院内のネットワーク構成図を広げると、必ず「これは何だろう」という機器が見つかります。放射線科の画像処理端末、生理検査室の解析装置、病棟の生体モニタ、内視鏡システムの録画装置。これらは医療機器として導入されたものですが、中身はネットワークにつながったコンピュータです。そして、その多くは導入時のOSのまま動いています。
情報システム担当者がこの事実に気づくのは、たいてい何かのきっかけがあったときです。脆弱性の情報が流れてきて調べてみたら、院内に該当するOSの機器が何台もあった。あるいは、ベンダーに「更新してください」と依頼したら「薬事承認の関係で構成を変えられません」と返ってきた。
この状況は、担当者の怠慢によるものではありません。 医療機器には、一般のIT機器とは異なる制約が制度上・技術上の両面から存在します。だからこそ、「パッチを当てる」という一般的な対策がそのままは通用せず、別の守り方を設計する必要があります。
本記事は、医療機関の情報システム担当者・臨床工学技士・事務長が、ネットワーク接続医療機器の管理を整理するための記事です。機器そのものを変えられない前提で、いま何ができるかと、次の更新で何を要件にするかの二段構えで扱います。
免責：本記事は一般的な情報提供です。医療機器の規制上の取扱いは、薬機法および厚生労働省・PMDAの公表資料が正本です。個別の機器の更新可否・保守条件は、必ず製造販売業者にご確認ください。
なぜ古いOSのまま使われるのか
医療機器がサポート切れのOSで動き続ける背景には、いくつかの構造的な理由があります。
1. 機器のライフサイクルがOSより長い
画像診断装置や検査機器は、導入から10年以上使われることが珍しくありません。一方、OSのサポート期間はそれより短いのが普通です。機器の耐用期間の途中で、載っているOSのサポートが終わるという事態は、設計上ほぼ避けられません。
2. 構成の変更が規制上の制約を受ける
医療機器は薬機法に基づく承認・認証を受けて市場に出ます。ソフトウェア構成は承認時の要素であり、医療機関が独自にOSを更新すると、製造販売業者の保証範囲から外れることがあります。「勝手にパッチを当ててはいけない」と言われるのはこのためです。医療機器としてのソフトウェアの位置づけについては SaMD（プログラム医療機器）とは をご覧ください。
3. 検証コストが高い
製造販売業者がパッチを適用する場合でも、機器の動作に影響がないことを検証する必要があります。診断結果に関わる機器では、この検証は簡単ではありません。結果として、すべての更新が迅速に提供されるとは限りません。
4. 停止できない
更新には再起動が伴います。24時間稼働しているモニタリング機器や、予約が詰まっている検査装置では、停止できる時間帯が限られます。
5. 管理主体が分かれている
医療機器は臨床工学部門や各診療科が管理し、ネットワークは情報システム部門が管理する、という分業が一般的です。「ネットワークにつながった医療機器」は、両方の管轄にまたがるため、どちらの台帳にも載っていないことがあります。
なお、近年は規制側でも医療機器のサイバーセキュリティに関する要求が整理されてきており、製造販売業者に対してサイバーセキュリティへの配慮を求める枠組みが導入されたと解説されています（要一次確認：具体的な条項・適用時期は厚生労働省・PMDAの公表資料をご確認ください）。ただし、これはこれから承認される機器に効いてくる話であり、すでに院内で稼働している機器の状況を直ちに変えるものではありません。
医療機関側で何ができるか——まず一覧をつくる
対策の出発点は、やはり一覧です。そもそも何台あるのかが分からなければ、守りようがありません。
| 確認項目 | 確認の観点 |
|---|---|
| 機器名・型式・設置場所 | 部門ごとに散在していることが多い。臨床工学部門の台帳と突き合わせる |
| ネットワーク接続の有無 | 有線／無線／接続なし。当初接続していなかった機器が後から接続されることがある |
| OSと版数 | サポート状況。ベンダーに確認が必要な場合が多い |
| 通信先 | 何と通信しているか。院内のみか、外部（メーカー等）とも通信するか |
| リモート保守 | メーカーによる遠隔接続の有無と方式（リモートメンテナンスの安全管理） |
| 対策ソフトの導入可否 | ウイルス対策・EDRを入れられるか（ウイルス対策とEDR） |
| 可搬媒体の使用 | USBメモリ等で画像・データを出し入れするか（USBメモリ・可搬媒体の管理） |
| 保守契約の状況 | 契約の有無、更新時期、脆弱性情報の提供有無 |
| 更新予定 | 次の更新時期。予算計上の状況 |
この一覧は、情報システム部門だけでは作れません。臨床工学技士・放射線技師・臨床検査技師との共同作業になります。裏を返せば、一覧づくりを通じて部門間の連絡経路ができること自体に価値があります。インシデント発生時に「この機器はどこに連絡すればよいのか」が即座に分かる状態は、それだけで初動を速くします（医療機関のインシデント対応計画）。
作成の順序としては、ネットワークに接続されていて、かつ患者データを扱う機器から着手するのが効率的です。全機器を一度に洗い出そうとすると終わりません。
ネットワーク分離で守る
機器そのものを変えられない以上、機器の外側で守るのが基本方針になります。中心になるのはネットワーク分離です。
考え方は単純です。古いOSの機器が危険なのは、(a) 外部から到達され得ること、(b) 侵害された場合に他へ広がり得ること、の2点です。到達できる範囲を絞れば、両方が同時に小さくなります。
| 対策 | 内容 | 優先度 |
|---|---|---|
| 専用セグメントへの収容 | 医療機器を業務系・事務系と別のネットワークに置く | 高。最も効果が大きい |
| 通信の許可リスト化 | 業務に必要な通信先だけを許可し、それ以外を遮断する | 高 |
| インターネットからの隔離 | 機器が直接インターネットと通信しない構成にする | 高 |
| 機器間の通信制限 | 同一セグメント内でも、機器同士が自由に通信しない設定にする | 中 |
| 外側からの監視 | 機器の通信を観察し、通常と異なる挙動を検知する | 中。機器に何も入れずに済む |
| 物理的なアクセス制限 | 設置場所の入室管理、未使用ポートの封止 | 中 |
| 保守接続の限定 | メーカーの遠隔保守を常時接続から都度接続へ | 高 |
「分離」は0か1ではありません。 完全に切り離すと画像の受け渡しや検査結果の連携ができなくなるため、実務では「必要な通信だけを通す」形にします。どの機器がどこと通信する必要があるのかは、一覧づくりの段階で把握しておく情報です。ネットワーク全体の設計は ネットワーク分離と資産管理 にまとめています。
優先順位のつけ方も実務では重要です。すべてを同時に分離するのは費用と工期の面で難しいため、次の順で考えます。
- インターネットと直接通信している機器——最優先。まず遮断できないか検討する
- サポート切れのOSで、患者データを扱う機器——専用セグメントへ
- 保守用の常時接続がある機器——接続を都度化する
- 可搬媒体でデータをやり取りする機器——媒体の管理と併せて対応
分離を進めるにあたっては、臨床側への影響を事前に確認することが欠かせません。通信を絞った結果、検査結果が電子カルテに飛ばなくなった、というのは最も避けたい事態です。変更は必ず、影響範囲の確認と切り戻し手順をセットにして行ってください。
脆弱性情報をどう受け取るか
機器を守るうえで見落とされがちなのが、情報の受け取り経路です。
新しい脆弱性が公表されたとき、「自院のどの機器が該当するのか」を判断できなければ、対応の起点が立ちません。これには次が必要です。
| 必要なもの | 内容 |
|---|---|
| 機器の構成情報 | 搭載OS・ソフトウェア部品の情報。近年は部品表（SBOM）の提供を求める動きがある |
| メーカーからの通知経路 | 脆弱性が判明したときに、医療機関へ連絡が来る仕組みがあるか |
| 院内の受け手 | 通知を受け取る担当と、判断のエスカレーション先 |
| 対応の判断基準 | 直ちに対応するか、次回保守で対応するか、代替措置で受けるかの基準 |
メーカーからの通知経路があるかどうかは、保守契約の内容によります。 契約時に確認していないことが多いため、現契約を読み直すか、更新時に明示的に盛り込むのが現実的です。事業者への確認事項の立て方は 事業者に確認すべき質問リスト を参照してください。
一般的な脆弱性情報は、IPAや内閣サイバーセキュリティセンター（NISC）の公表情報からも入手できます。ただし、それが自院のどの機器に該当するかを紐づけられるのは医療機関側だけです。一覧の整備がここでも効いてきます。
情報を受け取ったあとの判断基準も、あらかじめ決めておきます。医療機器の場合、「直ちにパッチを当てる」が選べないことが多いため、実際の選択肢は次のようになります。
- ネットワークからの一時的な切り離し
- 通信の許可範囲をさらに絞る
- 該当機器の使用手順を一時的に変更する（可搬媒体の使用停止など）
- 監視を強化し、次回保守での対応を待つ
- 更新の前倒しを検討する
どれを選ぶにしても、臨床業務への影響を判断できる人が関与する必要があります。情報システム部門だけで「切り離します」と決められる機器は多くありません。この判断の枠組みは、インシデント対応計画の一部として整えておくのが合理的です。
次の更新で要件化する
いま動いている機器の制約は変えられませんが、次に買う機器の条件は決められます。ここを積み上げていくことが、中長期的には最も効きます。
調達仕様書・見積依頼に盛り込みたい項目は次のとおりです。
| 要件の分類 | 具体的に書く内容 |
|---|---|
| サポート期間 | 搭載OS・ソフトウェアのサポート提供期間。機器の想定使用期間との関係 |
| 更新の提供 | セキュリティ更新の提供方法・頻度・費用負担。適用に伴う停止時間の目安 |
| 構成情報の提供 | 搭載ソフトウェア部品の情報（SBOM等）の提供可否 |
| 脆弱性情報の通知 | 脆弱性判明時の通知の有無、連絡経路、通知までの目安時間 |
| ネットワーク要件 | 必要な通信先と通信方式。インターネット接続の要否 |
| 認証 | 管理用アカウントの認証方式、初期パスワードの変更可否、個人単位の識別 |
| ログ | 操作・接続の記録が取得できるか。取得方法と保存期間 |
| 保守接続 | 遠隔保守の方式。常時接続でない形が取れるか |
| 可搬媒体 | USB等の使用の要否。制限できるか |
| 廃棄時 | データの消去方法、記録媒体の取り扱い |
すべてを満たす機器がない場合もあります。 その場合でも、要件として提示しておけば「満たせない項目」が明示され、代替措置を検討する材料になります。調達段階でセキュリティを扱う方法は 医療情報システムの調達要件にセキュリティを入れる、責任範囲の決め方は 責任分界点の決め方 にまとめています。
2026年度改定で新設された電子的診療情報連携体制整備加算は、共通要件としてガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置を求めています。医療機器を含む院内のIT資産をどう把握し管理するかは、この責任者の職務設計に直結する論点です。改定の全体像は 2026年度診療報酬改定 をご覧ください。
なお、機器を提供する事業者側でセキュリティ体制の証明が求められる場面は増えています。事業者としての体制整備については ISMS（ISO/IEC 27001）とは をご覧ください。
まとめ
- 医療機器が古いOSで動き続けるのには、ライフサイクル・規制・検証コスト・停止制約・管理主体の分散という構造的な理由がある
- 対策の出発点は一覧の作成。情報システム部門だけでは作れず、臨床工学・放射線・検査の各部門との共同作業になる
- 機器を変えられない前提で、ネットワーク分離と通信の許可リスト化により外側から守る。分離は0か1ではなく「必要な通信だけ通す」形にする
- 優先順位は、インターネットと直接通信している機器 → サポート切れで患者データを扱う機器 → 常時接続の保守経路がある機器の順
- 脆弱性情報の受け取り経路を保守契約で確保し、受け取ったあとの判断基準（切り離す／絞る／監視を強める／更新を前倒す）を事前に決める
- いま動いている機器は変えられないが、次の更新で調達要件に書ける。サポート期間・更新提供・構成情報・通知・ログ・保守接続を仕様に入れる
医療機器のセキュリティは、情報システム部門だけでも、臨床工学部門だけでも完結しません。院内の役割分担を含めて整理が必要でしたら、お問い合わせ からご相談ください。機器一覧の作り方と、優先順位のつけ方からお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- 独立行政法人 医薬品医療機器総合機構（PMDA）
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
- 令和8年度診療報酬改定について｜厚生労働省
※医療機器の規制上の要求事項は改正により変わります。個別機器の更新可否・保守条件は製造販売業者に、規制上の解釈は厚生労働省・PMDAの公表資料にてご確認ください。