電子カルテ、部門システム、検査機器、受付端末。院内で動いているシステムのほとんどは、ベンダーによる保守を前提に運用されています。障害が起きたとき、担当者が現地に来るのを待っていては診療が止まりますから、遠隔から接続して調査・復旧できる経路を用意しておくのは合理的です。
問題は、その経路が誰でも・いつでも・どこからでも使える状態になっていないかという点です。導入時に「保守に必要だから」と開けた口が、そのまま何年も開きっぱなしになっている。接続してきたのが本当にベンダーの担当者だったのか、何をしたのかが後から確認できない。契約書には保守の範囲は書いてあるが、接続の方法や記録の取り扱いは書かれていない。こうした状態は珍しくありません。
公表されている医療機関の被害事例に共通する構造のひとつが、保守目的で用意されたネットワーク機器や接続経路が侵入の起点になっていたというものです。攻撃の詳細は本記事では扱いませんが、防御側の結論ははっきりしています。保守経路は、院内ネットワークの一部として設計・管理されるべき対象であり、ベンダー任せにできる領域ではありません。
本記事は、医療機関の情報システム担当者・事務長が、保守接続の管理を見直すときに確認する項目を整理したものです。技術的な設定の細部よりも、誰が何を決め、何を記録し、契約にどう書くかに重点を置いています。
免責：本記事は一般的な情報提供です。医療情報システムの安全管理に関する要求事項は、厚生労働省「医療情報システムの安全管理に関するガイドライン」および関係省庁の公表資料が正本です。具体的な設定・運用の判断は、それらと自院のシステム構成、契約先ベンダーの仕様に基づいて行ってください。
なぜ保守経路が管理対象になるのか
医療機関にとって保守接続は「ベンダーの仕事の都合」に見えがちですが、ガイドライン上の位置づけは違います。
厚生労働省「医療情報システムの安全管理に関するガイドライン」第6.0版は、全ての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者を対象としています。保守は明示的に対象範囲に含まれており、規模や種類を問いません。つまり、保守のためにベンダーが接続してくる経路も、医療機関が把握し管理すべき対象です。
さらに2026年度の診療報酬改定では、電子的診療情報連携体制整備加算が新設されました。医療情報取得加算と医療DX推進体制整備加算を廃止・統合し、そこにサイバーセキュリティ対策の評価を組み込んだもので、共通要件としてガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置が求められます。セキュリティ対策は「余裕があればやること」ではなく、算定に関わる要件になりました。改定全体の整理は 2026年度診療報酬改定の全体像 を、ガイドラインの基礎は 3省2ガイドラインとは をご覧ください。
管理対象として見ると、保守経路には次の性質があります。
- 権限が強い。障害調査のために管理者権限で入ることが多く、参照できる範囲が広い
- 院内の監視から外れやすい。ベンダー専用の経路として別扱いになっていると、通常のログ監視の対象から抜ける
- 複数のベンダーが同じ構造を持つ。電子カルテ、画像、検査、会計と、システムごとに別の保守経路が存在する
- 担当者が入れ替わる。契約している会社は同じでも、実際に接続する個人は変わっていく
ここを放置すると、「何本の保守経路があるのか、誰も一覧を持っていない」という状態に行き着きます。まず作るべきは対策ではなく、一覧です。
まず保守経路の一覧をつくる
対策の前に現状把握です。次の項目を、システム単位・ベンダー単位で棚卸しします。
| 確認項目 | 確認の観点 | よくある実態 |
|---|---|---|
| 対象システム | どのシステムの保守か | 一覧化されておらず、担当者の記憶に依存している |
| 接続方式 | VPN／専用線／リモートデスクトップ／保守用機器 | 方式がシステムごとにばらばらで、管理主体が曖昧 |
| 接続の常時性 | 常時接続か、都度開通か | 導入時のまま常時接続になっている |
| 接続元 | どの組織のどの拠点から接続するか | 「ベンダーの社内から」としか分かっていない |
| 認証方式 | ID・パスワードのみか、多要素認証か | 共有IDで運用されている |
| 権限 | 管理者権限か、必要最小限か | 全システムの管理者権限が付与されている |
| 記録 | 接続ログ・作業記録が残るか | ベンダー側にはあるが、医療機関側では見られない |
| 契約上の記載 | 保守契約に接続方法が書かれているか | 「保守を行う」としか書かれていない |
| 再委託 | ベンダーが第三者に再委託していないか | 確認していない |
この表を埋めるだけで、優先的に手を入れるべき経路が浮かび上がります。**すべてを同時に直す必要はありません。**権限が強く、常時接続で、記録が残っていない経路から着手するのが順当です。
棚卸しの副次的な効果として、「契約が切れているのに経路だけ残っている」「導入時の検証用に開けた口が閉じられていない」といった不要な経路が見つかることがあります。使われていない経路を閉じるのは、費用がかからず効果が確実な対策です。ネットワーク全体の構成整理については ネットワーク分離と資産管理 を参照してください。
常時接続をやめ、必要なときだけ開ける
保守経路の管理で最も効果が大きいのは、接続を「その都度」に切り替えることです。
常時接続には運用上の利点があります。夜間・休日に障害が起きても、医療機関側の誰かが操作しなくてもベンダーが対応に入れる。この利便性は本物です。しかし裏返せば、医療機関が把握しないうちに接続が行われ得るということでもあります。
現実的な設計は、次のような段階になります。
| 方式 | 概要 | 医療機関側の負担 | 向くケース |
|---|---|---|---|
| 常時接続（現状維持） | 経路が常に開いている | なし | 推奨しない。やむを得ない場合は監視と記録で補う |
| 申請ベースの都度開通 | 作業依頼を受けてから経路を開き、終了後に閉じる | 開通・閉塞の運用が必要 | 日中帯の計画作業。まず適用しやすい |
| 時間帯限定の開通 | 保守可能な時間帯を定め、その範囲でのみ接続可能とする | 初期設定のみ | 夜間対応が必要だが常時は避けたい場合 |
| 物理的な切り離し | 保守用機器を通常は電源断・線を抜いた状態にする | 現地での操作が必要 | 医療機器など、常時接続を避けたい対象 |
「都度開通にすると夜間の障害対応が遅れる」という懸念は、実際に議論になる点です。ここは、時間帯限定の開通と、緊急時の開通手順（誰が、どの連絡経路で依頼し、誰が承認して開けるか）を事前に決めておくことで折り合いをつけます。重要なのは、緊急時の手順を文書にして訓練しておくことです。手順が頭の中にしかないと、結局「常時開けておいたほうが安全だ」という結論に戻ってしまいます。
なお、保守にVPN機器を用いている場合は、その機器自体の脆弱性管理が別途必要です。公表されている被害事例では、既知の脆弱性が修正されないまま放置されていた機器が関与している構造が繰り返し現れます。詳細は VPN機器の脆弱性対策 にまとめています。
接続元と権限を限定する
「いつ開けるか」に加えて、「どこから、誰が、どこまで」を限定します。
接続元の限定
接続を許可する送信元を、ベンダーの特定拠点・特定の接続元に絞ります。これにより、仮にベンダーの認証情報が外部に渡ったとしても、想定外の場所からは接続できません。実務上は、ベンダーに対して「保守作業はこの拠点から行う」という運用を守ってもらう必要があるため、契約・覚書の段階で合意しておくのが確実です。担当者が在宅勤務から接続していた、といった事態を後から知ることを避けられます。
認証の強化
保守用アカウントを共有IDで運用しているケースは今も見られます。共有IDでは「誰が接続したか」が特定できず、担当者が退職しても認証情報が残り続けます。少なくとも次を満たす形に変えていきます。
- アカウントは個人単位で発行する
- 多要素認証を適用する（多要素認証の導入 を参照）
- 担当者の異動・退職時に医療機関へ連絡し、アカウントを廃止する手順を定める
- パスワードの要件は院内の方針と整合させる（パスワードポリシーの設計）
権限の限定
保守だからといって、全システムの管理者権限を常時付与する必要はありません。作業内容に応じて必要な範囲の権限を与え、特権が必要な作業は申請・承認のうえで一時的に付与する形が望ましい姿です。特権IDの扱い方は アクセス権限設計と特権ID管理 で詳しく扱っています。
接続先の限定
保守経路から到達できる範囲を、対象システムに限定します。電子カルテの保守用に開けた経路から、画像システムや事務系のファイルサーバへ横移動できる構成になっていないかは、設計の確認が必要です。
作業記録を残し、医療機関側で確認する
保守作業の記録は、「ベンダーが持っている」だけでは不十分です。医療機関側で確認できる形にしておく必要があります。
残すべき記録は次の3層に分かれます。
| 層 | 内容 | 保持者 | 確認のタイミング |
|---|---|---|---|
| 接続ログ | いつ、どのアカウントが、どこから接続したか | 医療機関（ネットワーク機器・認証基盤） | 定期点検時。異常検知時 |
| 作業記録 | 何の目的で、何を行ったか | ベンダーから医療機関へ提出 | 作業完了時 |
| 変更記録 | 設定・プログラムに何を変更したか | ベンダーから医療機関へ提出 | 変更作業ごと |
このうち抜けやすいのが接続ログを医療機関側で持つことです。ベンダーの接続を医療機関の認証基盤やネットワーク機器で受けていれば、接続の事実は医療機関側にも残ります。この記録があるかどうかで、インシデントが起きたときの調査の可否が分かれます。ログの設計全般は ログ管理と監査証跡 を参照してください。
記録は取るだけでなく、見る運用がセットです。 月次で「今月の保守接続は何件あり、そのすべてに対応する作業記録があるか」を突き合わせる。この点検を続けるだけで、届け出のない接続が起きていないかを把握できます。点検の担当と頻度を決め、誰がやっても同じ手順で確認できるようにしておくと定着します。
契約・覚書で取り決める
技術的な設定だけでは足りません。保守はベンダーとの取引関係の上に成り立っているため、合意した内容を文書にしておくことが管理の前提になります。
保守契約・覚書に盛り込みたい項目は次のとおりです。
| 項目 | 取り決める内容 |
|---|---|
| 接続の方式 | 使用する経路・方式。常時接続とするか都度開通とするか |
| 接続元 | 作業を行う拠点・接続元の限定 |
| 接続可能時間帯 | 平常時の作業時間帯と、緊急時の取り扱い |
| アカウント管理 | 個人単位の発行、認証方式、異動・退職時の連絡義務 |
| 権限 | 付与する権限の範囲。特権が必要な場合の申請手順 |
| 作業記録 | 提出する記録の内容・様式・提出期限 |
| 再委託 | 再委託の可否。認める場合の事前承認と管理責任 |
| 責任分界 | 医療機関とベンダーの責任範囲（責任分界点の決め方） |
| インシデント時の連絡 | 検知から連絡までの時間、連絡先、提供される情報 |
| 契約終了時 | アカウントの廃止、経路の閉塞、貸与機器の返却 |
再委託は見落とされやすい論点です。契約先の会社が、実際の保守作業を別会社に委託していることがあります。再委託自体が問題なのではなく、再委託先の管理水準を医療機関が把握できていないことが問題です。少なくとも、再委託の有無と、再委託先に同等の義務が課されているかを確認します。
契約終了時の取り扱いも明記しておきます。システムを入れ替えたのに旧ベンダーのアカウントと経路が残っている、という状態は棚卸しでしばしば見つかります。電子カルテ更新時の論点は 電子カルテ更新時のセキュリティ要件 にまとめています。
これらは新規契約だけの話ではありません。既存の保守契約についても、更新のタイミングで覚書を交わす形で追加できます。ベンダー側に確認する質問の組み立て方は ベンダーへのセキュリティチェックシート が参考になります。
まとめ
保守接続の管理で押さえるべき点は次のとおりです。
- 保守経路はガイドラインの対象範囲に含まれ、医療機関が把握・管理すべき対象である。ベンダー任せにはできない
- 対策の前に一覧をつくる。システム単位で接続方式・常時性・権限・記録の有無を棚卸しし、不要な経路を閉じる
- 常時接続をやめ、都度開通または時間帯限定に切り替える。緊急時の開通手順を文書にし、訓練しておく
- 接続元・アカウント・権限・接続先を限定する。共有IDをやめ、個人単位＋多要素認証へ移行する
- 接続ログを医療機関側で保持し、作業記録と突き合わせる点検を定期的に行う。記録は取るだけでなく見る運用まで設計する
- 方式・接続元・記録・再委託・契約終了時の取り扱いを契約または覚書に明記する
保守経路の棚卸しを始めると、「どこまでを自院で決め、どこからをベンダーに求めるのか」という線引きが必要になります。この線引きは、システム構成と契約形態によって医療機関ごとに変わります。自院だけで整理するのが難しい場合は、お問い合わせ からご相談ください。医療情報システムの構成を踏まえて、優先順位のつけ方からお手伝いします。
なお、保守を受託する事業者側で「医療機関に説明できる管理体制をどう整えるか」を検討されている場合は、ISMS（ISO/IEC 27001）とは と ISMS認証取得支援サービス もあわせてご覧ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- 令和8年度診療報酬改定について｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
※ガイドラインの要求事項および診療報酬上の要件は、改定・疑義解釈により変わります。算定要件の詳細は厚生労働省の公表資料および地方厚生局の通知をご確認ください。