医療システムの安全を守るのは「ベンダー任せ」でいいのか？

医療DXが進むほど、医療機関の業務はクラウド、電子カルテ、レセコン、オンライン資格確認、電子処方箋、予約システム、検査機器、画像管理システム、院内ネットワークなど、複数のデジタル基盤に支えられるようになります。便利になる一方で、現場では「クラウドだから安全」「保守契約を結んでいるから大丈夫」「セキュリティはベンダーが見てくれている」という安心感が生まれやすくなります。

しかし、その安心感こそが医療機関の大きな盲点です。厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版」は、医療情報システムの管理を単なるIT担当者の仕事ではなく、医療の継続、患者情報の保護、経営責任に直結する重要課題として位置付けています。特に、システム運用編や保守委託機関編を読むと、医療機関が事業者に実務を委ねることはできても、医療情報の管理責任まで丸ごと手放せるわけではないことが分かります。

1. クラウドは「丸投げ」ではない。責任分界点を再定義する

多くの医療機関が誤解しやすいのが、「クラウドサービスを利用しているから、セキュリティもすべて事業者の責任である」という考え方です。たしかに、SaaS型の電子カルテや予約システム、証憑管理サービスでは、サーバ、OS、アプリケーション、インフラの多くを事業者が管理します。医療機関側は物理サーバを持たず、アップデートも自動で行われるため、安全管理の負担が軽くなったように見えます。

しかし、医療機関が管理すべき領域は残ります。代表的なのが、利用者アカウント、権限設定、退職者IDの削除、端末管理、データの正確性、データの削除・保管ルール、委託先の確認です。つまり、クラウド化によって「管理対象」は変わりますが、「管理責任」が消えるわけではありません。

特に注意すべきはSLAです。SLAには稼働率、障害対応時間、バックアップ、サポート範囲、免責事項などが記載されます。ところが、医療機関側がSLAを十分に確認しないまま導入しているケースも少なくありません。インシデント発生後に「そこは医療機関側の設定範囲です」「契約上、当社の責任範囲外です」と判明しても、患者情報の流出や診療停止の影響は医療機関側に跳ね返ってきます。

2. 標準化は「利便性」だけでなく、可用性を守る防衛策

医療情報システムの標準化というと、データ連携や事務効率化の話として捉えられがちです。しかし、安全管理の観点では、標準化は「可用性」を守るための重要な防衛策でもあります。可用性とは、必要な時に必要な情報を利用できる状態を保つことです。医療現場では、カルテや検査結果、処方情報、画像情報が使えなくなることは、単なる業務停止ではなく、診療継続のリスクになります。

独自仕様のデータ形式に過度に依存している場合、システム更新時やベンダー変更時にデータ移行が困難になります。データを取り出せない、変換費用が高額になる、移行に時間がかかる、過去データの一部が見られなくなる。このような状態は、医療機関にとって「データを人質に取られている」状態に近いといえます。

また、古い通信方式や脆弱なプロトコルを使い続けることも危険です。「今まで動いているから問題ない」という判断は、サイバーセキュリティでは通用しません。攻撃者は、古い機器、古いOS、古いVPN、初期設定のままのネットワーク機器を探しています。医療機関側が把握していない古い接続経路ほど、侵入口になりやすいのです。

3. 保守回線は「正規の裏口」。リモートメンテナンスの落とし穴

医療機関にとって、リモートメンテナンスは非常に便利です。電子カルテやレセコン、検査機器、画像管理システムに不具合が起きた際、事業者が遠隔で接続し、設定変更や復旧作業を行えるため、現場の停止時間を短くできます。

しかし、攻撃者の視点で見ると、リモートメンテナンス経路は「正規の裏口」でもあります。IDとパスワードを突破できれば、攻撃者は不正アクセスではなく、正規の保守作業のように見せかけて侵入できます。特に、共通アカウント、使い回しパスワード、インターネットに直接開放されたRDP、ログ未確認の保守作業は危険です。

• 保守接続時に二要素認証を必須にしているか
• ベンダー共通IDではなく、作業者ごとの個別IDを発行しているか
• 接続元IPアドレスや接続時間帯を制限しているか
• 保守作業計画書と実際のアクセスログを照合しているか
• 退職者や担当変更後のベンダーIDが残っていないか
• 緊急保守時の承認フローと記録方法が決まっているか

ここで重要なのは、「ベンダーが入れるかどうか」ではなく、「いつ、誰が、何の目的で、どの範囲に接続したか」を医療機関側が説明できる状態にすることです。保守作業は必要ですが、保守経路の管理が曖昧であれば、サイバー攻撃時の初動調査も遅れます。

4. IoT機器・医療機器の「ゾンビ化」を防ぐ

院内には、電子カルテ端末やサーバだけでなく、ネットワーク接続された検査機器、測定機器、画像機器、プリンター、NAS、防犯カメラ、Wi-Fi機器などが存在します。これらはPCほど頻繁に更新されず、脆弱性管理の対象から漏れやすいのが実情です。

問題は、使っていない機器がネットワークに接続されたまま放置されることです。こうした機器は管理台帳からも漏れ、パスワードも初期値のまま、ファームウェアも古いままという状態になりがちです。攻撃者に侵入されても気づきにくく、内部ネットワークへの足場として悪用される可能性があります。

医療機関が最初に行うべき対策は、高額なセキュリティ製品の導入ではなく、棚卸です。院内のネットワークに接続されている機器を一覧化し、使用中・停止中・廃棄予定・保守対象外を区分します。そのうえで、使っていない機器はネットワークから外し、保守切れ機器は更新計画を立てます。

5. 非常時用アカウントは命綱であり、同時にリスクでもある

災害、システム障害、ランサムウェア攻撃、認証基盤の停止などに備えて、非常時用アカウントを準備している医療機関もあります。非常時用アカウントは、通常の認証が使えない場面で診療を継続するための命綱です。

しかし、平時に管理されていない非常時用アカウントは、強い権限を持つ危険な穴になります。パスワードが長期間変更されていない、複数人が共有している、利用記録が残らない、利用後に無効化されない。このような状態では、非常時用アカウントそのものが攻撃者の侵入口になります。

非常時用アカウントの運用では、利用条件、保管方法、承認者、利用記録、利用後のパスワード変更、アカウント無効化を手順化する必要があります。また、バックアップについても、単に「バックアップを取っている」だけでは不十分です。バックアップがネットワーク上で常時書き換え可能な状態にあると、ランサムウェアにより本番データと同時に暗号化される恐れがあります。

そのため、オフラインバックアップ、世代管理、改ざん困難なストレージ、復旧訓練が重要になります。医療機関にとってバックアップの価値は、保存していることではなく、必要な時に復旧できることです。

6. 技術よりも大切なのは「対話」と「準備」

ガイドライン第7.0版が医療機関に求めている本質は、最新のセキュリティ製品を並べることではありません。自院のシステム構成を把握し、事業者との責任分界点を確認し、MDS/SDSやSLAを通じて、リスクを具体的に話し合える状態をつくることです。

医院長や事務長が最初に確認すべき質問は、難しい専門用語ではありません。「最新のシステム構成図はありますか」「ネットワーク図は今の状態と一致していますか」「保守回線はどこから入れますか」「退職者IDは削除されていますか」「バックアップから復旧したことはありますか」。このような基本的な質問に答えられない状態こそ、最大のリスクです。

ランサムウェア攻撃を受けたとき、最初に失われるのはデータだけではありません。多くの場合、現場は「何がどこにつながっているのか分からない」「誰に連絡すればよいのか分からない」「どのバックアップが使えるのか分からない」という混乱に直面します。平時の整理こそが、非常時の診療継続を支えます。