医療機関のセキュリティ対策を議論するとき、最初に突き当たる壁は技術ではありません。「今、何がどこに繋がっているのか」を誰も完全には説明できないという状態です。
電子カルテ、医事会計、検査、画像、調剤、栄養、リハビリ。それぞれが異なる時期に、異なるベンダーによって導入され、必要に応じて連携が追加されてきました。そこにネットワーク接続された医療機器が加わり、保守用の接続口が引かれ、在宅勤務対応の装置が入り、Wi-Fiが整備される。構成図はあるが、最後に更新されたのが数年前という医療機関は少なくありません。
把握できていない経路は、守ることも、被害時に切り離すこともできません。本記事では、ネットワーク分離の考え方と、その前提になる資産管理を、限られた人員で進める手順として整理します。
免責：本記事は一般的な情報提供です。ガイドラインの解釈や診療報酬の算定要件は、厚生労働省をはじめとする関係省庁の公表資料および地方厚生局の通知が正本です。実際の対応判断はそれらに基づいて行ってください。
把握できていないことが、最大のリスクである
「うちは電子カルテ系とインターネット系を分けています」という説明をよく聞きます。しかし実際に確認すると、次のような経路が見つかることがあります。
- 検査機器のデータを受け取るPCが、両方のネットワークに繋がっている
- 部門システムの保守のために、ベンダーが独自の回線を引いている
- 職員が業務効率化のために持ち込んだWi-Fiルータが稼働している
- 複合機が両系統からの印刷を受け付けるために両方に接続されている
- 電子カルテ端末から、特定の外部サイトだけ通す例外が設定されている
これらは悪意から生じたものではなく、業務上の必要から個別に作られた例外です。ひとつひとつには理由があります。問題は、それらが記録されておらず、全体として見たときに分離が成立していないことにあります。
ランサムウェアの被害が広がる構造は、まさにここです。最初の1台に侵入されたとき、そこから到達できる範囲がどこまでかを決めるのが分離設計です。把握していない橋が1本あれば、分離は無かったことになります。
そして被害時にも同じ問題が起きます。「どこを切り離せば被害の拡大を止められるか」を即座に判断するには、構成が分かっていなければなりません。初動で判断できないことが、被害を大きくします。医療機関のランサムウェア対策 で整理した多層防御のなかで、分離は「被害範囲を限定する」層に位置づけられます。
資産台帳を「使えるもの」にする
分離設計の前に資産管理が必要です。ただし「資産台帳を作りましょう」という話は多くの医療機関で一度は出ており、作ったが更新が止まったという状態になっていることがほとんどです。
更新が止まる理由は単純で、項目が多すぎて維持できないか、誰も使わないので更新の動機がないかのどちらかです。したがって設計の原則は、「被害時と脆弱性公開時に使える最小限」に絞ることになります。
| 項目 | 必須度 | 使う場面 |
|---|---|---|
| 機器名・用途 | 必須 | 停止影響の判断 |
| 所属セグメント | 必須 | 切り離し範囲の判断 |
| IPアドレス／識別子 | 必須 | 実機の特定 |
| OS・ファームウェア版数 | 必須 | 脆弱性の該当判断 |
| 管理責任者（院内） | 必須 | 判断者の特定 |
| 保守事業者・連絡先 | 必須 | 対処依頼 |
| サポート終了時期 | 必須 | 更改計画 |
| 他セグメントへの接続有無 | 必須 | 分離の実効性確認 |
| 外部への到達経路 | 必須 | 緊急遮断の判断 |
| 設置日・購入金額 | 任意 | 会計管理（セキュリティ目的では不要） |
| 設置場所の詳細 | 任意 | 物理的な対処が必要な場合のみ |
太字の**「他セグメントへの接続有無」**が、本記事の文脈で最も重要な項目です。一般的なIT資産台帳にはこの欄がありませんが、医療機関で分離の実効性を確認するには不可欠です。1台の機器が複数のセグメントに足を持つ構成を、例外として明示的に管理するためです。
棚卸しの進め方として、次の順序が現実的です。
- ネットワーク機器から遡る：スイッチやファイアウォールの設定を見れば、どのセグメントが存在し、何が繋がっているかの骨格が分かります
- ベンダーに確認する：各システムのベンダーに「保守のためにどの経路を使っているか」を書面で確認します。院内の記録にない接続はここで見つかります
- 部門にヒアリングする：検査、放射線、薬剤、栄養など、部門システムと医療機器を持つ部署を回ります。IT資産として認識されていない機器がここにあります
- 物理的に辿る：どうしても不明な配線は、現場で辿るしかありません。時間はかかりますが、一度やれば以後は差分管理で済みます
この作業は、境界機器の棚卸しと同時に進めるのが効率的です。VPN機器の脆弱性対策 で扱った外部到達経路の把握と、台帳は同じものを使えます。
セグメントをどう切るか
医療機関のネットワークを分ける際の基本的な考え方は、**「守るべきものの性質」と「外部との接点の必要性」**の2軸です。典型的な区分を整理します。
| セグメント | 含まれるもの | 外部接続 | 分離設計の要点 |
|---|---|---|---|
| 電子カルテ系 | 電子カルテサーバ、診療端末 | 原則なし（必要なら限定的に） | 最も厳格に。他系統からの到達を絞る |
| 医事系 | 医事会計、レセプト | オンライン請求等の限定接続 | 請求経路以外の外部接続を作らない |
| 部門システム系 | 検査、画像、調剤、栄養、リハビリ | 原則なし | 電子カルテとの連携経路のみ許可 |
| 医療機器系 | ネットワーク接続医療機器 | 原則なし（遠隔保守は限定） | 機器側でパッチを当てられないことを前提に設計 |
| 事務系 | 事務端末、グループウェア | あり | メール・Web閲覧の入口。ここが侵入されても診療系に届かない設計 |
| 来院者Wi-Fi | 患者・面会者の端末 | あり | 院内のいかなる系統とも到達させない |
| 管理系 | ネットワーク機器の管理画面、監視 | なし | 管理経路を業務系から分離する |
医療機器系の扱いが最も難しい論点です。 ネットワーク接続された医療機器は、薬機法上の承認された構成を変更できない場合があり、OSが古いままでもパッチを当てられないことがあります。この制約は解消できないため、機器側を直せない前提で、ネットワーク側で守るという設計になります。具体的には、通信相手を必要最小限に限定し、外部への到達をなくし、遠隔保守が必要な場合は接続時のみ経路を開く運用にします。この領域は ネットワーク接続医療機器のセキュリティ で個別に扱います。
来院者Wi-Fiも見落とされやすい領域です。患者サービスとして提供する場合、院内のどのセグメントにも到達しないことを設定で担保し、かつその状態を定期的に確認する必要があります。機器の交換や設定変更の際に、意図せず到達可能になることがあるためです。無線全般の論点は 無線LANの安全管理 を参照してください。
現実的な進め方：既存の医療機関で、いきなり理想的なセグメント設計に移行するのは困難です。段階を踏むなら次の順序になります。
- 現状を図にする（理想ではなく実態を）
- 診療系と外部接続系の間にある橋をすべて列挙する
- 各々について、業務上必要か／代替できるかを判断する
- 不要な橋を落とす（ここまでは費用がほとんどかからない）
- 必要な橋について、通信相手と方向を限定する
- 残った課題を更改計画に載せる
手順4までで得られる効果が大きいというのが実務上の感覚です。過去の経緯で残った接続、既に使われていない例外設定を落とすだけで、到達範囲は相当に狭まります。
インターネット接続をどう管理するか
セグメント分離と並ぶ論点が、どこからインターネットに出るかの管理です。
医療機関では「電子カルテ端末はインターネットに繋がっていません」という説明がされる一方、実際には次のような例外が存在することがあります。
- 医薬品情報や添付文書を参照するための限定的な接続
- クラウド型の部門サービスを利用するための接続
- 電子処方箋やオンライン資格確認に関連する接続
- ソフトウェア更新のための接続
- ベンダーの監視サービスからの接続
これらは業務上必要なものが多く、「すべて塞ぐ」が答えにならないのが難しいところです。したがって管理の考え方は、遮断ではなく**「例外を台帳化し、定期的に見直す」**になります。
| 管理項目 | 決めること |
|---|---|
| 目的 | 何のための接続か |
| 通信の方向 | 内→外のみか、外→内もあるか |
| 通信相手 | 接続先を限定できるか（FQDN・IPでの制限） |
| 利用端末 | どの端末からか |
| 承認者 | 誰が許可したか |
| 見直し時期 | いつ必要性を再確認するか |
「見直し時期」がとくに重要です。 例外設定は追加されるばかりで削除されないため、時間とともに穴が増えます。年1回でよいので、一覧を出して「まだ必要か」を確認する場を作ってください。
クラウドサービスを利用する場合は、接続経路の管理に加えて、自院と事業者の責任範囲の切り分けが必要になります。医療機関のクラウドセキュリティ、責任共有モデル を参照してください。ガイドライン全体の位置づけは 3省2ガイドラインをわかりやすく解説 に、事業者側がどのような管理体制を求められるかは ISMS（ISO/IEC 27001）の全体像 にまとめています。
制度との接続と、記録の残し方
2026年度診療報酬改定で新設された電子的診療情報連携体制整備加算は、共通要件として「医療情報システムの安全管理に関するガイドラインへの準拠」と「専任の医療情報システム安全管理責任者の配置」を求めています。加算1（160点）ではさらに、複数方式によるバックアップ（一部はオフライン保管）とサイバー攻撃等に対するBCP策定・訓練が要件です。
ネットワーク分離と資産管理は、これらすべての前提になります。
- バックアップの一部をオフラインにするには、バックアップ領域への到達経路を把握している必要がある（バックアップ設計）
- BCPで「どこを切り離すか」を決めるには、構成図が最新である必要がある（サイバー攻撃を想定したBCP）
- 安全管理責任者が判断するには、何がどこにあるかの情報が必要である（医療情報安全管理責任者の役割と選任）
改定の全体像は 2026年度診療報酬改定の全体像 をご覧ください。
残すべき記録は次の4つです。
- ネットワーク構成図（更新日を記載する。古い図は誤った判断を生むため、日付のない図は使わない）
- 資産台帳（前掲の必須項目を満たすもの）
- セグメント間通信の許可一覧（何を、どの方向に、なぜ許可しているか）
- 例外の見直し記録（いつ、誰が、何を確認したか）
これらは監査対応のためだけの書類ではありません。担当者が交代したときに、後任が判断できる状態を残すための資産です。医療機関の情報システム担当は少人数であることが多く、属人化が最も起きやすい領域でもあります。
まとめ
- 医療機関のセキュリティにおける最大の問題は技術の不足ではなく、何がどこに繋がっているかを把握できていないこと
- 分離は「把握していない橋が1本でもあれば成立しない」。業務上の必要から作られた個別の例外が、記録されずに積み上がっている状態が典型
- 資産台帳は項目を絞って維持可能にする。**「他セグメントへの接続有無」**の欄を必ず持たせること
- セグメントは、電子カルテ系・医事系・部門系・医療機器系・事務系・来院者Wi-Fi・管理系に分けて考える。医療機器はパッチを当てられない前提でネットワーク側で守る
- 移行は段階的に。現状を図にする → 橋を列挙する → 不要な橋を落とすまでは費用がほとんどかからず効果が大きい
- インターネット接続は遮断ではなく例外の台帳化と年1回の見直しで管理する
- 分離と資産管理は、バックアップ・BCP・安全管理責任者の判断すべての前提になる
構成図の更新や、ベンダーへの確認事項の整理でお困りの場合は、お問い合わせ からご相談ください。医療情報システムの設計・運用に関わってきた立場から、棚卸しの進め方をお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
※ガイドラインの解釈および算定要件は、厚生労働省の公表資料・通知が正本です。改定により変わり得ますので、最新の一次情報をご確認ください。