医療DXの裏側にある「見えない脆弱性」

医療DXの推進により、医療機関の業務は大きく変わり始めています。オンライン資格確認、電子処方箋、電子カルテ情報共有サービス、診療情報の電子的連携などにより、患者さんにとっても医療機関にとっても、利便性と効率性は高まっています。

しかし、その一方で見落としてはならない大きなリスクがあります。それが、医療機関を狙ったサイバー攻撃です。

電子カルテが止まることは、単なるITトラブルではありません。
予約、受付、診療、検査、会計、処方、レセプト請求まで影響が広がり、場合によっては診療継続そのものに関わる重大な経営リスクになります。

３６５メディカルでは、医療DXは「システムを導入すること」ではなく、 制度対応・運用管理・証跡管理・リスク管理まで含めて、医療機関の経営基盤を整えること だと考えています。

医療機関のサイバー対策で起きている5つの課題

1

責任者はいるが、実務を判断できる専門人材が不足している

情報セキュリティ統括責任者、いわゆるCISOの設置は進んでいます。しかし、実際には院長、事務長、総務責任者などが兼務し、専門的な判断をシステムベンダに依存しているケースも少なくありません。

その結果、ベンダの提案が妥当か判断できない、必要な投資の優先順位がつけられない、チェックリストの意味を理解しないまま書類だけを整えてしまう、といった問題が起こります。

処方箋

CISOや情報管理責任者を「名義上の役職」にしないことが重要です。判断権限、学習機会、外部専門家へ相談できる体制をセットで整える必要があります。

2

情報システム担当者がいない医療機関が多い

中小規模の病院、診療所、歯科医院、薬局では、専任の情報システム担当者を置くことが難しいのが現実です。「パソコンに詳しい職員が何となく対応している」「電子カルテ業者に任せている」という状態の医療機関も少なくありません。

しかし、サイバー攻撃は規模を選びません。ランサムウェア、フィッシングメール、不正アクセス、古いOS、退職者アカウントの放置など、リスクは日常業務の中に潜んでいます。

処方箋

小規模医療機関こそ、外部支援やクラウド管理を活用し、「誰が、何を、いつ確認するのか」を明確にすることが重要です。

3

BCPは作ったが、訓練していない

サイバー攻撃を想定したBCP、つまり事業継続計画の策定は進みつつあります。しかし、BCPは作っただけでは機能しません。

電子カルテが使えなくなったとき、紙運用に切り替えられるのか。予約情報が確認できないとき、受付はどう動くのか。会計システムが止まったとき、診療費はどう処理するのか。これらは実際に訓練していなければ対応できません。

処方箋

まずは30分から1時間の机上訓練から始めましょう。「明日の朝、電子カルテが起動しなかったらどうするか」を話し合うだけでも、現場の課題は見えてきます。

4

二要素認証への対応が遅れている

IDとパスワードだけでは、医療情報システムを守るには不十分な時代です。パスワードの使い回し、フィッシング、退職者アカウントの放置などにより、不正アクセスのリスクは高まっています。

今後、医療情報システムでは二要素認証への対応が重要になります。しかし現場では、電子カルテやレセコンなどのシステム側が未対応であることも多く、医療機関だけでは進めにくい課題でもあります。

処方箋

ベンダに対し、現在の対応状況、対応予定、費用、導入方式、更新時期を確認しましょう。次期更新を待つだけでなく、医療機関側がロードマップを持つことが重要です。

5

ベンダとの責任分担が曖昧なままになっている

医療機関のシステム運用には、電子カルテベンダ、レセコンベンダ、画像管理システム、ネットワーク業者、予約システム会社、ホームページ制作会社など多くの外部事業者が関与します。

ここで問題になるのが、責任分担の曖昧さです。「ベンダが対応していると思っていた」「契約に含まれていないと言われた」「緊急時にどこへ連絡すればよいか分からなかった」という状態では、障害時の初動が遅れます。

処方箋

チェックリストを単なる提出書類ではなく、ベンダとの責任分解を確認するための実務ツールとして活用しましょう。契約書、保守範囲、連絡先、復旧対応、バックアップ範囲の確認が必要です。

医療機関が確認すべきサイバー対策の全体像

サイバーセキュリティ対策は、IT部門だけの仕事ではありません。診療を継続し、患者情報を守り、制度対応を説明できる状態にするための 経営管理の一部です。

確認項目	よくある課題	見直すべきポイント
責任者	院長や事務長が名義上担当しているだけ	判断権限、学習機会、外部相談先を明確にする
システム台帳	電子カルテや端末の一覧が整理されていない	端末、システム、クラウド、外部サービスを一覧化する
バックアップ	取得しているが復旧確認をしていない	誰が、どこに、どの頻度で、復旧可能か確認する
BCP	マニュアルはあるが訓練していない	電子カルテ停止を想定した机上訓練を行う
ベンダ管理	保守範囲や責任分担が曖昧	契約書、保守範囲、緊急連絡先を確認する

ポイント
医療機関に必要なのは、完璧なセキュリティ製品を一気に導入することではありません。まずは、現状を見える化し、責任者・台帳・バックアップ・訓練・ベンダ管理を整えることです。

まず確認したい5つのチェックリスト

✓

情報セキュリティ責任者は決まっているか 名前だけでなく、実際に判断できる体制になっているかを確認します。

✓

システムと端末の台帳はあるか 電子カルテ、レセコン、予約、会計、PC、タブレットなどを一覧化します。

✓

バックアップと復旧手順を確認しているか バックアップを取るだけでなく、復旧できるかを確認します。

✓

ベンダとの責任分担は明確か 保守範囲、緊急時連絡先、復旧対応、契約内容を確認します。

✓

年に数回、訓練しているか 電子カルテ停止やネットワーク障害を想定した机上訓練を実施します。

✓

二要素認証の対応予定を確認しているか 電子カルテ、レセコン、画像管理、予約システムなどの対応状況を確認します。

３６５メディカルが考える「運用できる医療DX」

医療DXは、単に電子カルテやクラウドサービスを導入することではありません。本当に重要なのは、制度改定やトラブル発生時にも、医療機関が説明でき、運用できる状態を作ることです。

制

制度対応

診療報酬改定、施設基準、WEB掲載、厚生局提出資料などを整理し、更新できる状態にします。

証

証跡管理

チェックリスト、届出、掲示、ベンダ対応履歴などを残し、説明可能な管理体制を作ります。

継

診療継続

電子カルテ停止、サイバー攻撃、災害時にも診療を継続・再開できる体制を整えます。

医療DXの実務フロー

1

現状把握

2

リスク整理

3

責任分担

4

運用設計

5

継続管理

３６５メディカルでは、医療機関・歯科医院・薬局・介護事業所が、制度対応と医療DXを無理なく進められるよう、MSO支援、オンライン事務長、 365Registryなどを通じて、実務に即したサポートを行っています。

まとめ：必要なのは「防御」だけでなく「復旧力」

サイバー攻撃を100％防ぐことは困難です。だからこそ、これからの医療機関に必要なのは、攻撃を受けないための防御だけではありません。攻撃を受けても、できるだけ早く診療を再開できるサイバーレジリエンス、つまり復旧力です。

医療機関が今すぐ取り組むべきこと
責任者を明確にする。システム台帳を整える。ベンダとの責任分担を確認する。バックアップと復旧手順を確認する。BCPを作るだけでなく訓練する。二要素認証への対応ロードマップを作る。

「うちは小さいから狙われない」「ベンダに任せているから大丈夫」「チェックリストは出しているから問題ない」

そう考えているとすれば、今こそ見直しが必要です。医療DX時代の医療機関経営では、サイバーセキュリティ対策はコストではなく、 診療を継続するための基盤投資です。

引用・参考

厚生労働省「医療情報システムの安全管理に関するガイドライン」
厚生労働省「医療機関におけるサイバーセキュリティ対策チェックリスト」
厚生労働省健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ資料
医療機関のサイバーセキュリティ対策状況に関する各種公表資料・報道資料

免責事項

本記事は、医療機関における医療DXおよびサイバーセキュリティ対策の理解促進を目的とした一般的な情報提供です。個別の医療機関における法的義務、施設基準、診療報酬算定、システム要件、契約責任等については、最新の厚生労働省資料、所管行政機関、専門家、システムベンダ等に確認のうえ対応してください。

医療機関は「鍵のない金庫」になっていないか？