【第7回】医療情報セキュリティガイドライン第6.0版とは？クリニックが今すぐ取り組むべきサイバーセキュリティ対策

医療DXの進展によって、電子カルテが外部のネットワークとつながる機会が急激に増えています。データが連携されて便利になる一方で、絶対に無視できないのが「サイバーセキュリティ対策」です。

ニュースなどで「大病院がランサムウェア（身代金要求型ウイルス）の被害に遭い、診療が何週間もストップした」という報道を目にした方も多いのではないでしょうか。

「うちは小さなクリニックだから狙われないだろう」 「システムはベンダー（業者）に任せているから大丈夫」

……実は、こうした油断が一番危険です。今回は、国が定める最新の「医療情報システムの安全管理に関するガイドライン第6.0版」をベースに、クリニックが今すぐ行うべきセキュリティ実務を分かりやすく解説します。

HTML版はこちら

なぜ今、クリニックのセキュリティ対策が義務化されているのか？

結論から言うと、国は診療報酬や施設基準の要件を通じて、すべての医療機関にセキュリティ対策を実質的に義務化しています。

サイバー犯罪者は、セキュリティの強固な大病院を直接狙うのではなく、ガードの甘い「地域のクリニック」を足がかり（踏み台）にして、ネットワークでつながった大病院や地域連携システム全体を攻撃するケースが増えているからです。

つまり、自院のセキュリティ対策を怠ることは、「地域医療全体のネットワークを危険にさらすリスク」になってしまうのです。

ガイドライン第6.0版でクリニックが押さえるべき「4つの要点」

厚生労働省のガイドラインは非常に膨大ですが、クリニックの経営者・事務長が実務として押さえるべきポイントは以下の4つに絞られます。

1. 安全管理のための「チェックリスト」の実施

国は、医療機関が最低限守るべき項目をまとめた「セキュリティチェックリスト」を提供しています。 「自院のパソコンのOSは最新か」「パスワードは適切に管理されているか」「退職者のアカウントは削除されているか」といった項目を定期的に点検し、その点検結果を記録（台帳化）しておくことが求められます。

2. 「オフラインバックアップ」の確保

ランサムウェアの特徴は、ネットワークでつながっているデータ（バックアップデータも含む）をすべて暗号化して人質に取ることです。 そのため、万が一ウイルスに感染してもデータを復旧できるよう、「ネットワークから完全に切り離された場所（外付けHDDなど）」に定期的にバックアップを取る運用ルールが必要です。

3. BCP（災害・サイバー攻撃時の業務継続計画）の策定

「もし今、電子カルテが完全に動かなくなったら、目の前の患者さんの診療をどう継続するか」のシミュレーション（計画）はありますか？

• 代替の「紙カルテ」や予備の用紙はどこにあるか

• 外部（ベンダー、厚生局、警察など）への緊急連絡先は一覧化されているか

こうした万が一の対応手順をまとめた「BCPマニュアル」の作成が、これからの医院運営には不可欠です。

4. スタッフへの「セキュリティ教育・研修記録」

システムをどれだけ強固にしても、スタッフが不審なメールの添付ファイルを開いてしまえばウイルスに感染します。 院内で定期的にセキュリティに関する研修や周知を行い、「いつ、誰が、どんな研修を受けたか」という実績を研修記録（証憑）として残すことが、施設基準などの監査でも重要視されます。

医院長・事務長が「今すぐ」始めるべき3つのステップ

直近の診療報酬改定でも、セキュリティ対策の実施が加算の要件に組み込まれています。点数を取りこぼさないためにも、以下のバックオフィス実務を進めましょう。

① セキュリティチェックリストのダウンロードと実施

厚生労働省のホームページから「医療機関向けセキュリティチェックリスト」をダウンロードし、事務長とシステムベンダーが一緒に現在の状況をチェックしてください。

② 自社ウェブサイト（HP）での情報公開チェック

診療報酬の加算要件（医療DX推進体制整備加算など）を算定する場合、自院のホームページ等で「適切なセキュリティ対策を講じた上で医療DXを推進している」旨を公開することが義務付けられています。掲載内容に漏れがないか確認しましょう。

③ 対策に関わる「証憑（しょうひょう）管理」の徹底

セキュリティ対策のために導入したUTM（専用ルーター）やバックアップ機器、ウイルス対策ソフトの契約書、領収書、設定報告書、そして前述の「点検記録」や「研修記録」は、すべて一元管理してすぐに取り出せる状態にしておいてください。

まとめ：セキュリティは「患者さんと医院を守る最大の投資」

サイバーセキュリティ対策は、一見すると売上を生まない「コスト」に見えるかもしれません。

しかし、ひとたび被害に遭えば、診療停止による減収、患者さんへの謝罪、社会的信用の失墜、システム復旧のための膨大な費用など、クリニック経営に致命的なダメージを与えます。

医療DXという「攻めの経営」を支えるためには、セキュリティという「守りのバックオフィス」を仕組み化することが大前提です。

次回（第8回）は、これまで解説してきた医療DXの波を乗りこなすために、クリニックのバックオフィスが取り組むべき「働き方改革と実務効率化の総仕上げ」について解説します。

💡 医院長・事務長向けFAQ

Q. セキュリティ対策はすべてベンダー（メーカー）任せではダメですか？ A. ガイドライン上、セキュリティ管理の最終責任は「医療機関の経営者（院長）」にあると明記されています。ベンダーに対して「ガイドラインに沿った対策ができているか」を質問し、報告を受ける主導権はクリニック側にあります。

Q. スタッフ向けのセキュリティ研修は、大がかりなものをやる必要がありますか？ A. いいえ。朝礼やミーティングの時間を使い、「不審なメールは見開かない」「パスワードの使い回しはしない」といった基本的な注意点を共有するだけでも立派な研修です。大切なのは、それを「実施記録」として書類（台帳）に残しておくことです。

Q. 365メディカルでは、セキュリティ対策についてどのようなサポートが可能ですか？ A. 厚労省ガイドラインに沿った「院内チェックリストの運用作成」「サイバー攻撃想定のBCPマニュアルの策定支援」「スタッフ向け研修台帳の整理」「ホームページへのセキュリティ対応文面の掲載」など、医療事務や診療の合間では手が回りきらない『書類と運用の仕組み化』を丸ごとサポートいたします。

※本記事は一般的な情報提供を目的としています。実際のセキュリティ対策の導入、ガイドラインの遵守、診療報酬の算定にあたっては、必ず厚生労働省の最新のガイドライン（医療情報システムの安全管理に関するガイドライン）や公式発表をご確認ください。