「電子カルテが開かない」という一報から、病院の全機能が止まるまでの時間はごくわずかです。ランサムウェアの被害が公表されるたびに、外来の縮小、新規入院の停止、救急の受け入れ制限といった言葉が並びます。復旧に数か月を要した例も報じられており、被害は情報漏えいの範疇を超えて診療そのものの停止として現れます。
一方で、現場の情報システム担当者や事務長が置かれている状況も共通しています。人員は限られ、システムは長年の積み上げで複雑になり、どこに何が繋がっているのかを完全に把握している人はいない。「対策をしなければならない」ことは分かっていても、どこから手をつければ被害確率が実際に下がるのかが見えないまま、見積りだけが増えていく。
本記事は、その優先順位を整理するための記事です。医療機関がなぜ狙われるのかという構造の話から始め、公表されている被害事例に共通する侵入の型を押さえ、そのうえで多層防御をどう組み立てるかを扱います。個別の技術論点は別記事に分けていますので、必要な箇所から深掘りしてください。
免責：本記事は一般的な情報提供です。診療報酬の算定要件、ガイドラインの解釈は、厚生労働省をはじめとする関係省庁の公表資料および地方厚生局の通知が正本です。実際の対応判断はそれらに基づいて行ってください。攻撃手法の詳細には触れず、防御側の観点に限って記述しています。
なぜ医療機関が狙われるのか
「うちのような病院に盗む価値のある情報はない」という声を聞くことがあります。しかしランサムウェアの攻撃者が見ているのは、情報の価値だけではありません。支払いに応じる可能性の高さです。そして医療機関は、その観点で見ると構造的に条件が揃っています。
1. 止められない
製造業の工場であれば、数日の停止は損失として計算できます。医療機関の場合、システム停止は患者の生命と健康に直結します。可用性が切迫しているということは、復旧を急がざるを得ない立場に置かれているということでもあります。攻撃者から見れば、これは交渉上の優位です。
2. 情報の機微性が高い
診療情報は本人の意思で取り消すことができない情報です。暗号化による業務停止に加え、窃取したデータの公開を材料にする二重の圧力がかけられる構造があります。
3. システムが複雑で、把握が難しい
電子カルテ、医事会計、部門システム（検査・画像・調剤）、ネットワーク接続された医療機器、保守用のリモート接続。これらが長年にわたって増築されてきた結果、全体像を1枚の図で説明できる医療機関のほうが少ないのが実情です。把握できていない経路は、守りようがありません。
4. 24時間稼働で、停止できる時間帯がない
パッチ適用や再起動を伴う作業の時間が取りにくい。「動いているものは触らない」が積み重なると、既知の脆弱性が長期間放置されます。
つまり医療機関の被害は、セキュリティ意識が低いから起きるのではなく、医療機関という業態が持つ制約から生じている部分が大きいのです。だからこそ、精神論ではなく構造への対処が必要になります。
セキュリティ対策は「算定要件」になった
2026年度診療報酬改定で、電子的診療情報連携体制整備加算が新設されました。これは医療情報取得加算と医療DX推進体制整備加算を廃止・統合したうえで、サイバーセキュリティ対策の評価を組み込んだものです。診療録管理体制加算1に置かれていたサイバーセキュリティ要件も、本加算へ移管・統合されています。
入院に係る加算の構造は次のとおりです。
| 区分 | 点数 | 要件 |
|---|---|---|
| 加算1 | 160点 | 共通要件 ＋ 加算1のみの要件 |
| 加算2 | 80点 | 共通要件 |
共通要件
- 「医療情報システムの安全管理に関するガイドライン」への準拠
- 専任の医療情報システム安全管理責任者の配置
加算1のみの要件
- 医療情報システムの複数方式によるバックアップ確保（一部はオフライン保管）
- サイバー攻撃等に対するBCPの策定と訓練の実施
この変更が意味することは明快です。セキュリティ対策は「やったほうがいいこと」から「算定できるかどうかの条件」に変わりました。 これまで投資判断の俎上に載せにくかった領域が、収益に接続されたということです。院内で予算を通す説明の仕方も、ここを起点に組み直すべきでしょう。改定の全体像は 2026年度診療報酬改定の全体像 を、責任者の選任については 医療情報安全管理責任者の役割と選任 をご覧ください。
侵入経路に共通するパターン
公表されている医療機関の被害事例には、繰り返し現れる構造があります。ここでは特定の医療機関を挙げず、防御側が確認すべきパターンとして整理します。
パターン1：インターネットに面した機器の既知脆弱性
VPN装置やリモートアクセス機器など、外部との境界に置かれた機器の既知脆弱性が入口になる型です。修正プログラムが公開されていたにもかかわらず適用されていなかった、あるいは保守が終了した機器が使われ続けていた、という構造が共通しています。詳しくは VPN機器の脆弱性対策 で扱います。
パターン2：保守・委託経路からの波及
ベンダーの保守用アカウントやリモート接続経路が使われる型です。院内の職員アカウントは管理していても、委託先に渡しているアカウントの棚卸しは手つかずというケースが少なくありません。
パターン3：認証情報の使い回しと権限過多
一度侵入された後、院内を横に移動されて被害が広がる型です。共有ID、初期パスワードのまま、管理者権限の過剰付与といった条件が重なると、最初の1台から全体に到達するまでの距離が極端に短くなります。
パターン4：バックアップが同時に暗号化された
最も致命的な型です。バックアップが本番と同じネットワーク上にあり、同じ認証情報で到達できる状態だったため、本番と一緒に暗号化されたというものです。「バックアップは取っていた」にもかかわらず復旧できなかった事例は、ほぼこの構造です。
パターン5：復旧手順が文書化されていなかった
技術的にはデータが残っていても、どの順序で何を復旧するのか、紙運用にどう切り替えるのかが決まっていないため、実際の再開までに時間がかかる型です。これは訓練でしか埋められない差です。サイバー攻撃を想定したBCP を参照してください。
多層防御をどう組み立てるか
「入られない」ことだけを目標にした対策は、いずれ破られます。現実的な設計目標は、入られても業務が止まらない／止まっても短時間で戻せる状態です。そのために必要な層を、投資対効果の順に並べると次のようになります。
| 優先 | 層 | 目的 | 主な打ち手 | 解説記事 |
|---|---|---|---|---|
| 1 | 復旧 | 払わずに戻せる状態を作る | 複数方式バックアップ、オフライン保管、世代管理、復旧試験 | バックアップ設計 |
| 2 | 境界 | 最も使われる入口を塞ぐ | 資産把握、パッチ適用の運用化、EOL機器の更改 | VPN機器の脆弱性対策 |
| 3 | 分離 | 被害範囲を限定する | セグメント設計、医療機器の隔離、インターネット接続の管理 | ネットワーク分離と資産管理 |
| 4 | 認証 | 認証情報だけでは入れなくする | リモートアクセスと特権IDへの多要素認証 | 多要素認証の導入 |
| 5 | 権限 | 横移動の距離を伸ばす | 最小権限、特権IDの分離、委託先アカウント管理 | アクセス権限設計と特権ID管理 |
| 6 | 検知・追跡 | 気づける／後から追える | ログの取得・保管・点検 | ログ管理と監査証跡 |
| 7 | 端末 | 持ち出し・私物からの流入を断つ | 資産台帳、暗号化、紛失時の手順 | 端末管理 |
この順序には理由があります。 1と2は、被害の発生確率と致命度の両方に直接効きます。3以降は被害が起きた後の広がりを抑える層で、効果は大きいものの、1と2が空のまま取り組むと投資効率が落ちます。「EDRを入れるべきか」といった議論が先行しがちですが、バックアップが本番と同じネットワークにぶら下がったままであれば、優先順位が逆転しています。
なお、製品・サービスの要件に関する情報のうち、EDR導入の要否、脆弱性診断や職員研修の実施頻度といった具体的な数値要件については、二次情報で語られることがあっても一次資料で確認できないものがあります。要件として院内に説明する際は、必ず厚生労働省の公表資料および地方厚生局の通知で確認してください（要一次確認）。
準拠の枠組みをどう使うか
何から手をつけるかを自院だけで決めるのは難しく、また決めた内容を対外的に説明する必要もあります。そこで土台になるのが公的な枠組みです。
医療情報システムの安全管理に関するガイドライン（第6.0版）
最新は第6.0版（2023年5月改定）で、概説編・経営管理編・企画管理編・システム運用編の4編構成です。読者が分かれているのが特徴で、事務長・院長は経営管理編、情シス管理者は企画管理編、実際に運用する担当者はシステム運用編を読む設計になっています。2025年5月には厚生労働省から第6.0版に関するQ&Aも公表されています。基礎は 3省2ガイドラインをわかりやすく解説、実務の進め方は 3省2ガイドライン対応の実務ステップ にまとめています。
医療機関等におけるサイバーセキュリティ対策チェックリスト
厚生労働省が2025年5月14日に公表したチェックリストと、その解説マニュアルです。従来より具体的・実践的な内容で、クラウド環境・BCP・IoT・BYODへの言及が加わりました。自院の現状を棚卸しする出発点として使いやすい資料です。使い方は 厚労省のチェックリストをどう使うか で扱います。
クラウドサービスを利用している場合は、自院の責任範囲と事業者の責任範囲を切り分ける作業が別途必要になります。医療機関のクラウドセキュリティ と 責任共有モデル を参照してください。委託先の事業者がどのような体制を整えているかを見る観点は、事業者側の認証である ISMS（ISO/IEC 27001）の全体像 を知っておくと判断しやすくなります。
最初の90日で何をするか
「多層防御」は正しい概念ですが、そのまま計画にはなりません。限られた人員で着手するなら、次の順序が現実的です。
最初の30日：把握
- インターネットに面している機器をすべて列挙する（VPN、リモート保守、公開サーバ、複合機を含む）
- 各機器の保守状況とサポート終了時期を確認する
- バックアップが「どこに・どの経路で・いつ」取られているかを図に描く
- 特権アカウントと委託先アカウントの一覧を作る
次の30日：止血
- サポート切れ・未適用の境界機器に対処する（更改または回線からの切り離し）
- バックアップの少なくとも1系統を、常時ネットワークから切り離された状態にする
- リモートアクセスに多要素認証を入れる
その次の30日：検証
- バックアップからの復旧を実際に試す。所要時間を測る
- 電子カルテが使えない前提で、紙運用への切替手順を書き起こす
- 机上でよいので、関係者を集めて訓練を1回実施する
この90日で得られるのは、対策そのものだけではありません。「自院で何がどこまでできていて、何ができていないか」を説明できる状態です。それは加算の要件に向き合ううえでも、ベンダーと交渉するうえでも、前提になります。
まとめ
- 医療機関が狙われるのは意識の問題ではなく、止められない・情報が機微・構成が複雑・停止できる時間帯がないという業態の構造による
- 2026年度改定で電子的診療情報連携体制整備加算が新設され、ガイドライン準拠と専任の安全管理責任者が共通要件、複数方式バックアップとBCP・訓練が加算1の要件になった
- 侵入経路のパターンは境界機器の既知脆弱性・保守経路・認証情報と権限過多・バックアップの同時暗号化・復旧手順の不在に集約される
- 設計目標は「入られない」ではなく**「止まらない／短時間で戻せる」**。層の優先順位は復旧 → 境界 → 分離 → 認証 → 権限 → ログ → 端末
- 具体的な数値要件（診断や研修の頻度など）は二次情報に頼らず、厚生労働省の公表資料と地方厚生局の通知で確認する
- 最初の90日は把握 → 止血 → 検証。とくに復旧試験を実施していないバックアップは、あるとは言えない
自院だけで全体像を描くのが難しい場合や、ベンダーから提示された構成が要件を満たしているか判断がつかない場合は、お問い合わせ からご相談ください。医療情報システムの設計・運用に関わってきた立場から、優先順位の整理をお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
※診療報酬の算定要件および経過措置の取扱いは、厚生労働省の告示・通知および疑義解釈が正本です。ガイドラインの解釈も改定により変わります。最新の一次情報をご確認ください。