近年、医療機関を狙ったサイバー攻撃や不正アクセスによる情報漏えいのリスクが高まっています。
医療機関では、電子カルテやレセプトコンピュータ（ORCA）、オンライン資格確認、オンライン請求など、日々の診療業務でさまざまな情報システムを利用しています。
これらのシステムがサイバー攻撃を受けた場合、患者様の個人情報が漏えいするだけでなく、システムが使用できなくなり、診療や会計、レセプト請求などの業務に大きな影響が出る可能性があります。
厚生労働省からも、医療機関等に向けたサイバーセキュリティ対策の注意喚起やチェックリストが公表されています。
今回は、医療機関が確認しておきたいサイバーセキュリティ対策についてご紹介します。
1．医療機関がサイバー攻撃の標的になる理由
医療機関では、患者様の氏名・住所・生年月日・保険情報・診療情報など、機微性の高い個人情報を取り扱っています。
また、電子カルテやレセプトコンピュータなど、診療に欠かせないシステムがネットワークで接続されているため、システムへの不正アクセスやウイルス感染が発生すると、複数の業務に影響が及ぶおそれがあります。
代表的なサイバー攻撃には、次のようなものがあります。
① ランサムウェア
パソコンやサーバ内のデータを暗号化し、使用できない状態にしたうえで、データを元に戻すことと引き換えに金銭を要求する攻撃です。
電子カルテや診療情報にアクセスできなくなると、診療の継続に支障をきたす可能性があります。
② 不正アクセス
第三者がIDやパスワードなどを悪用し、医療機関のシステムへ不正にログインする攻撃です。
患者情報の閲覧・持ち出しや、システムの設定変更などにつながるおそれがあります。
③ フィッシングメール
実在する企業や関係機関を装ったメールを送り、偽のWebサイトへ誘導してIDやパスワードなどを入力させる手口です。
メールの添付ファイルやリンクを不用意に開くことも、ウイルス感染につながる場合があります。
2．厚生労働省からも注意喚起！令和8年度版チェックリストを確認しましょう
厚生労働省は、医療機関等におけるサイバーセキュリティ対策の重要項目をまとめた「令和8年度版 医療機関等におけるサイバーセキュリティ対策チェックリスト」を公表しています。
このチェックリストは、医療機関の立入検査においても確認される項目であり、令和8年度中に各項目への対応を進めることが示されています。
主な確認項目は次のとおりです。
- 医療情報システムの安全管理責任者を設置しているか
- サーバ・パソコン・ネットワーク機器を台帳で管理しているか
- 不要なアカウントを削除・無効化しているか
- セキュリティ更新プログラムを適用しているか
- パスワードの適切な設定や使い回し防止を行っているか
- USBメモリなど外部記録媒体の接続を制限しているか
- 二要素認証の導入について確認しているか
- サイバー攻撃発生時の連絡体制や復旧手順を整備しているか
- サイバー攻撃を想定した事業継続計画（BCP）を策定しているか
特に、令和8年度版では、医療機関だけでなく、医療情報システムを提供・保守する事業者側の確認項目も整理されています。
医療機関とシステム事業者の双方で、どこまで対応するのか、責任範囲を確認しておくことも重要です。
3．今すぐ確認したい5つのセキュリティ対策
サイバー攻撃を完全に防ぐことは困難ですが、日頃から対策を行うことで、被害の発生や拡大を抑えられる可能性があります。
医療機関では、次の5つのポイントを確認してみましょう。
① ID・パスワードを適切に管理する
システムごとに適切なID・パスワードを設定し、複数のシステムで同じパスワードを使い回さないようにしましょう。
また、職員の退職や異動があった場合には、不要となったアカウントを速やかに削除または無効化することが大切です。
厚生労働省の令和8年度版チェックリストでは、英数字を混在させた8桁以上のパスワードが示されており、二要素認証を採用するまでの間は13桁以上とされています。
② OS・ソフトウェアを最新の状態にする
パソコンやサーバ、ネットワーク機器などに脆弱性が残っていると、サイバー攻撃を受ける原因となる場合があります。
OSやソフトウェア、ネットワーク機器のファームウェアについて、メーカーや保守事業者から提供される更新情報を確認し、適切に更新しましょう。
なお、医療システムは更新によって動作に影響が出る場合もあるため、更新前には保守事業者へ確認することをおすすめします。
③ ウイルス対策・ネットワーク管理を徹底する
ウイルス対策ソフトの導入や定義ファイルの更新に加え、外部ネットワークとの接続状況を把握しておくことも重要です。
特に、VPN装置などのネットワーク機器は、古いファームウェアや設定の不備が不正アクセスの原因となる可能性があります。
使用している機器や接続環境を把握し、保守事業者と連携して適切に管理しましょう。
④ バックアップを確保する
ランサムウェアなどの被害によってデータが使用できなくなった場合に備え、定期的なバックアップを確保しておくことが重要です。
ただし、バックアップを取得しているだけでは十分とはいえません。
- バックアップが正常に取得できているか
- バックアップデータが安全に保管されているか
- 障害発生時にデータを復元できるか
- 復旧までの手順が明確になっているか
これらを定期的に確認しておきましょう。
⑤ サイバー攻撃発生時の対応を決めておく
万が一、サイバー攻撃や不正アクセスが発生した場合、初動対応が遅れると被害が拡大する可能性があります。
そのため、事前に次の内容を決めておくことが大切です。
- 院内の責任者・担当者
- システム保守事業者への連絡先
- ネットワークや端末を停止・隔離する際の連絡手順
- 診療を継続するための代替手段
- データ復旧までの対応方法
システムが停止した場合でも診療を継続できるよう、紙の診療記録や手作業での受付・会計など、代替運用についても検討しておきましょう。
4．サイバーセキュリティ対策はシステム事業者との連携も重要です
医療機関のセキュリティ対策は、院内だけで完結するものではありません。
電子カルテやレセプトコンピュータ、オンライン資格確認、ネットワーク機器など、複数のシステムが関係するため、それぞれの保守事業者と連携して対応することが重要です。
特に、次のような点は一度確認しておくことをおすすめします。
- 現在使用しているパソコン・サーバ・ネットワーク機器の管理状況
- リモートメンテナンスの接続方法や管理状況
- バックアップの取得方法と復旧手順
- セキュリティ更新の対応範囲
- 障害や不正アクセス発生時の連絡先
- 医療機関と事業者それぞれの対応範囲
「システムの保守を依頼しているから大丈夫」と考えるのではなく、保守契約の範囲や役割分担を確認しておくことが大切です。
5．まとめ：日頃からの対策が医療機関を守ります
医療機関におけるサイバーセキュリティ対策は、患者様の大切な個人情報を守るだけでなく、安定した診療体制を維持するためにも欠かせません。
サイバー攻撃は、特別な規模の病院だけが狙われるものではありません。日頃からID・パスワードの管理、システムの更新、バックアップの確認、緊急時の対応手順などを整備しておくことが重要です。
この機会に、厚生労働省の「令和8年度版 医療機関等におけるサイバーセキュリティ対策チェックリスト」を活用し、自院のセキュリティ対策を見直してみてはいかがでしょうか。
株式会社ティーエスアイでは、ORCA（WebORCA）をはじめとする医療システムの導入・運用をサポートしております。
医療システムやネットワーク環境についてご不明な点、確認したいことなどがございましたら、お気軽にご相談ください。
※システムごとの具体的なセキュリティ設定や対応範囲については、各システムの保守事業者へご確認ください。
参考資料
- 厚生労働省：医療分野のサイバーセキュリティ対策について
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/cyber-security.html?utm_source=chatgpt.com
最新の注意喚起、研修資料、ガイドラインなどが掲載されています。 - 令和8年度版 医療機関等におけるサイバーセキュリティ対策チェックリスト
https://www.mhlw.go.jp/content/10808000/001705950.pdf?utm_source=chatgpt.com
医療機関側・事業者側の確認項目を確認できます。 - 令和8年10月9日付：不正アクセスによる漏えい等の事案を踏まえた対応について
https://www.mhlw.go.jp/content/10808000/001763060.pdf?utm_source=chatgpt.com
直近の不正アクセス増加を踏まえた注意喚起です。