医療機関は「鍵のない金庫」になっていないか？

医療DX時代に見直すべきサイバーセキュリティ対策

医療DXの推進により、医療機関の業務は大きく変わり始めています。

オンライン資格確認、電子処方箋、電子カルテ情報共有サービス、診療情報の電子的連携、医療DX推進体制の整備。

これらは、患者さんにとっても、医療機関にとっても、利便性と効率性を高める重要な取り組みです。

しかし、その一方で、見落としてはならない大きなリスクがあります。

それが、医療機関を狙ったサイバー攻撃です。

電子カルテが止まる。予約システムが使えない。会計ができない。検査画像が見られない。処方や診療情報にアクセスできない。

このような事態は、単なる「情報漏えい」や「パソコンの不具合」では済みません。

診療そのものが止まり、患者さんの命や地域医療の継続に影響する重大な経営リスクです。

３６５メディカルでは、医療DXは「システムを入れること」だけではないと考えています。

本当に重要なのは、制度対応・運用管理・証跡管理・リスク管理まで含めて、医療機関の経営基盤を整えることです。

今回は、医療機関のサイバーセキュリティ対策状況から見えてきた課題をもとに、院長・事務長・管理者が今すぐ確認すべきポイントを整理します。

医療DXが進むほど「守るべき情報」は増えている

医療機関には、非常に重要な情報が集まっています。

• 患者情報

• 診療記録

• 検査データ

• 画像データ

• 処方情報

• 保険資格情報

• 会計情報

• 職員情報

• 取引先情報

これらはすべて、医療機関の診療継続に不可欠な情報です。

医療DXが進めば進むほど、情報は紙から電子へ移行します。

電子化は便利です。一方で、適切な管理ができていなければ、外部からの攻撃、内部不正、誤操作、端末紛失、バックアップ不備など、さまざまなリスクにさらされます。

つまり、これからの医療機関に必要なのは、単なるIT化ではありません。

必要なのは、次の3つです。

• 診療を止めないための医療DX

• 患者情報を守るための医療DX

• 制度改定に耐えられる運用体制

この3つを同時に整えることが重要です。

課題1：責任者はいるが、実務を判断できる専門人材が不足している

医療機関では、CISO、つまり情報セキュリティ統括責任者の設置が進んでいます。

大規模病院ではほぼ設置が進み、全体としても体制整備は進んでいるように見えます。

しかし、問題はその中身です。

責任者が置かれていても、その責任者が医療情報システムやサイバーセキュリティに精通しているとは限りません。

実際には、院長、事務長、総務責任者などが兼務しており、専門的な判断をシステムベンダに依存している医療機関も少なくありません。

この状態では、次のような問題が起こります。

• ベンダから提案された内容が妥当か判断できない

• 必要なセキュリティ投資の優先順位がつけられない

• チェックリストの意味を理解せず、書類だけを整えてしまう

• トラブル発生時に、誰が何を判断するのか決まっていない

これは、医療機関にとって非常に危険な状態です。

３６５メディカルの視点

これからの医療機関では、CISOや情報管理責任者を「名義上の役職」にしてはいけません。

重要なのは、責任者に次の3つをセットで持たせることです。

• 判断する権限

• 最低限の知識を得る学習機会

• 外部専門家に相談できる体制

院内に専門人材を常勤で置けない医療機関であっても、外部の医療DX支援、MSO、セキュリティ専門家と連携することで、実効性のある管理体制を作ることは可能です。

課題2：情報システム担当者がいない医療機関がまだ多い

サイバーセキュリティ対策で最も深刻なのは、人員不足です。

特に、中小規模の病院、診療所、歯科医院、薬局では、専任の情報システム担当者を置くことが難しいのが現実です。

現場では、次のような状態がよく見られます。

• パソコンに詳しい職員が何となく対応している

• 電子カルテ業者に任せている

• 院長や事務長が空いた時間で対応している

• トラブルが起きた時だけベンダに連絡している

しかし、サイバー攻撃は待ってくれません。

ランサムウェア、フィッシングメール、不正アクセス、VPN機器の脆弱性、古いOS、退職者アカウントの放置、USBメモリの利用、バックアップ未確認。

これらのリスクは、日常業務の中に潜んでいます。

情報システム担当者がいないということは、単に「ITに詳しい人がいない」という問題ではありません。

それは、次のような状態を意味します。

• リスクを発見する人がいない

• 記録を管理する人がいない

• アカウントを定期的に確認する人がいない

• 異常時に初動対応する人がいない

３６５メディカルの視点

小規模医療機関が、すべてを自前で対応するのは現実的ではありません。

だからこそ、これからは「外部化」と「共有化」が重要になります。

たとえば、次のような体制が考えられます。

• 外部の医療DX担当者を月額で活用する

• チェックリスト管理をクラウド化する

• ベンダとの対応履歴を記録する

• インシデント発生時の連絡先を一覧化する

• バックアップ確認やアカウント管理を定期業務にする

医療機関に必要なのは、高額なセキュリティ製品をいきなり導入することではありません。

まずは、誰が、何を、いつ確認するのかを決めることです。

課題3：BCPは作ったが、訓練していない

サイバー攻撃を想定したBCP、つまり事業継続計画の策定は進みつつあります。

これは大きな前進です。

しかし、BCPは作っただけでは機能しません。

電子カルテが使えなくなったとき、現場はどう動くでしょうか。

• 紙カルテ運用に切り替えられるのか

• 予約情報を確認できないとき、受付はどう動くのか

• 会計システムが止まったとき、診療費はどう処理するのか

• 検査画像が見られないとき、診療判断はどうするのか

• 誰がベンダに連絡するのか

• 誰が行政や関係機関への報告を判断するのか

これらは、実際に訓練していなければ動けません。

災害訓練と同じです。マニュアルが棚に入っているだけでは、いざという時に役に立ちません。

３６５メディカルの視点

医療機関におすすめしたいのは、大がかりな訓練ではありません。

まずは、机上訓練です。

たとえば、30分から1時間で構いません。

次のようなシナリオをもとに、院内で話し合ってみてください。

• 明日の朝、電子カルテが起動しなかったらどうするか

• 受付端末が使えなくなったらどうするか

• ネットワークが使えず、オンライン資格確認ができなかったらどうするか

• バックアップから復旧できるか

• 患者さんへの説明は誰が行うか

院長、事務長、看護師、受付、システム担当、ベンダ窓口で確認するだけでも、課題はかなり見えてきます。

BCPは、作ることよりも、使える状態にすることが重要です。

課題4：二要素認証への対応が遅れている

医療情報システムの安全管理において、二要素認証は重要なテーマです。

IDとパスワードだけでは、もはや十分とはいえません。

パスワードの使い回し、退職者アカウントの放置、フィッシングによる認証情報の流出などにより、ID・パスワード認証だけでは不正アクセスを防ぎきれないためです。

今後、医療情報システムでは、二要素認証への対応がより重要になります。

しかし、現場では次のような声も多くあります。

• 電子カルテが二要素認証に対応していない

• ベンダから具体的な案内がない

• 導入費用が分からない

• 現場の操作が煩雑になりそうで不安

• どのシステムまで対象なのか分からない

つまり、医療機関だけの努力では進めにくい領域でもあります。

３６５メディカルの視点

二要素認証については、医療機関側からベンダに確認することが重要です。

確認すべきポイントは、次の通りです。

• 現在利用している電子カルテは二要素認証に対応しているか

• レセコン、画像管理システム、予約システムは対応しているか

• 対応予定がある場合、いつ対応するのか

• どのような方式で対応するのか

• ICカード、ワンタイムパスワード、生体認証、端末認証など、現場に合った方式は何か

• 費用は初期費用なのか、月額費用なのか

• 既存システムに追加できるのか

重要なのは、ベンダ任せにしないことです。

医療機関側が、いつまでに、どのシステムを、どの水準まで対応するのか、ロードマップを持つ必要があります。

課題5：ベンダ任せではなく、責任分担を明確にする

医療機関のシステム運用では、多くの外部事業者が関与します。

• 電子カルテベンダ

• レセコンベンダ

• 画像システムベンダ

• ネットワーク業者

• ホームページ制作会社

• 予約システム会社

• クラウドサービス事業者

• 保守会社

ここで問題になるのが、責任分担の曖昧さです。

たとえば、次のようなケースです。

• これはベンダが対応していると思っていた

• 医療機関側で設定する必要があるとは知らなかった

• 契約に含まれていないと言われた

• 障害発生時に、どこに連絡すればよいか分からなかった

• バックアップは取っていると思っていたが、復旧確認はしていなかった

このような状態では、サイバー攻撃やシステム障害が起きた際に、初動が遅れます。

今後は、チェックリストを単なる提出書類ではなく、ベンダとの責任分担を確認するための実務ツールとして使うことが求められます。

３６５メディカルの視点

医療機関が確認すべきことは、非常にシンプルです。

• どこまでがベンダの責任か

• どこからが医療機関の責任か

• 障害時の連絡先はどこか

• 復旧に必要な時間はどれくらいか

• バックアップは誰が取得しているのか

• 復旧確認は誰が行うのか

• 契約書や保守契約に明記されているか

これらを曖昧にしたままにしておくと、いざという時に「責任の押し付け合い」になります。

チェックリスト、契約書、運用マニュアル、連絡体制図をセットで管理することが、これからの医療機関には必要です。

サイバーセキュリティは「IT部門の仕事」ではなく「経営課題」

医療機関のサイバーセキュリティ対策というと、IT担当者やベンダの仕事だと思われがちです。

しかし、これは経営課題です。

なぜなら、サイバー攻撃によって診療が止まれば、収益が止まるからです。

さらに、次のような影響も発生します。

• 患者さんからの信頼が損なわれる

• 職員の負担が急増する

• 行政対応や報告対応が発生する

• 地域医療への影響が出る

• 風評被害につながる可能性がある

つまり、サイバーセキュリティは、医療機関の経営継続、患者安全、職員の働き方、制度対応のすべてに関わるテーマなのです。

特に、令和8年度以降は、医療DX、診療報酬改定、施設基準、WEB掲載、証跡管理、医療情報連携などが一体的に進んでいきます。

医療機関は、これまで以上に「説明できる管理体制」を求められる時代に入っています。

まず確認すべき5つのチェックポイント

ここまで読んで、「では、何から始めればよいのか」と感じた方もいるかもしれません。

まずは、次の5つを確認してください。

1. 情報セキュリティ責任者は決まっているか

名前だけでなく、実際に判断できる体制になっているかを確認しましょう。

院長、事務長、情報管理担当、外部支援者の役割を明確にすることが重要です。

2. システムと端末の台帳はあるか

電子カルテ、レセコン、画像管理、予約、会計、オンライン資格確認、Wi-Fi、NAS、パソコン、タブレット、外部記録媒体などを一覧化しましょう。

何を守るべきか分からなければ、対策はできません。

3. バックアップと復旧手順を確認しているか

バックアップを取っているだけでは不十分です。

復旧できるか。誰が確認しているか。どれくらいの時間で復旧できるか。

ここまで確認する必要があります。

4. ベンダとの責任分担は明確か

契約書、保守範囲、緊急時連絡先、対応時間、復旧対応、バックアップ範囲を確認しましょう。

「たぶん対応してくれるはず」は危険です。

5. 年に数回、訓練しているか

電子カルテ停止、ネットワーク障害、ランサムウェア感染、停電などを想定し、机上訓練を行いましょう。

小さな訓練を継続することが、現場の対応力を高めます。

３６５メディカルが考える「これからの医療DX」

医療DXは、単に電子カルテやクラウドサービスを導入することではありません。

本当に重要なのは、次のような状態を作ることです。

• 制度改定に対応できる

• 施設基準や届出資料を管理できる

• WEB掲載や院内掲示を適切に更新できる

• チェックリストや証跡を残せる

• ベンダとのやり取りを記録できる

• トラブル時にも診療を継続できる

• 職員が迷わず動ける

これが、医療機関に必要な「運用できる医療DX」です。

３６５メディカルでは、医療機関・歯科医院・薬局・介護事業所が、制度対応と医療DXを無理なく進められるよう、MSO支援、オンライン事務長、365Registryなどを通じて、実務に即したサポートを行っています。

サイバーセキュリティ対策も、特別な大病院だけの話ではありません。

小規模クリニック、歯科医院、薬局、訪問看護、介護事業所にとっても、避けて通れないテーマです。

まとめ：医療機関に必要なのは「防御」だけでなく「復旧力」

サイバー攻撃を100％防ぐことは困難です。

だからこそ、これからの医療機関に必要なのは、攻撃を受けないための防御だけではありません。

攻撃を受けても、できるだけ早く診療を再開できる「復旧力」です。

そのためには、次のような準備が欠かせません。

• 責任者を明確にする

• システム台帳を整える

• ベンダとの責任分担を確認する

• バックアップと復旧手順を確認する

• BCPを作るだけでなく、訓練する

• 二要素認証への対応ロードマップを作る

• 証跡を残し、説明できる状態にする

医療機関は、患者さんの命と情報を預かる場所です。

「うちは小さいから狙われない」「ベンダに任せているから大丈夫」「チェックリストは出しているから問題ない」

そう考えているとすれば、今こそ見直しが必要です。

医療DX時代の医療機関経営では、サイバーセキュリティ対策はコストではありません。

診療を継続するための基盤投資です。

３６５メディカルは、医療機関が制度改定・医療DX・サイバーセキュリティ対応を一体で進められるよう、実務目線で支援していきます。

３６５メディカルにご相談ください

医療DX、施設基準、WEB掲載、証跡管理、サイバーセキュリティ対策、ベンダ管理に関して、

「何から始めればよいか分からない」「院内で管理する時間がない」「チェックリストや証跡を整理したい」「制度改定に対応できる体制を作りたい」

このようなお悩みがあれば、３６５メディカルにご相談ください。

医療機関・歯科医院・薬局・介護事業所の実務に合わせて、無理のない運用体制づくりを支援します。

お問い合わせはこちらhttps://www.365medical.or.jp/contact-4

引用・参考

・厚生労働省「医療情報システムの安全管理に関するガイドライン」・厚生労働省「医療機関におけるサイバーセキュリティ対策チェックリスト」・厚生労働省 健康・医療・介護情報利活用検討会 医療等情報利活用ワーキンググループ資料・医療機関のサイバーセキュリティ対策状況に関する各種公表資料・報道資料

免責事項

本記事は、医療機関における医療DXおよびサイバーセキュリティ対策の理解促進を目的とした一般的な情報提供です。

個別の医療機関における法的義務、施設基準、診療報酬算定、システム要件、契約責任等については、最新の厚生労働省資料、所管行政機関、専門家、システムベンダ等に確認のうえ対応してください。