医療機関のランサムウェア被害が公表されるたびに、侵入の入口として名前が挙がるのがインターネットに面した機器です。VPN装置、リモートアクセス機器、リモート保守用の接続口。公表されている事例に共通するのは、修正プログラムが既に公開されていたか、サポートが終了した機器が使われ続けていたという構造です。
これは「知らなかった」から起きる問題というより、運用が回っていないから起きる問題です。情報は公開されている。ベンダーからも通知は来ている。しかし24時間稼働の医療機関では再起動を伴う作業の時間が取りにくく、「今は止められない」が積み重なって、数か月・数年が経過する。
本記事は、その運用をどう組み直すかを扱います。技術的な設定手順ではなく、限られた人員で継続できる仕組みの話です。攻撃手法には触れず、防御側の観点に限って記述します。
免責：本記事は一般的な情報提供です。ガイドラインの解釈や診療報酬の算定要件は、厚生労働省をはじめとする関係省庁の公表資料が正本です。機器固有の対処は、各製品ベンダーの公式情報をご確認ください。
なぜ境界機器が入口になるのか
境界機器には、他の機器にない性質が3つあります。
1. 定義上、外部から到達できる
VPN装置は外部から接続されるために存在します。院内サーバであればネットワーク分離で守れますが、境界機器は外部からの到達性が仕様です。脆弱性が公開されれば、世界中からその機器を探す動きが始まります。
2. 認証の前段階で悪用される脆弱性がある
境界機器の脆弱性のなかには、正規の認証を経ずに悪用されうる種類のものがあります。この場合、パスワードを強固にしていても、多要素認証を入れていても、認証にたどり着く前に入られる構造になります。だからこそパッチ適用そのものが代替不可能な対策になります。
3. 「動いているから触らない」が最も強く働く
境界機器が止まれば、リモート保守も在宅勤務も止まります。影響範囲が広いため、作業の合意形成が難しい。結果として、院内サーバより更新が遅れやすいという逆説が生じます。
さらに医療機関特有の事情として、誰が管理しているのか曖昧という問題があります。電子カルテベンダーが設置した保守用の接続口、部門システムのベンダーが引いた回線、過去に在宅勤務対応で急いで導入した装置。設置した経緯が違うため、管理責任も分散しているのです。
まず資産を把握する
対策の第一歩は製品選定ではなく、何がインターネットに面しているかの列挙です。ここが曖昧なまま個別の製品を導入しても、守られていない経路が残ります。
列挙すべき対象は次のとおりです。
| 分類 | 具体例 | 見落としやすい理由 |
|---|---|---|
| リモートアクセス | VPN装置、リモートデスクトップゲートウェイ | 管理されていることが多いが、旧構成が残っていることがある |
| 保守用接続 | ベンダーの保守回線、リモート保守装置 | ベンダーが設置したため院内の台帳にない |
| 公開サーバ | Webサイト、予約システム、ファイル受け渡し | 委託先が運用していると院内で把握されない |
| ネットワーク機器 | ルータ、ファイアウォール、UTM | 管理画面が外部に開いている構成がある |
| 事務機器 | 複合機、UPS、監視カメラ、入退室装置 | 情報システムの対象と認識されていない |
| 医療機器 | 遠隔保守機能を持つ機器 | 医療機器として管理され、IT資産台帳にない |
最後の2行が、実務で最も抜けやすい領域です。複合機や監視カメラは「情シスの管轄ではない」と扱われがちですが、ネットワークに繋がり管理画面を持つ以上、境界機器と同じリスクを持ちます。医療機器についても、遠隔保守機能の有無と接続形態を把握しておく必要があります。
資産台帳に持たせるべき項目
| 項目 | なぜ必要か |
|---|---|
| 機器名・型番・ファームウェア版数 | 脆弱性情報が公開されたとき、該当するか即座に判断するため |
| 設置目的・利用部門 | 停止したときの影響範囲を判断するため |
| 管理責任者（院内） | 判断する人を決めておくため |
| 保守事業者・連絡先 | 対処を依頼する先を迷わないため |
| 保守契約の有無と期限 | 費用負担の議論を事前に済ませておくため |
| サポート終了（EOL）時期 | 更改予算を計画に載せるため |
| 外部からの到達経路 | 緊急時に切り離す判断をするため |
このうちファームウェア版数とEOL時期は、平常時には誰も見ませんが、脆弱性情報が出た日に「うちは該当するのか」を判断できるかどうかを決めます。台帳の粒度は、その一点で評価してください。
資産の全体像を掴む作業は、ネットワークのセグメント設計と表裏一体です。ネットワーク分離と資産管理 と併せてご覧ください。全体の優先順位のなかでの位置づけは 医療機関のランサムウェア対策 で整理しています。
パッチ適用を止めない運用をどう作るか
「重要な脆弱性が出たらすぐ対応する」という方針は、方針としては正しくても運用にはなりません。誰が情報を受け取り、誰が影響を判断し、誰が作業日を決めるかが決まっていなければ、判断は止まります。
最低限決めておく4点
- 情報の受け口を一本化する：ベンダーからの通知、公的機関の注意喚起をどのメールアドレス・窓口で受けるか。担当者個人のメールに届く構成は、異動と休暇で途切れます
- 緊急度の判断基準を先に決める：「外部から到達できる機器で、認証前に悪用されうるもの」は最優先、といった区分をあらかじめ文書化しておく
- 作業枠をカレンダーに確保する：毎月・四半期ごとに、あらかじめ保守枠を押さえる。都度調整すると調整だけで数週間かかります
- 緊急時に回線から切り離す判断者を決めておく：修正プログラムが間に合わない場合、外部接続を一時的に止める判断が必要になります。その権限を誰が持つかを平常時に決めておく
緊急度の区分の例
| 区分 | 条件 | 目標対応 |
|---|---|---|
| 緊急 | 外部から到達可能／認証前に悪用されうる／悪用が確認されている | 定例を待たず対処。間に合わなければ回線切り離しを検討 |
| 高 | 外部から到達可能だが認証後／回避策がある | 次の保守枠で適用。それまで回避策を適用 |
| 中 | 内部からのみ到達可能 | 定例の保守枠で適用 |
| 低 | 到達経路が限定的／影響が軽微 | 更改時にまとめて対応 |
この区分は自院の実情に合わせて調整してください。重要なのは区分そのものより、区分が事前に文書化されていることです。脆弱性情報が出た当日に基準を議論していては間に合いません。
なお、脆弱性診断の実施頻度について「年1回以上」といった数値が二次情報で語られることがありますが、一次資料で確認できないものがあります。院内の規程や要件として定める際は、厚生労働省の公表資料および地方厚生局の通知でご確認ください（要一次確認）。
サポート終了（EOL）機器をどうするか
最も難しいのがこの論点です。サポートが終了した機器は、脆弱性が見つかっても修正プログラムが提供されません。 つまり「パッチを当てる」という対策が原理的に成立しない状態です。
にもかかわらず、医療機関でEOL機器が残り続ける理由は明確です。
- 更改には予算が必要で、年度の予算サイクルに乗せないと動けない
- 機器の更改が業務システムの改修を伴う場合がある
- 「まだ動いている」ため、投資の優先順位が上がらない
- そもそもEOLであることを把握していない
取り得る選択肢は4つです。
| 選択肢 | 内容 | 適する状況 |
|---|---|---|
| 更改 | 後継機種に置き換える | 原則。予算を確保できる場合 |
| 延長サポート | ベンダーの延長保守を購入する | 更改までのつなぎ。提供がある場合に限る |
| 到達経路の遮断 | 外部からの到達をやめ、内部専用にする | その機器の外部公開が必須でない場合 |
| 撤去 | 使用をやめる | 代替手段があり、実は不要になっている場合 |
実務では4つ目が意外に有効です。過去の経緯で導入され、現在はほとんど使われていない接続口が残っていることは珍しくありません。利用実態を確認したうえで撤去できれば、費用ゼロでリスクが消えます。資産棚卸しの副次的な効果として、この発見は頻繁に起こります。
予算化の説明については、2026年度診療報酬改定を材料にできます。電子的診療情報連携体制整備加算の共通要件に「医療情報システムの安全管理に関するガイドラインへの準拠」と「専任の医療情報システム安全管理責任者の配置」が置かれ、加算1（160点）ではさらに複数方式バックアップとBCP・訓練が求められます。セキュリティ投資が算定に接続された以上、コストではなく要件として説明することが可能になりました。改定の全体像は 2026年度診療報酬改定の全体像 を、責任者の選任は 医療情報安全管理責任者の役割と選任 をご覧ください。
多要素認証と併用する理由
境界機器の対策としてパッチ適用と並んで重要なのが、リモートアクセスへの多要素認証です。両者は代替関係ではなく、守る対象が異なります。
| 対策 | 防げるもの | 防げないもの |
|---|---|---|
| パッチ適用 | 機器の脆弱性を突かれること | 正規の認証情報が漏れて使われること |
| 多要素認証 | 認証情報が漏れても入られること | 認証前に悪用される脆弱性 |
つまりどちらか一方では穴が残ります。 認証情報の漏えいは、フィッシング、他サービスからの使い回し、委託先経由など多様な経路で起こります。パッチを完璧に当てていても、正規のIDとパスワードを持った接続は正常な利用と区別がつきません。
逆に、多要素認証を入れていても、認証にたどり着く前に悪用される脆弱性には効きません。「MFAを入れたのでVPNは安全」という説明は成り立たないということです。
導入の順序としては、リモートアクセスと特権IDからが定石です。全職員への一斉導入は運用負荷が大きく、共用端末や緊急時の扱いという医療現場固有の難しさもあります。詳しくは 多要素認証の導入 で扱います。接続してくる端末側の管理は 端末管理、接続後の権限の絞り込みは アクセス権限設計と特権ID管理 が対応する論点です。
ベンダーの保守接続については、契約とSLAで接続元・接続時間・作業記録をどう定めるかが論点になります。委託先の管理体制を確認する観点としては、事業者側の認証である ISMS（ISO/IEC 27001）の全体像 を知っておくと、質問すべき事項が整理しやすくなります。
年間の運用に落とす
最後に、ここまでの内容を年間サイクルとして整理します。
| 時期 | 作業 | 成果物 |
|---|---|---|
| 年1回 | 外部到達可能な機器の全数棚卸し | 更新された資産台帳 |
| 年1回 | EOL時期の一覧化と更改計画の予算反映 | 中期更改計画 |
| 四半期 | 保守枠での定例パッチ適用 | 適用記録 |
| 四半期 | 未対応脆弱性の棚卸しと期限管理 | 対応状況一覧 |
| 随時 | 緊急度「緊急」の脆弱性への対処 | 対処記録・判断記録 |
| 年1回 | 回線切り離し判断のフロー確認 | 訓練記録 |
記録を残すことは、監査や加算要件への対応という以前に、担当者の交代に耐えるための最低条件です。「前任者が何をどう判断したか」が残っていない状態は、脆弱性そのものと同じくらい運用上のリスクになります。
まとめ
- 公表されている被害事例に共通するのは、インターネットに面した機器の既知脆弱性とサポート終了機器の継続利用という構造
- 境界機器は外部から到達できることが仕様であり、認証前に悪用されうる脆弱性があるため、パッチ適用は代替不可能
- 対策の第一歩は資産の列挙。ベンダーが設置した保守回線、複合機、監視カメラ、遠隔保守機能を持つ医療機器が最も抜けやすい
- 台帳にはファームウェア版数とEOL時期を必ず持たせる。脆弱性公開日に「該当するか」を判断できるかどうかが台帳の価値を決める
- 運用は、情報の受け口の一本化・緊急度基準の事前文書化・保守枠の事前確保・回線切り離し判断者の決定の4点から作る
- EOL機器は更改・延長サポート・到達経路の遮断・撤去の4択。実は使われていない接続口の撤去は費用ゼロで効く
- パッチ適用と多要素認証は守る対象が違う。片方だけでは穴が残る
自院の境界にどの機器があるのか、それぞれのEOLと保守責任がどうなっているのかを整理する段階でお困りの場合は、お問い合わせ からご相談ください。棚卸しの観点と、ベンダーへの確認事項の整理をお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版｜厚生労働省
- 情報処理推進機構（IPA）
- 内閣サイバーセキュリティセンター（NISC）
- 令和8年度診療報酬改定について｜厚生労働省
※脆弱性への具体的な対処方法は、機器ベンダーの公式情報が正本です。診断や点検の頻度に関する要件は、厚生労働省の公表資料および地方厚生局の通知をご確認ください。