく
ポテックは、医療機関向けの電子カルテ・医療DXの提供と、医療情報セキュリティの体制づくりの支援を行っています。自院の対策がどこまでできているか確認したい場合は、お問い合わせからお気軽にご相談ください。
参考・出典
- 個人情報保護委員会「令和8年度第1四半期における漏えい等報告の処理状況」（令和8年9月2日） https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
- 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版 システム運用編」 https://www.mhlw.go.jp/content/10808000/001582980.pdf
- 株式会社MICIN「オンライン診療サービス『クロンオンライン診療』への不正ログインに関するご報告」（2026年10月27日） https://micin.jp/news/14859/