医療機関のセキュリティ対策とは？ガイドライン対応とネットワーク見直しのポイント

医療機関では、電子カルテや院内ネットワークが停止したり、患者情報が漏えいしたりすると、診療継続や患者の安全に大きな影響が及びます。近年は ランサムウェア 攻撃のリスクも高まっており、継続的な対策が不可欠です。
本記事では、医療機関に求められるセキュリティ対策とネットワーク見直しのポイントを解説します。

医療機関に求められるセキュリティ対策の基本と背景

医療機関では、扱う情報の重要性と診療継続への影響を踏まえたセキュリティ対策が求められます。ここでは、対策を考えるうえで押さえておきたい基本と背景を整理します。

医療機関のセキュリティ対策とは

セキュリティ対策の基本は、情報を外部に漏らさない「機密性」、改ざんされない「完全性」、必要なときに使える「可用性」を確保することです。医療機関でもこの3つの原則を踏まえ、患者情報や診療情報を安全に利用できる状態に保つことが重要です。

安全に利用できる状態を維持すべき対象には、大きく「患者情報や診療情報等のデータ」と、「電子カルテ・検査・調剤などの業務システム」に分けられます。これらの情報やシステムが利用できなくなると、診療をはじめ会計・検査・薬剤管理などの院内業務に影響が及びます。
また、情報やシステム類を安全に利用し続けるには、それらを物理的に支える基盤を守ることも必要です。守る対象は、端末・サーバーなどの機器だけでなく、医療機器、無線LANを含む院内ネットワーク、外部保守用の接続経路にも広がります。

医療情報には病歴や検査結果などの機微な内容が含まれ、システム停止が診療や救急対応に直接影響します。そのため、医療機関では情報保護と診療継続の両面で対策が求められます。

セキュリティ対策が重要な理由

2023年4月に施行された改正医療法施行規則により、医療機関の管理者にはサイバーセキュリティを確保するため、必要な措置を講じることが求められるようになりました。立入検査でも、チェックリストを用いた取組状況の確認が行われています。

出展：厚生労働省「医療法施行規則の一部を改正する省令について」＜PDF＞

さらに、令和8年度診療報酬改定では、医療DXやICT連携に関する加算等の評価・要件の中で、サイバーセキュリティ対策も位置づけられています。制度面からも、医療機関に対してサイバーセキュリティ対策の強化を求める流れが進んでいます。

出展：厚生労働省「令和8年度診療報酬改定について」＜PDF＞

近年は、データを暗号化して復旧と引き換えに金銭を要求するランサムウェア攻撃のリスクも高まっています。警察庁の資料では、令和7年に報告されたランサムウェア被害は国内で226件もあり、依然として警戒が必要な状況です。医療分野でも、厚生労働省資料で徳島県、大阪府、鹿児島県、岡山県の病院における主な被害事例が示されています。
これらの事例では、電子カルテシステムの停止や紙運用への切り替え、救急診療、外来診療、予定手術などへの影響が発生しています。こうしたことから、特定の医療機関だけの問題ではなく、全国の医療機関に共通するリスクとして捉えなければなりません。

出展：厚生労働省「医療情報セキュリティ等対策経費・医療機関におけるサイバー攻撃の現状」＜PDF＞

出展：警察庁「ランサムウェア被害多発中」＜PDF＞

医療機関で対策が難しい理由

医療機関には、一般企業と同じようには対策を進めにくい特有の事情があります。
診療を支えるシステムは24時間365日稼働するものが多く、更新作業のためであっても簡単に停止できません。そのため、古いOSや専用医療機器が残りやすく、更新・設定前にはメーカーへの確認や動作検証が必要な場合もあります。
また、医療機器メーカー、保守事業者、システムベンダーなど複数の外部事業者が院内システムに関わるため、接続経路や責任分担が複雑になりがちです。技術的対策だけでなく、関係者を含めた管理体制の整備も欠かせません。

医療機関が優先すべきセキュリティ対策

医療機関のセキュリティ対策は、現状を把握し、影響の大きい領域から段階的に進めることが大切です。ここでは、優先して取り組みたい基本的な対策を紹介します。

院内の組織のセキュリティ体制を整える

医療機関のセキュリティ対策は、IT担当者や一部の部門だけで進めるものではありません。経営層から医療従事者、事務部門、委託先までが重要性を理解し、共通のルールに沿って運用する体制づくりが必要です。
まずは、セキュリティ方針を決める責任者、日常的な管理担当者、インシデント発生時の報告先を明確にします。あわせて、職員への教育や周知、定期的な見直しを行い、現場で無理なく継続できる運用にすることが大切です。
経営層が方針を示し、現場が日常業務の中で実践できる状態を整えることで、ネットワーク分離やバックアップなどの個別対策も機能しやすくなります。

院内の機器やシステムを把握する

セキュリティ対策では、院内にどのような機器やシステム、接続経路があるかを把握し、管理対象を明確にしましょう。例えば、以下のような機器やシステム、接続経路を確認します。

• 電子カルテ端末
• 医療機器
• サーバー
• ネットワーク機器
• 職員用端末
• 患者・来訪者用Wi-Fi
• リモート保守の有無や接続先

洗い出した機器や接続経路は、用途、設置場所、管理者、保守事業者、更新状況、外部接続の有無などとあわせて台帳に整理します。
管理対象を把握できていない状態では、脆弱な機器や不要な接続経路を見落としやすくなります。特に、部門ごとに導入した機器や長年使っているネットワーク機器は管理対象から漏れやすいため、定期的に確認し、台帳を更新するようにしましょう。

ネットワークを用途別に分ける

院内ネットワークは用途に応じて分離し、必要な通信だけを許可することが大切です。
医療情報系、事務系、インターネット接続系、患者・来訪者用ネットワークなどが混在していると、1台の端末の感染をきっかけに、被害が広がるおそれがあります。
ネットワークを分離し、不要な通信を遮断することで、不正アクセスやマルウェア感染が起きた場合でも、被害の拡大を抑えやすくなります。

外部からの接続を管理する

保守事業者やシステムベンダーのリモート接続経路は、業務上必要な一方、管理が不十分だと攻撃の入口になり得ます。不要な経路は停止し、必要な経路のみを適切に管理しましょう。
必要な経路には、 VPN （仮想プライベートネットワーク）などの接続方式に加え、多要素認証、接続元制限、ログ管理、機器の更新を組み合わせて管理します。
事業者ごとに接続できるシステムや接続方法、利用できる時間帯を明確にし、「安全に管理できる範囲に限定すること」を前提に整備しましょう。

アカウントと更新を管理する

利用者ごとのアクセス権限は、業務に必要な範囲で適切に設定します。退職者のアカウントや使われていないアカウントは速やかに削除しましょう。
あわせて、サーバー、PC端末、ネットワーク機器の脆弱性を放置しないよう、セキュリティパッチの適用やファームウェアの更新を継続的に行う必要があります。基本的な対策ながら、不正アクセスやマルウェア感染のリスクを下げる重要な取り組みです。

バックアップで復旧に備える

攻撃を防ぐだけでなく、被害を受けた際に復旧できる体制も欠かせません。
電子カルテや部門システムのデータは複数世代でバックアップを取得し、一部はネットワークから切り離して保管するなど、攻撃の影響が波及しにくい方法で管理します。定期的に、実際に復元できるか確認することも大切です。
システムが停止した際に備え、紙運用へ切り替える手順や診療を縮退・継続する判断基準、関係者への連絡方法をBCP（事業継続計画）の一部として整理しておくと、有事の混乱を抑えやすくなります。

医療セキュリティをネットワーク基盤から進める方法

医療機関のセキュリティ対策は、ソフトウェアや端末側の対策だけでなく、院内ネットワークの構成や管理方法の見直しも欠かせません。ネットワーク分離、外部接続の管理、機器の一元管理などを実際の運用につなげることで、継続的な対策を進めやすくなります。
ここでは、ネットワーク基盤からセキュリティ対策を進める方法を解説します。

ネットワーク環境を確認する

まずは現在のネットワーク構成を確認し、医療情報系、事務系、インターネット接続系、患者・来訪者用ネットワークなどがどのように分離され、どの通信が許可されているかを把握します。あわせて、外部接続経路、古いネットワーク機器、不要な通信許可、アクセス権限の設定状況も確認しましょう。
いきなり大規模な刷新を行うのではなく、確認した結果をもとに優先順位を決めることが現実的です。
機器やユーザー、システムごとのアクセス権限が不適切な設定になっている、リモート保守の経路が複数存在しているといった課題が見つかれば、影響の大きい部分から見直せます。

ネットワーク機器を管理しやすくする

ルーターやスイッチ、無線LAN機器を個別に管理していると、設定ミスや更新漏れに気づきにくくなります。そのため、複数機器の状態や設定を一元的に確認・操作できる仕組みを取り入れ、管理しやすくしましょう。
医療機関では、IT担当者が限られることが多いです。しかし、ネットワーク機器をまとめて管理できる環境を整えれば、接続端末の把握、設定変更、ファームウェア更新、障害発生時の状況確認を標準化しやすくなります。
管理負荷を抑えながら、継続的なセキュリティ対策を進めやすくなる点もメリットです。

多層防御で異常に備える

医療機関のセキュリティ対策では、複数の対策を重ねてリスクを下げる多層防御が大切です。利用者や端末の認証を強化し、許可された機器だけが院内ネットワークに接続できるようにします。
そのうえで、アクセスログや管理者操作、機器の稼働状況を継続的に監視し、不審な通信や異常な挙動を早期に把握できる体制を整えましょう。侵入を完全には防げなくても、早期に検知できれば被害範囲を限定することができます。

専門事業者の支援を活用する

自院の体制だけで、ネットワークの診断から構築後の監視・保守まで担うのは容易ではありません。既存システムを止めにくい医療現場では、ネットワークやセキュリティに詳しい専門事業者の支援を受けることも有効です。
ネットワーク分離や外部接続の管理など優先度の高い対策から段階的に進めるとともに、医療機関と外部事業者の役割・責任分担をあらかじめ取り決めておくことで、トラブル発生時にも連携しやすくなります。

医療セキュリティ対策で失敗しないためのポイント

セキュリティ対策を継続的に機能させるには、導入後の運用や院内体制の整備も欠かせません。ここでは、医療機関が対策を進める際に押さえておきたいポイントを紹介します。

導入後も見直しを続ける

ネットワーク機器やセキュリティ機器は、導入後の運用が鍵を握ります。定期点検では、一時的な通信許可や不要な接続設定を見直し、更新漏れがないか確認しましょう。
新しい医療機器やシステムを追加した際には、ネットワーク構成やアクセス権限の再評価も大切です。導入時点では安全でも、日々の運用のなかで一時的に通信を許可したつもりでそのままになっている設定や不要な接続が増えることがあるため、定期的な確認と改善が欠かせません。

ガイドラインと役割分担を確認する

厚生労働省の「医療情報システムの安全管理に関するガイドライン」や、医療機関等向けサイバーセキュリティ対策チェックリストを参考に、自院の対策状況を定期的に見直しましょう。
なお、ガイドラインは令和8年6月に最新の第7.0版が公開されており、第6.0版からの変更点などを確認することも大切です。
確認範囲は、技術的対策に加え、院内体制、委託先管理、クラウド利用、システム保守の責任分担まで広がります。あわせて、医療情報システム安全管理責任者の役割や、問題発生時の連絡体制も明確にしておきましょう。
厚生労働省等への報告が必要となる場合もあるため、設定や権限の管理責任者、異常時の報告先、委託先やベンダーとの連携方法を決めておくことが重要です。

出展：厚生労働省「医療情報システムの安全管理に関するガイドライン　第7.0版（令和8年6月）」＜PDF＞

使いやすさと安全性を両立する

医療現場では、診療をはじめとする日常業務を止めないことが重要です。セキュリティ強化のあまりログイン操作が煩雑になったり、必要な情報にすぐアクセスできなくなったりすると、現場の負担が大きくなります。
業務フローを理解したうえで、使いやすさと安全性のバランスを取り、無理なく続けられる運用設計にすることが大切です。

職員の教育と訓練を続ける

技術的対策だけでは、すべてのリスクを防ぐことはできません。不審メールへの対応、パスワード管理、異常時の初動対応などについて、職員向けの教育や訓練を継続することが重要です。
情報漏えいやシステム停止などの発生時に備え、初動対応の手順を訓練し、誰が何を行うかを事前に確認しておくと、被害の拡大を抑えやすくなります。
必要に応じて、厚生労働省が提供する医療機関向けの研修コンテンツも活用しましょう。

まとめ

医療機関のセキュリティ対策では、患者情報や診療情報を守るだけでなく、診療を止めない体制づくりが欠かせません。まずは院内システムと外部接続の状況を把握し、ネットワーク分離やアカウント管理、バックアップなどの基本対策から進める必要があります。
特に、電子カルテ、医療機器、事務系システム、患者用Wi-Fiなどが混在しやすい医療現場では、ネットワーク構成の可視化、用途別の分離、機器管理の見直しが対策の土台になります。

ガイドラインやチェックリストを参考にしながら、運用状況を定期的に確認し、自院だけで対応が難しい場合は専門事業者の支援も活用して段階的に見直しを進めましょう。