情シス
病院のサイバーセキュリティ対策とは？サイバー攻撃事例と確認すべきポイントを解説
【監修】小松 大介
はじめに
病院では、電子カルテや医事会計システム、検査システム、画像管理システムなど、多くの医療情報システムが診療業務を支えています。一方で、サイバー攻撃によってこれらのシステムが停止した場合、診療継続や患者情報の管理に大きな影響が及ぶおそれがあります。
近年は、医療機関を狙ったランサムウェア攻撃や、VPN機器の脆弱性を悪用した侵入、電子カルテに関わる情報漏洩リスクなどが問題となっています。厚生労働省も、医療機関・薬局向けのサイバーセキュリティ対策チェックリストを公表し、優先的に取り組むべき事項を整理しています。
本記事では、病院がサイバー攻撃を受けた場合に起こり得る影響や、代表的な攻撃手口、医療機関が確認すべきセキュリティ対策について解説します。
病院でサイバーセキュリティ対策が重要視される背景
医療情報システムへの依存度が高まっているため
以前は紙の記録や手作業で対応していた業務も、現在ではシステム上で管理される範囲が広がっています。診療記録、検査依頼、処方、会計、入退院管理など、多くの業務がシステムを前提に運用されています。
そのため、病院のサイバーセキュリティ対策は、単なる情報管理の問題ではなく、日常業務を安定して続けるための基盤として重要性が高まっています。
患者情報・診療情報という機微な情報を扱っているため
病院では、氏名、住所、保険情報などの個人情報に加えて、病名、検査結果、処方内容、診療録などの診療情報を扱っています。
これらは患者にとって非常に機微性の高い情報であり、医療機関には適切な管理が求められます。電子カルテや部門システムの利用が進むほど、アクセス権限、ログ管理、端末管理、外部委託先との役割分担などを継続的に確認する必要があります。
患者情報・診療情報を安全に管理することは、医療安全や患者からの信頼を守るうえでも欠かせません。
医療DXの進展により、外部接続やクラウド利用が増えているため
近年は、オンライン資格確認、電子処方箋、電子カルテ情報共有サービス、クラウド型電子カルテなど、医療DXに関連する取り組みが進んでいます。
こうした仕組みは、業務効率化や情報連携の強化につながる一方で、外部システムとの接続やクラウドサービスの利用が増えることにもつながります。
そのため、医療DXを進める際には、システムの利便性や導入費用だけでなく、セキュリティ対策もあわせて確認することが重要です。
医療DXそのものが危険というわけではありません。重要なのは、新しいシステムやサービスを導入する際に、セキュリティや運用体制まで含めて設計することです。
病院で発生するサイバー攻撃の主な種類
病院へのサイバー攻撃には、さまざまな種類があります。代表的なものとして、ランサムウェア攻撃、VPN機器やリモートアクセス環境の脆弱性を突いた攻撃、標的型メール・フィッシング、委託先・保守業者経由の侵入などが挙げられます。
ここでは、病院が特に注意したい主なサイバー攻撃の種類について解説します。
ランサムウェア攻撃
ランサムウェア攻撃とは、システムやデータを暗号化し、復旧と引き換えに金銭などを要求する攻撃です。
病院では、電子カルテ、医事会計システム、検査システム、画像管理システムなど、多くのシステムが一つの院内ネットワークでつながっています。そのため、ランサムウェアに感染すると、院内の複数システムに影響が広がる可能性があります。
また、ランサムウェア攻撃では、単にデータを暗号化されるだけでなく、情報を外部に持ち出したうえで公開を示唆されるケースもあります。
ランサムウェアは、医療機関におけるサイバー攻撃の中でも特に注意が必要な攻撃の一つです。独立行政法人情報処理推進機構（IPA）も、ランサムウェアの危険性や対策に関する情報を公開しています。
参考：独立行政法人情報処理推進機構（IPA）「ランサムウェア対策特設ページ」
VPN機器やリモートアクセス環境の脆弱性を突いた攻撃
VPN機器やリモートアクセス環境の脆弱性を突いた攻撃も、医療機関で注意すべきサイバー攻撃の一つです。
病院では、電子カルテや部門システム、ネットワーク機器などの保守のために、外部のベンダーや保守会社がリモート接続を行うことがあります。こうした接続環境が適切に管理されていない場合、攻撃者の侵入口になる可能性があります。
標的型メール・フィッシング
標的型メールやフィッシングは、職員にメールを送り、添付ファイルの開封やURLへのアクセスを促す攻撃です。
一見すると通常の業務連絡のように見えるメールでも、実際にはマルウェア感染や認証情報の窃取を目的としている場合があります。
病院では、医師、看護師、事務職、委託先、非常勤職員など、多くの関係者がメールや業務システムを利用します。そのため、セキュリティ知識の少ない職員が不審なメールを開いてしまうことで、院内ネットワークに影響が及ぶ可能性があります。
標的型メールやフィッシングへの対策では、システム上の防御だけでなく、職員が不審なメールに気づき、適切に報告できるようにする教育も重要です。
委託先・保守業者経由の侵入
病院のシステムは、電子カルテベンダー、医事会計システムの保守会社、ネットワーク保守会社、医療機器メーカーなど、複数の外部事業者と関わりながら運用されています。
そのため、病院側のシステムだけでなく、委託先や保守業者との接続方法、アカウント管理、保守時のルールも確認する必要があります。
たとえば、保守用アカウントが共有IDになっている、接続元が制限されていない、作業ログが確認できない、契約終了後もアカウントが残っているといった状態はリスクになります。
サイバーセキュリティ対策は、病院単体で完結するものではありません。委託先や保守業者も含めて、誰がどの範囲を管理するのかを明確にしておくことが重要です。
病院のサイバー攻撃事例から見える主なリスク
電子カルテ・院内システムの停止による診療制限
病院でサイバー攻撃が発生すると、電子カルテや院内ネットワーク、部門システムなどが利用できなくなることがあります。
電子カルテが使えない場合、過去の診療記録、検査結果、処方内容、アレルギー情報などをすぐに確認できなくなる可能性があります。また、検査依頼や処方、会計などの業務にも影響が広がります。
その結果、紙カルテでの運用に切り替えたり、外来診療や救急受入を一部制限したりする対応が必要になることがあります。
通常時は問題なく運用できているように見えても、システム停止時には、どの業務がどのシステムに依存しているかが一気に表面化します。
患者情報の漏洩・流出リスク
サイバー攻撃では、システム停止だけでなく、患者情報や診療情報の漏洩・流出リスクも問題になります。
病院が扱う情報には、氏名、住所、生年月日、保険情報などの個人情報に加え、病名、検査結果、処方内容、診療録などの診療情報が含まれます。
こうした情報が外部に流出した場合、患者への説明、行政への報告、問い合わせ対応、再発防止策の検討など、多くの対応が必要になります。
特に電子カルテに関わる情報漏洩は、診療情報という機微な情報を含むため、患者や地域からの信頼にも影響を及ぼす可能性があります。
病院が確認すべきサイバーセキュリティ対策
まずは厚生労働省のチェックリストで現状を確認する
病院のサイバーセキュリティ対策では、まず厚生労働省が公表している「医療機関におけるサイバーセキュリティ対策チェックリスト」を確認するとよいでしょう。
このチェックリストでは、医療情報システム安全管理責任者の設置、サーバー・端末PC・ネットワーク機器の台帳管理、リモートメンテナンス機器の確認、セキュリティパッチの適用、不要アカウントの削除、バックアップや復旧手順の確認など、医療機関が確認すべき基本項目が整理されています。
また、「医療機関確認用」と「事業者確認用」が含まれているため、電子カルテベンダーや保守会社など、外部事業者との役割分担を確認する際にも活用できます。
まずはPDFをダウンロード・印刷し、自院でチェックを入れながら確認すると、未対応の項目を整理しやすくなります。
アカウント・パスワード・権限管理を見直す
サイバーセキュリティ対策では、アカウントやパスワード、利用権限の管理が重要です。
病院では、医師、看護師、コメディカル、事務職、非常勤職員、委託先など、多くの関係者が電子カルテや各種システムを利用します。
退職者や異動者のアカウントが残っていないか、共通IDを利用していないか、管理者権限が必要以上に付与されていないかを確認しましょう。
また、可能な範囲で多要素認証を導入し、ID・パスワードだけに依存しない管理体制を整えることも重要です。
VPN・リモート接続環境を点検する
電子カルテや院内システムの保守では、ベンダーや保守会社が院外からリモート接続を行うことがあります。
このようなVPN機器やリモートアクセス環境は、適切に管理されていれば便利な仕組みです。一方で、脆弱性が放置されていたり、接続ルールが曖昧だったりすると、サイバー攻撃の侵入口になる可能性があります。
VPN機器のファームウェア更新、脆弱性情報の確認、不要な外部接続の停止、接続元制限、多要素認証、保守業者の接続ルールなどを確認しておきましょう。
VPNを利用していること自体が問題なのではなく、VPN機器やリモート接続環境が適切に管理されているかが重要です。
バックアップと復旧手順を整備する
サイバー攻撃に備えるうえでは、バックアップと復旧手順の確認も欠かせません。
バックアップを取得していても、復旧できる状態になっていなければ、実際の障害時には十分に機能しません。また、ランサムウェアに感染した場合、バックアップデータまで暗号化される可能性もあります。
そのため、バックアップの取得状況だけでなく、保管方法、世代管理、復旧手順、復旧にかかる時間などを確認しておくことが重要です。
病院では、電子カルテ、医事会計システム、検査システム、画像管理システム、ネットワークなど、優先的に復旧すべきシステムを事前に整理しておく必要があります。
職員向けの教育・訓練を実施する
サイバーセキュリティ対策では、システム上の対策だけでなく、職員への教育や訓練も重要です。
標的型メールやフィッシングでは、職員が不審なメールの添付ファイルを開いたり、偽のログイン画面にID・パスワードを入力したりすることがきっかけになる場合があります。
そのため、不審メールへの対応、USBメモリなど外部記録媒体の利用ルール、パスワード管理、端末やシステムに異変を感じた際の初動行動などを、院内全体で共有しておくことが大切です。
また、医師、看護師、事務職、委託先など、システムを利用する関係者が多い病院では、職種や雇用形態にかかわらず、基本的なルールを周知する必要があります。
研修を実施するだけで終わらせず、入職時の説明、定期的な注意喚起、簡易的な訓練などを通じて、日常業務の中で実践できる状態にしておくことが重要です。
インシデント発生時の連絡体制を決めておく
サイバー攻撃やシステム障害が発生した場合、初動対応の遅れが被害の拡大につながることがあります。
そのため、院内の責任者、情報システム担当者、システムベンダー、保守会社、顧問弁護士、行政、警察など、関係者への連絡体制を事前に整理しておくことが重要です。
特に病院では、システム復旧だけでなく、診療継続、患者対応、個人情報への対応、広報対応など、複数の観点から判断が必要になります。
事前に「誰が判断し、誰に連絡し、どの情報を共有するか」を決めておくことで、発生時の混乱を抑えやすくなります。
厚生労働省の研修・注意喚起情報も確認する
厚生労働省は、医療分野のサイバーセキュリティ対策に関する情報をまとめたページ「医療分野のサイバーセキュリティ対策について」を公開しており、注意喚起、研修、サイバー攻撃を受けた際の連絡先などを案内しています。
また、「医療機関向けセキュリティ教育支援ポータルサイト（MIST）」では、医療機関の経営層や医療従事者などを対象とした階層別研修や、院内教育に活用できるコンテンツ、インシデント発生時の相談・初動対応依頼窓口が用意されています。
サイバーセキュリティ対策は、一度確認して終わりではなく、最新の注意喚起や研修情報を確認しながら、院内の教育・運用に反映していくことが重要です。
電子カルテ・クラウドサービスを導入・更新する際に確認すべきセキュリティ項目
電子カルテやクラウドサービスを新たに導入・更新する際は、機能や費用だけでなく、セキュリティ面の確認も欠かせません。
特にクラウド型電子カルテについては、「オンプレミス型の方が安全ではないか」と言われることがあります。しかし、実際には「オンプレミス型だから安全」「クラウド型だから危険」と単純に分けられるものではありません。
重要なのは、システムの提供形態だけで判断するのではなく、導入後も安全に運用できる管理体制があるかを確認することです。
セキュリティ対策をベンダー任せにしない
クラウド型電子カルテは、サーバー管理、アップデート、冗長化、バックアップなどの面で、医療機関側の管理負担を抑えやすい場合があります。
一方で、クラウド型であっても、すべてのセキュリティ対策をベンダーに任せられるわけではありません。
ベンダーが管理する範囲と、医療機関側で管理する範囲を明確にし、自院に残る対応事項を把握しておくことが重要です。
具体的には、医療情報システムの安全管理に関するガイドラインへの対応状況、データセンターの管理体制、バックアップ、障害対応、冗長化、アクセスログ管理、脆弱性対応などを確認します。
また、障害やサイバー攻撃が発生した際に、どこまでをベンダーが対応し、どこからを医療機関側が判断するのかも重要です。
契約書やSLA、保守契約の内容を確認し、責任分界点を明確にしておくことで、導入後の認識のずれを防ぎやすくなります。
導入後の運用ルールまで含めて設計する
電子カルテやクラウドサービスは、導入して終わりではありません。安全に利用し続けるためには、導入後の運用・保守体制も確認しておく必要があります。
たとえば、定期的なセキュリティアップデートの方法、障害発生時の報告方法、バックアップや復旧訓練の実施状況、アクセスログの確認方法などを、導入前に確認しておくとよいでしょう。
また、システムの仕様変更や外部連携の追加があった場合に、セキュリティ上の影響をどのように確認するのかも重要です。
電子カルテやクラウドサービスを選ぶ際は、導入時の機能比較だけでなく、導入後も安全に使い続けられる運用・保守体制があるかを確認することが大切です。
まとめ
病院のサイバーセキュリティ対策は、システム部門だけで完結するものではありません。電子カルテや院内ネットワーク、外部接続、アカウント管理、職員の運用ルールまで含めて、自院の現状を整理することが重要です。
また、サイバーセキュリティ対策は、情報システム担当者だけに任せきりにするのではなく、経営層、事務部門、現場部門、外部ベンダーも含めて、継続的に管理・点検できる体制を整える必要があります。
医療DXを進めるほど、電子カルテやクラウドサービス、外部接続の利用は増えていきます。だからこそ、利便性や導入費用だけでなく、セキュリティと運用体制をセットで検討することが大切です。
シーズ・ワンでは、病院向けの電子カルテ導入支援や医療DX支援を通じて、システム選定だけでなく、院内業務の整理や運用設計まで含めた支援を行っています。セキュリティ面を含めた電子カルテ・医療DXの見直しをご検討の際は、お気軽にご相談ください。
関連記事：
病院の「ひとり情シス」問題とは？属人化のリスクと解決策を解説
監修
小松 大介
神奈川県出身。東京大学教養学部卒業／総合文化研究科広域科学専攻修了。 人工知能やカオスの分野を手がける。マッキンゼー・アンド・カンパニーのコンサルタントとしてデータベース・マーケティングとビジネス・プロセス・リデザインを専門とした後、（株）メディヴァを創業。取締役就任。 コンサルティング事業部長。（株）シーズ・ワン 常務執行役員。200箇所以上のクリニック新規開業・経営支援、300箇以上の病院コンサルティング、50箇所以上の介護施設のコンサルティング経験を生かし、コンサルティング部門のリーダーをつとめる。近年は、病院の経営再生をテーマに、医療機関（大規模病院から中小規模病院、急性期・回復期・療養・精神各種）の再生実務にも取り組んでいる。主な著書に、「診療所経営の教科書」「病院経営の教科書」「医業承継の教科書」（医事新報社）、「医業経営を“最適化“させる38メソッド」（医学通信社）他
