医療機関の情報セキュリティ規程を読むと、たいてい「USBメモリの使用は原則禁止」と書かれています。そして、同じ病院の放射線科では画像をCD-Rに焼いて患者さんに渡し、医師は学会発表のスライドを個人のUSBメモリで持ち帰り、検査機器のデータは技師がUSBで移している——という状態が並存しています。
これは規程が守られていないという話ではなく、規程が現場の必要を吸収できていないという話です。可搬媒体が使われ続けるのは、それを必要とする業務があるからです。禁止を強めるだけでは、使用が見えなくなるだけで、なくなりはしません。見えなくなった使用のほうが、管理としては危険です。
一方で、可搬媒体を介した情報の紛失・漏えいは、医療機関で継続的に起きているインシデントの類型です。暗号化されていない媒体に患者情報を入れて持ち出し、帰宅途中で紛失する。中古の機器を譲渡した際にデータが残っていた。こうした事案は、高度な攻撃を受けたわけではなく、日常業務の延長線上で起きます。
本記事は、医療機関が可搬媒体の管理を見直すときの考え方を整理したものです。制限・暗号化・台帳という定番の手段を扱いますが、最も重点を置くのは代替手段の提示です。使ってよい方法を示さないかぎり、禁止は機能しません。
免責：本記事は一般的な情報提供です。医療情報の取扱いに関する要求事項は、厚生労働省「医療情報システムの安全管理に関するガイドライン」および個人情報保護法・関係ガイドラインが正本です。具体的な運用は自院の状況に応じてご判断ください。
なぜ可搬媒体が論点になり続けるのか
まず、何のために使われているのかを把握します。ここを飛ばして規制を設計すると、必ず現場と衝突します。
| 用途 | よくある場面 | 代替の難しさ |
|---|---|---|
| 患者への画像提供 | 紹介・セカンドオピニオンのためCD-R等で渡す | 受け取る側の環境に依存するため、代替が進みにくい |
| 他院とのデータ授受 | 紹介元・紹介先との画像・検査データのやり取り | 相手の設備次第。地域連携基盤があれば代替可能 |
| 機器間のデータ移動 | 検査機器からの結果取り出し、機器への設定投入 | 機器がネットワーク非対応の場合は媒体しかない |
| 学会・研究のためのデータ持ち出し | 発表資料、症例のまとめ | 代替しやすい。手順と環境を用意すれば移行できる |
| バックアップ | 小規模施設での簡易バックアップ | 設計として見直すべき（バックアップ設計） |
| 業者による持ち込み | 保守作業でのプログラム・設定の持ち込み | 契約と手順で管理する（リモートメンテナンスの安全管理） |
この表を埋めると、代替できるものと、当面は残さざるを得ないものが分かれます。すべてを禁止するのではなく、残すものを決めて管理下に置くのが現実的な方針です。
厚生労働省が2025年5月14日に公表した「医療機関等におけるサイバーセキュリティ対策チェックリスト」およびマニュアルは、従来より具体的な項目を示しており、クラウド環境・BCP・IoT・BYODにも言及しています。媒体管理は単独の論点ではなく、端末管理・持ち込み機器の方針と地続きで考える必要があります。チェックリストの使い方は 厚労省のチェックリストをどう使うか、ガイドラインの基礎は 3省2ガイドラインとは をご覧ください。
持ち込み・持ち出しの制限を設計する
制限には、技術的な制限と運用上の制限があります。技術で止められるものは技術で止めるのが基本です。運用ルールだけに頼ると、守る人と守らない人が分かれ、結果として管理が成り立ちません。
| 手段 | 内容 | 留意点 |
|---|---|---|
| 端末側での媒体制御 | 端末のポートを制御し、未登録の媒体を使えなくする | 端末管理の仕組みが必要（端末管理）。医療機器には適用できないことが多い |
| 許可された媒体のみ使用可 | 院が配付した媒体だけを認識する設定にする | 最も効果が高い。配付・回収の運用とセット |
| 書き込みの制限 | 読み取りのみ許可し、書き出しを禁止する | 業者からの持ち込み対応に有効 |
| 部署・端末単位での例外設定 | 必要な部署・端末のみ使用可とする | 例外の一覧と見直し時期を決めておく |
| 物理的な封止 | 未使用ポートを物理的に塞ぐ | 医療機器など、ソフトで制御できない機器に有効 |
| 申請・承認制 | 使用のたびに申請し、記録を残す | 運用負荷が高い。件数が多い用途には向かない |
医療機関で難しいのは、端末側の制御が効かない機器が多い点です。検査機器や画像処理装置は、端末管理の仕組みの対象外であることが一般的です。この場合は物理的な封止と、機器の設置場所の入室管理で補います（ネットワーク接続医療機器のセキュリティ）。
持ち込み側の管理も設計に含めてください。保守業者が持ち込むUSBメモリは、外部環境で使われていた媒体です。持ち込みを認める場合は、事前の確認（ウイルスチェックの実施、専用媒体の使用）を手順として定め、契約にも記載します。
なお、「原則禁止」という書き方は避けたほうが管理しやすくなります。 「原則」があると、例外の範囲が定義されないまま各自の判断に委ねられます。禁止するものと、条件付きで認めるものを、用途ごとに書き分けるほうが実効性が上がります。
暗号化と、暗号化だけでは足りないこと
持ち出しを認める媒体は、暗号化を前提にします。紛失・盗難が起きても、内容が読めなければ被害の性質が変わります。
暗号化の方法は主に次の3つです。
| 方法 | 内容 | 向くケース |
|---|---|---|
| ハードウェア暗号化機能付きの媒体 | 媒体自体が暗号化機能を持ち、認証しないと読めない | 院として媒体を配付する場合の基本形 |
| 端末側での媒体全体の暗号化 | OSの機能等で媒体全体を暗号化する | 端末管理が行き届いている環境 |
| ファイル単位の暗号化 | 個別のファイルを暗号化して保存する | 他院・患者へ渡す場合。相手の環境で開ける必要がある |
院として媒体を配付し、暗号化機能付きのものに統一するのが、最も管理しやすい形です。職員が個人で買った媒体を持ち込む状態では、暗号化の有無を確認できません。配付方式にすると、後述する台帳管理とも整合します。
ただし、暗号化は万能ではありません。
- パスワードが媒体と一緒に持ち出されれば意味がない。媒体に付箋を貼る、ケースに書くといった運用は実際に起きます
- 暗号化しても、渡した先で復号された後の管理は及ばない。患者や他院に渡した媒体の扱いは相手方に依存します
- 持ち出した事実そのものは残る。何を持ち出したかが分からなければ、紛失時に影響範囲を説明できません
したがって、暗号化は「持ち出しを認める条件」であって、「持ち出しを管理したこと」にはなりません。何を、誰が、いつ、何のために持ち出したかの記録が別途必要です。紛失時の報告義務については 個人情報漏えい時の報告義務 をご確認ください。
廃棄時の取扱いも暗号化とセットの論点です。故障した媒体、更新で不要になった媒体、譲渡・返却する機器の内蔵ディスク。これらのデータ消去方法と、消去したことの記録を手順に含めてください。物理的な破壊を選ぶ場合も、誰がどう実施したかを残します。
台帳と点検
管理の実体は台帳です。媒体は「数えられる資産」として扱うのが基本です。
台帳に持たせる項目は次のとおりです。
| 項目 | 内容 |
|---|---|
| 管理番号 | 媒体に貼付し、現物と紐づける |
| 種類・容量 | USBメモリ、外付けディスク、光学媒体など |
| 暗号化の有無・方式 | 配付時に確認 |
| 保管場所 | 通常の保管場所と管理責任者 |
| 使用者 | 貸出中の場合の使用者と貸出日・返却予定日 |
| 用途 | 何のために使う媒体か |
| 持ち出し記録 | 持ち出しの日時・目的・持ち出した情報の概要 |
| 廃棄記録 | 廃棄日、消去方法、実施者 |
台帳は作るだけでなく、現物と突き合わせる点検が必要です。 年1回でよいので、台帳にある媒体が実際に存在するかを確認します。この点検で見つかるのは、行方不明の媒体だけではありません。台帳に載っていない媒体が現場で使われていることも分かります。
点検の頻度と担当は、次のように決めておくと定着します。
| 点検項目 | 頻度 | 担当 |
|---|---|---|
| 台帳と現物の突き合わせ | 年1回 | 各部署の管理責任者 |
| 持ち出し記録の確認 | 月次 | 情報システム担当 |
| 未登録媒体の使用状況の確認 | 四半期ごと | 情報システム担当 |
| 廃棄記録の確認 | 廃棄の都度 | 情報システム担当 |
| 業者持ち込み媒体の記録確認 | 月次 | 情報システム担当 |
なお、2026年度改定で新設された電子的診療情報連携体制整備加算は、共通要件としてガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置を求めています。加算1ではさらに、**複数方式によるバックアップ（一部はオフライン保管）**と、サイバー攻撃等を想定したBCPの策定・訓練が求められます。オフライン保管のための媒体も、当然ながら可搬媒体の管理対象です。 バックアップ用媒体を台帳から外さないでください。詳細は 2026年度診療報酬改定 と バックアップ設計 をご覧ください。
代替手段を用意する
ここが最も重要な節です。可搬媒体の使用を減らす最短の道は、媒体を使わずに済む方法を用意することです。
| 用途 | 代替手段 | 導入の考え方 |
|---|---|---|
| 院内での資料の受け渡し | 院内のファイル共有領域 | すでにある場合が多い。アクセス権の設計が前提（アクセス権限設計） |
| 他院とのデータ授受 | 地域医療連携のネットワーク、医療機関向けのセキュアなファイル送受信サービス | 相手方の環境確認が必要。段階的に対応施設を増やす |
| 学会・研究用の持ち出し | 院が認めたクラウドストレージ、持ち出し用の管理端末 | 用途を限定して認めるのが現実的。何を持ち出してよいかの基準も示す |
| 在宅・出張先での参照 | 安全な遠隔接続。持ち出し端末の管理 | 端末管理｜持ち出しPC・タブレット |
| 患者への画像提供 | 患者向けの提供方法の見直し | 相手の環境依存が大きく、当面は媒体が残る領域 |
| 機器からのデータ取り出し | 機器のネットワーク接続、専用の中継サーバ | 更新時に要件化する（調達要件にセキュリティを入れる） |
代替手段を用意するときの注意点を3つ挙げます。
第一に、使いやすさが採用率を決めます。 手順が複雑であれば、職員はUSBメモリに戻ります。認証の回数、操作の手数、待ち時間を実際に確認してください。
第二に、クラウドサービスを使う場合は、医療情報の取扱いに関する要件を満たすものを選ぶ必要があります。 一般向けのファイル共有サービスを職員が個別に使い始める状態は、媒体の持ち出しより管理が難しくなります。院として認めるサービスを明示することが、シャドーITの発生を抑えます。クラウド利用の論点は 医療機関のクラウドセキュリティ にまとめています。
第三に、周知と教育をセットにします。 「USBは禁止」とだけ伝えるのではなく、「この用途ではこの方法を使ってください」と示します。職員が困ったときに参照できる形——一枚の案内、部署への掲示——にしておくと定着が早まります。教育の設計は 職員教育・訓練の設計 をご覧ください。
まとめ
- 可搬媒体は用途ごとに整理する。すべてを禁止するのではなく、残すものを決めて管理下に置く
- 制限は技術で止められるものは技術で。許可された媒体のみ使用可とする配付方式が最も効果的
- 「原則禁止」と書かず、禁止するものと条件付きで認めるものを用途ごとに書き分ける
- 持ち出しを認める媒体は暗号化を前提にする。ただし暗号化は持ち出しの管理ではない。何を持ち出したかの記録が別途必要
- 媒体は数えられる資産として台帳で管理し、年1回は現物と突き合わせる。オフラインバックアップ用の媒体も対象に含める
- 最も効くのは代替手段の提示。使いやすさ、認めるサービスの明示、周知の3点をセットで用意する
可搬媒体の管理は、どの用途を代替できるかによって設計が変わります。自院の業務フローを踏まえた整理が必要でしたら、お問い合わせ からご相談ください。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- 個人情報保護委員会
- 情報処理推進機構（IPA）
- 令和8年度診療報酬改定について｜厚生労働省
※個人データの漏えい等が発生した場合の報告・通知の要否および期限は、個人情報保護法および個人情報保護委員会のガイドラインをご確認ください。