多要素認証・バックアップ・責任分界｜厚労省通知（10月28日）を受けて院長がすること

医療機関を狙うサイバー攻撃は、もはや大病院だけの脅威ではありません。「規模が小さいから標的にならない」という考え方は通用しない時代に入っています。近年の事例を見ると、予約システムや外部の保守用回線など、自院の「勝手口」にあたる外部ツールを起点とした不正アクセスが目立つようになりました。

本記事では、相次ぐ情報流出事案の背景にある「5つの構造変化」を紐解き、小規模な医療機関でも無理なく取り組める実践的なセキュリティ対策について詳しく解説します。

■ 変化1：病院の規模に関わらず狙われる「無差別攻撃」の急増

「狙われるような機密データはない」と考える経営層は少なくありませんが、現代のサイバー攻撃は特定の病院を狙い撃ちするものばかりではありません。多くの攻撃者はインターネット上を巡回し、セキュリティの穴（更新されていないシステムや機器の脆弱性）が開いている場所を自動で探索しています。

攻撃者にとって重要なのは「病院の大きさ」ではなく「侵入しやすいかどうか」です。防犯対策が甘い鍵を自動で見つけ出し、そこから侵入を試みる手法が一般化しています。

まずは院内にあるPC、電子カルテ、Web予約システム、Wi-Fiルーターなどの機器において、アップデートが止まっているものがないか一覧で把握することから始めましょう。

■ 変化2：委託先やSaaSを経由する「サプライチェーン攻撃」

自院のセキュリティをどれだけ強化していても、外部のサービスや保守回線に抜け道があれば侵入を許してしまいます。1つのサービス提供事業者が攻撃を受けると、そこを利用する多数の医療機関へ一斉に被害が広がる点が「サプライチェーン攻撃」の恐ろしい特徴です。

実際、予約受付システムやオンライン問診、保守用VPN機器といった外部との接続ポイントを足がかりにしたトラブルが相次いで報告されています。国もこの危険性を重視しており、外部接続領域の点検やセキュリティ適正化に向けた施策を強力に推進しています。

■ 変化3：システム停止にとどまらない「業務麻痺」と「二重恐喝」

身代金要求型ウイルス（ランサムウェア）による被害は、単にシステムが使えなくなるだけでは終わりません。過去の被害事例では、復旧までに数ヶ月を要し、その間はすべて紙のカルテや手作業での運用を余儀なくされ、大幅な診療制限と減収を招いたケースがあります。

さらに近年は、暗号化で業務を停止させるだけでなく「データを公開されたくなければ金を払え」と脅す「二重恐喝（ダブルエクストーション）」が主流化しています。病歴や問診内容といった極めて機微な患者情報の流出は、地域の信頼失墜に直結する重大なリスクです。

■ 変化4：「個人の注意」から「仕組みによる防衛」へのシフト

「怪しいメールを開かない」「複雑なパスワードを設定する」といった職員個人のリテラシーだけに頼る対策には限界があります。忙しい現場で人為的ミスを完全に防ぐことは不可能です。

そのため、厚生労働省の最新の案内でも、パスワード管理の見直しとともに「多要素認証（MFA）」の導入やログの確認が強く推奨されています。万が一パスワードが漏洩しても不正ログインを食い止める仕組みや、暗号化されても復元できるオフラインバックアップの確保など、「ミスが起きても致命傷にならない環境作り」が不可欠です。

■ 変化5：セキュリティ対策はコストではなく「医療安全への経営投資」

厚生労働省のガイドラインにおいても、医療情報の安全管理は経営管理層が主導すべき重要課題として整理されています。IT担当者任せにするのではなく、院長や理事長がリーダーシップを発揮して以下の対応を進める必要があります。

1. BCP（事業継続計画）と紙運用訓練の実施：システム停止時でも診療を継続できる体制づくり

2. 事業者との責任分界の明確化：トラブル発生時の責任範囲や対応事項の事前定義

3. 適切な予算とセキュリティ体制の確保：診療を守るための必要な投資判断

■ 今すぐ始められる！クリニック向け6つのチェックリスト

高額な設備投資をする前に、まずは以下の基本動作から点検してみましょう。

・利用中システムの棚卸し：電子カルテ、予約、問診、Webなどの委託先と緊急連絡先を整理する

・多要素認証と認証情報の点検：管理者権限を中心に多要素認証を設定し、使い回しを無くす

・バックアップ環境の再確認：ネットワークから切り離された場所に安全に保管されているか試す

・委託契約書の責任分界を確認：万が一のインシデント時の費用・復旧・連絡等の取り決めを調べる

・紙運用手順書の準備：予約・受付・会計・処方を手書きで運用できるフォーマットを揃えておく

・緊急連絡フローの策定：異常を検知した際の連絡ルートと責任者をあらかじめ決めておく

■ まとめ：安全な診療環境を守るために

オンライン予約や各種クラウドサービスの導入によって医療現場の利便性が向上した反面、システムが停止した際の影響範囲も格段に広がりました。

医療セキュリティへの取り組みは、単なるIT対策ではなく、地域患者の安心と診療体制そのものを守るための「医療安全への投資」です。「うちの規模なら安全」という固定観念を捨て、経営の視点からシステムと組織の防御力を高めていきましょう。

365メディカルでは、小規模クリニックのITインフラや委託先管理、セキュリティ運用方針の策定など、バックオフィス全般のサポートを行っています。システムの棚卸しや現状の脆弱性確認など、不安な点がございましたらお気軽にご相談ください。

【用語解説】

・ランサムウェア：データを暗号化して利用不能にし、復元と引き換えに金銭を要求する悪意あるプログラム。

・二重恐喝（ダブルエクストーション）：データの暗号化に加え、奪取した個人情報の暴露を盾に金銭を要求する攻撃手口。

・サプライチェーン攻撃：セキュリティが堅牢な標的を直接狙うのではなく、連携する委託先や外部サービス経由で侵入する手法。

・脆弱性：プログラムやネットワーク機器等に存在する安全上の欠陥や穴。

・多要素認証（MFA）：パスワードのほかに、ワンタイムパスワードや生体認証など複数の要素を組み合わせてログインする仕組み。

・責任分界：事故発生時に、医療機関とシステム提供事業者の双方が負うべき責任の範囲。

・BCP（事業継続計画）：緊急事態においても主要な業務を中断させず、早期復旧を図るための計画。

【引用・参照元】

・INTERNET Watch「メドレー『アットリンク』不正アクセス」（2026年10月15日）

・ScanNetSecurity「医療機器保守用 VPN 装置から侵入 ～ 日本医科大学武蔵小杉病院にランサムウェア攻撃」（2026年2月18日）

・ScanNetSecurity「ファインズの予約システムに不正アクセス、1,536,322件の予約者情報が影響」（2026年10月15日）

・厚生労働省 医療分野のサイバーセキュリティ関連報道資料（2026年10月）

※本記事は公表情報をもとに作成された一般的な解説です。個別の対策導入にあたっては最新の省庁ガイドラインや専門機関の情報をご確認ください。（情報確認日：2026年10月31日）