Vol.1225 　医療機関を狙うサイバー攻撃 ― 診療所にとってのセキュリティは医療安全の問題

医療機関を標的としたサイバー攻撃は、収束の兆しを見せていない。2026年に入ってからも被害の公表が続いており、2月には神奈川県の病院がランサムウェア攻撃を受け、院内システムの一部に障害が生じたうえ、患者および職員の個人情報が漏えいしたことを公表した。侵入経路は医療機器の保守用VPN装置であったと調査結果が示されている。3月には静岡県磐田市の病院が、ダークウェブ上に患者や関係者のデータが公開された旨を明らかにした。記憶に新しいところでは、2022年10月に大阪府の大規模病院で発生した事案があり、このときの侵入経路は患者給食業務の委託事業者が利用するVPN装置の脆弱性であった。

これらの事例に共通するのは、攻撃者が正面から病院の情報システムを破ったのではなく、外部と接続する周辺の装置を経由して侵入しているという点である。保守用の回線、委託事業者の環境、持ち込まれた端末。いずれも日常業務においては意識されにくい部分であり、そこが弱点となっている。

「うちは小さいから狙われない」は成り立たない

規模の小さな診療所において、サイバー攻撃は他人事と受け止められがちである。しかし、この認識は2つの点で誤っている。

第1に、攻撃の多くは特定の医療機関を狙い撃つのではなく、インターネット上で脆弱性を持つ機器を機械的に探索し、見つかったものに侵入するという手法をとる。標的の規模や知名度は、探索の段階では考慮されない。むしろ、専任の情報システム担当者を置けない小規模な施設のほうが、機器の設定や更新が放置されやすく、発見されやすい。

第2に、被害の性質が規模に依存しない。診療所において電子カルテとレセプトコンピュータが使用不能になれば、その日から診療は成り立たない。紙運用に切り替えるとしても、過去の診療録が参照できなければ、慢性疾患の処方すら安全に行えない。復旧に数週間を要した場合、その間の収入はほぼ失われ、しかも診療報酬の請求は滞る。資金繰りへの影響は、病院よりも診療所のほうがむしろ深刻である。

制度面でも位置づけは明確化されている。2023年4月1日施行の医療法施行規則の改正により、サイバーセキュリティの確保は医療機関の管理者が遵守すべき事項として位置づけられた。すなわち、対策は任意の努力ではなく、管理者の責務である。

診療所が現実に打てる手

限られた予算と人員の中で、何から着手すべきか。優先順位は明確である。

最も重要なのはバックアップである。しかも、ネットワークから切り離された状態で保管されたバックアップが不可欠となる。ランサムウェアは、接続されている記憶媒体を含めて暗号化するため、常時接続の外付けドライブに保存しているだけでは意味をなさない。加えて、バックアップは取得しているだけでは足りず、そこから実際に復旧できるかを試したことがあるかが問われる。復旧手順を一度も検証していないバックアップは、有事において機能しない可能性がある。

次に、外部と接続する機器の棚卸しである。院内にどのような機器がインターネットに接続されているのか、院長自身が把握しているだろうか。電子カルテのサーバ、レセプトコンピュータ、オンライン資格確認の端末、画像ファイリングシステム、Web予約システム、そして各種医療機器の保守用回線。消化器内科であれば内視鏡システムの画像管理装置、整形外科であればデジタルX線撮影装置と画像サーバが該当する。これらの機器について、ベンダーがどのような経路で保守を行っているのか、その経路は常時接続されているのか、機器のソフトウェアは更新されているのか。ベンダーに問い合わせて文書で回答を得ておくことを勧めたい。契約書に保守用回線の記載があるかを確認するだけでも、把握の第一歩となる。

第3に、認証情報の管理である。共用のアカウントを複数の職員が使い回している、初期設定のパスワードを変更していない、退職者のアカウントが残っている。いずれも診療所で頻繁に見られる状態であり、いずれも重大な脆弱性である。職員個人ごとにアカウントを分け、退職時には速やかに削除するという基本動作を徹底したい。誰がいつ何を操作したかの記録が残ることは、情報漏えいが疑われた場合の調査においても意味を持つ。

第4に、持ち込み端末と持ち出し端末の管理である。在宅医療に取り組む循環器内科では、訪問先で診療録を参照するためにタブレット端末を持ち出す。紛失や盗難のリスクは常に存在するため、端末の暗号化と遠隔からの消去機能は必須である。また、職員が私物の記憶媒体を院内の端末に接続することは、原則として禁止すべきである。過去の被害事例では、外部で感染した機器が院内に持ち込まれたことが契機となったものもある。

職員こそが最初の防衛線である

技術的な対策をどれだけ積み上げても、職員が不用意にリンクを開けば侵入は成立する。攻撃者が用いる手口の多くは、業務上のやり取りを装った電子メールである。「請求書の件」「保守作業のお知らせ」「予約システムからの通知」。医療機関の職員が日常的に受け取る種類の件名で送られてくるため、注意力だけで見抜くことは難しい。

現実的な対策は、職員個人の判断力に依存しない仕組みを作ることである。たとえば、添付ファイルを開く前に送信元のアドレスを目視で確認するという手順を定める、心当たりのない請求や保守の連絡については、メール上のリンクや電話番号ではなく、契約書に記載された連絡先に自ら架電して確認する、といった具合である。この「自分から掛け直す」という一手間が、最も費用のかからない有効な対策である。

同時に、報告しやすい空気を作ることが決定的に重要である。「開いてしまったかもしれない」と感じた職員が、叱責を恐れて黙っていれば、対応の初動は数時間から数日遅れる。この遅れが被害の規模を決める。誤って開いてしまった場合に速やかに報告した職員を責めない、という方針を院長が明言しておくべきである。

保険と外部の力を使う

診療所が単独でサイバー攻撃に備えることには限界がある。外部の資源を組み合わせることを検討したい。

まず、サイバー保険である。近年は中小規模の事業者向けの商品が整備されており、事故発生時の調査費用、復旧費用、患者への通知に要する費用、場合によっては休業損害が補償の対象となる。診療所の規模であれば保険料は過大な負担とはならないことが多い。ここで重要なのは、保険の役割が損害の補填にとどまらない点である。多くの商品には、事故発生時に専門事業者を手配する支援サービスが付帯している。何が起きたかもわからない状況で、どこに連絡すればよいかが決まっていることの価値は大きい。

次に、電子カルテのクラウド化である。自院内にサーバを設置して運用する形態では、機器の管理、更新、バックアップのすべてを自院とベンダーが担うことになる。クラウド型のサービスであれば、これらの多くは提供事業者側で実施される。もっとも、クラウドであれば安全というわけではなく、認証情報の管理は依然として利用者側の責任である。導入や更新を検討する際には、提供事業者がどのようなセキュリティ体制を採っているか、障害時の復旧目標をどう定めているかを確認しておきたい。

なお、厚生労働省は医療情報システムの安全管理に関するガイドラインを継続的に改定しており、経営層、企画管理者、システム運用担当者それぞれの視点で編を分けた構成を採っている。すべてを読み込む必要はないが、経営層向けの部分だけでも目を通しておけば、ベンダーとの会話の質は変わる。

情報漏えいが起きたときの義務

万一、患者の個人情報が漏えいした場合、個人情報保護法上の対応が求められる。要配慮個人情報が含まれる漏えい等が発生し、または発生したおそれがある場合には、個人情報保護委員会への報告と、本人への通知が原則として義務づけられている。診療情報は要配慮個人情報に該当するため、医療機関における漏えいは、ほぼ例外なくこの対象となる。

報告には、速やかに行う速報と、一定期間内に行う確報がある。事案の把握が不十分な段階でも速報は求められるため、「調査が終わってから報告する」という理解では間に合わない。この手続きを、事案発生後に初めて調べるのでは対応が遅れる。あらかじめ、誰が報告を担当し、どの窓口に連絡するのかを決めておく必要がある。

あわせて、患者への説明も避けて通れない。何が漏えいした可能性があるのか、現時点で何がわかっていて何がわかっていないのか。曖昧な説明や、事実の小出しは、患者の不信を招く。地域に根ざした診療所にとって、信頼の失墜は経営に直接響く。

有事の初動を決めておく

技術的な対策と並んで重要なのが、事案が発生した際の初動の取り決めである。異常に気づいた職員は誰に報告するのか、端末をネットワークから切り離す判断を誰が行うのか、ベンダーと保健所への連絡は誰が担うのか。この順序が決まっていなければ、混乱の中で被害が拡大する。

小児科クリニックのように、Web予約システムを通じて多数の患者情報を扱う施設では、システムが停止した場合の代替手段も決めておく必要がある。電話での受付に切り替えるとしても、その日の予約者が誰であったかを把握できなければ、患者への連絡すらできない。翌日分の予約一覧を毎日印刷して保管しておくという、原始的だが確実な方法を採っている施設もある。

サイバーセキュリティは、情報システムの問題として語られることが多い。しかし、診療が停止し、患者が必要な医療を受けられなくなるという結果に着目すれば、これは医療安全の問題であり、事業継続の問題である。医療のデジタル化が進むほど、外部との接続点は増え、リスクも増す。接続する投資と、守る投資は、常に一対で考えるべきものである。院内の機器を1つずつ確認するところから始めたい。