はじめに：医療情報セキュリティの重要性と本報告書の目的

医療機関が取り扱う患者の診療情報や健康データは、氏名や病歴などを含む「要配慮個人情報」であり、その機密性と社会的価値は極めて高いものとして認識されています。この情報は、患者の生命と健康を支える医療行為の基盤であると同時に、ひとたび漏洩や改ざんが発生すれば、患者のプライバシー侵害、診療停止、そして医療機関の社会的信用の失墜といった深刻な事態を招く可能性があります。近年、医療機関を標的としたサイバー攻撃は増加の一途をたどり、その被害は、単一の組織に留まらず、地域医療全体に影響を及ぼすほど深刻化しています。

このような背景のもと、厚生労働省は「医療情報システムの安全管理に関するガイドライン」を定期的に見直し、時代の変化に対応するセキュリティ対策の指針を示しています。本報告書は、2023年5月に改定された最新版「第6.0版」を羅針盤として、その多層的な要件、改定を駆動した背景、そして医療現場が直面する現実的な課題を網羅的に分析します。単なる情報提供に留まらず、ガイドラインが求める対策を「コスト」ではなく「事業継続と質の高い医療提供のための戦略的投資」として捉えるための、実践的な知見と提言を提供することを目的とします。

第1章：ガイドライン改定の背景と全体像

1.1. ガイドラインの定義と法的・制度的位置づけ

「医療情報システムの安全管理に関するガイドライン」は、厚生労働省、総務省、経済産業省の3省が連携して策定した指針であり、医療情報を取り扱うすべての組織が遵守すべき安全管理の基準を定めています。その目的は、医療情報の漏洩や不正アクセスから患者の個人情報を守り、デジタル化された医療情報の安全な運用を確立することにあります。

今回のガイドライン改定は、関連法制度の変更と密接に連動しています。2023年3月に医療法施行規則が改正され、病院や診療所などの管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じることが義務化されました。これにより、ガイドラインの要件は法的拘束力を伴うものとなり、その遵守はもはや任意ではなく不可欠なものとなっています。さらに、令和6年度の診療報酬改定では、電子カルテの保全のためのサイバーセキュリティ体制が、診療録管理体制加算として評価される仕組みが導入されました。これは、セキュリティ対策を単なる義務に終わらせず、体制を整備している医療機関を経済的に評価する制度的インセンティブを付与するものです。

1.2. 第6.0版への改定を駆動した3つの主要要因

「ガイドライン第6.0版」への改定は、医療ITを取り巻く環境の劇的な変化に対応するための、本質的な見直しです。改定を駆動した主要な要因は、主に以下の3点に集約されます。

• 要因①：サイバー攻撃の巧妙化と深刻な被害近年、医療機関を標的としたランサムウェア攻撃が増加しており、電子カルテシステムが使用不能となり、長期間にわたる診療停止を余儀なくされる事例が相次いでいます。これらの攻撃は、単一の医療機関だけでなく、地域医療全体に影響を及ぼすほど深刻です。特筆すべきは、大阪府の大規模病院への攻撃事例です。このインシデントでは、外部の給食サービス事業者のシステムが侵入経路となり、病院本体に被害が波及したことが判明しました。この事態は、自院のセキュリティ対策だけでなく、関連事業者を含むサプライチェーン全体のセキュリティが不可欠であることを明確に示しました。
• 要因②：オンライン資格確認の義務化とネットワークの拡張2023年4月より、オンライン資格確認システムの導入が原則として義務化されました。これにより、多くの医療機関のネットワークが外部と恒常的に接続されるようになり、新たなサイバーリスクへの対応が急務となりました。ガイドラインは、この新たなネットワーク接続を前提としたセキュリティ対策を盛り込んでいます。
• 要因③：クラウドサービスの普及と「3省2ガイドライン」への統合低コストで高効率な運用が可能なクラウドサービスの普及により、医療情報システムを外部事業者に委託するケースが増加しています。従来の3省4ガイドラインは、事業者にとって準拠の負担が大きかったため、総務省・経済産業省のガイドラインが統合され、現在は「3省2ガイドライン」として整理されています。これにより、医療機関とサービス提供事業者の間で、責任の所在を明確化することが強く求められるようになりました。

1.3. 考察：ガイドラインは「コスト」から「投資」へと変貌した

これまでのガイドラインは「推奨」の色彩が強く、多くの医療機関がセキュリティ対策を後回しにする傾向がありました。しかし、相次ぐ大規模なサイバー攻撃が診療継続性への深刻な脅威であることを明らかにしたことで、国は、法的義務と経済的インセンティブという二重の梃子を導入しました。医療法施行規則の改正は、サイバーセキュリティを医療機関の管理者にとっての法的義務とし、診療報酬改定は対策への取り組みを評価対象としました。

この一連の流れは、セキュリティ対策が「あればよいもの」から「なければ経営が成り立たない」必須のインフラへとパラダイムシフトしたことを示唆しています。ガイドラインが「質の高い医療の提供や個人の健康の維持増進の前提」とまで表現されているのは、この変化を端的に示していると言えます。もはやセキュリティ対策は単なるコストではなく、医療機関の事業継続性を確保し、社会的信頼を獲得するための戦略的投資へと変貌したのです。

表1-1：医療情報システム安全管理ガイドライン改定の動因と要点

動因	関連要因と社会的・技術的変化	改定の要点
サイバー攻撃の深刻化	ランサムウェアの多発、サプライチェーン攻撃の顕在化、IoT技術の普及と脆弱性増加	ゼロトラストの考え方導入、BCP策定の重視、サプライチェーン全体の安全管理要求
オンライン資格確認の義務化	ネットワークの常時外部接続化、外部からのアクセスポイント増加	ネットワーク関連のセキュリティ対策の強化、ゼロトラスト思考の導入
クラウドサービスの普及	低コスト・高効率な外部サービスの利用増加、提供事業者の多様化	「3省2ガイドライン」への統合、医療機関と事業者の責任分界の明確化

第2章：ガイドラインが要求する安全管理措置の詳解

「ガイドライン第6.0版」は、医療情報システムに対する安全管理策を「組織的」「物理的」「技術的」の3つの側面から体系的に要求しています。これらの対策は、相互に補完し合い、包括的な防御体制を構築することを目的としています。

2.1. 組織的安全管理策：セキュリティ文化の醸成と体制の構築

組織的安全管理策は、セキュリティ対策の基盤を築くための人的・制度的な側面を網羅します。この柱が求めるのは、単に技術を導入することではなく、組織全体としてセキュリティを重視する文化を醸成することです。

• 方針策定と責任の明確化組織としての情報セキュリティ方針と個人情報保護方針を策定・運用することが求められます。また、経営者、企画管理者、運用担当者など、各階層における責任と権限を明確にし、誰がどの範囲のセキュリティに責任を持つのかを定める必要があります。これにより、セキュリティ対策が特定の担当者だけに任されることなく、組織全体で取り組むべき経営課題として位置づけられます。
• 職員へのセキュリティ教育と訓練人的なミスがサイバー攻撃の主要な侵入経路となることから、職員への定期的なセキュリティ教育とシミュレーション訓練の実施が義務付けられています。具体的には、不審なメールの取り扱い方や、パスワード管理の重要性などを周知徹底することが求められます。この教育は、技術的対策を運用するための「人」と「プロセス」を強化し、セキュリティを組織の文化として定着させる上で不可欠な要素です。
• インシデント対応計画（BCP）の策定サイバー攻撃を完全に防ぐことは不可能であるという前提に立ち、被害を最小化し、迅速に復旧するためのインシデント対応計画（BCP）を策定することが強く要求されています。この計画には、インシデント発生時に組織内および外部の関係機関（事業者、厚生労働省、警察など）へ連絡するための体制図を含める必要があります。また、診療を継続するために必要な情報や、データ・システムのバックアップと復旧手順を事前に確認しておくことも重要です。これは、セキュリティ対策を「予防」だけでなく「レジリエンス（回復力）」の観点から捉え、事業継続性を確保しようとする思想の表れです。

2.2. 物理的安全管理策：情報資産への物理的アクセス制御

物理的安全管理策は、情報資産への物理的なアクセスを制限し、盗難や災害から保護するための対策です。

• 施設管理と物理的防護サーバー室など、医療情報システムが設置されているエリアへのアクセスを制限し、施錠や監視カメラの設置といった物理的な防護を行うことが求められます。これは、許可された者以外が機器に直接接触し、不正な操作や情報の持ち出しを行うことを防ぐための基本的な措置です。
• バックアップ管理と耐災害性の確保データの定期的なバックアップと、その保管場所の適切な管理が必須です。ガイドラインでは、バックアップデータを「不正ソフトウェアの混入による影響が波及しない手段」で管理することが示唆されています。これは、ネットワークに常時接続されたバックアップ先もランサムウェアの標的となることを想定し、サイバー攻撃や自然災害などから独立してデータを保護する必要性を示しています。この考え方は、IT業界で広く知られる「3-2-1ルール」（3つのコピー、2つの異なる媒体、1つはオフサイト）に通じるものであり、物理的対策がサイバーレジリエンスの最後の砦であることを示しています。
• 記録媒体の適切な廃棄医療情報が保存された記録媒体（ハードディスク、USBメモリなど）を、高温による融解や裁断といった物理的破壊措置を講じるなど、安全に廃棄する手順を確立することが求められます。これにより、記録媒体の紛失や盗難による情報漏洩リスクを未然に防ぎます。

2.3. 技術的安全管理策：サイバー脅威への直接的防御

技術的安全管理策は、情報システム自体に実装されるセキュリティ機能に関する要求事項です.

• アクセス管理と多要素認証医療情報システムへのアクセス権を適切に管理し、利用者認証や権限設定を徹底することが求められます。特に、IDとパスワード以外の認証方法を組み合わせる「多要素認証」の導入が推奨されています。これは、従来の認証方法が総当たり攻撃や情報漏洩によって容易に突破されるという現実を踏まえ、セキュリティ強度を飛躍的に向上させるための要件です。パスワード要件についても「英数字、記号を混在させた8文字以上の文字列」が望ましく、より強固な対策として「13文字以上」を推奨する項目も存在します。多要素認証の導入は、複雑なパスワードを定期的に変更する煩雑さを緩和し、より実用的で強固なセキュリティ対策へと誘導する意図が見て取れます。
• 脆弱性対応システムやソフトウェアの脆弱性を定期的に点検し、セキュリティパッチや最新ファームウェアを迅速に適用することが求められます。医療機関へのサイバー攻撃では、VPN装置など外部に接続する機器の脆弱性が突かれる事例が多数報告されており、迅速な脆弱性対応の重要性が強調されています。
• 監視とログ管理システムログを記録し、そのレビューに基づく監視体制を確立することが要求されています。これにより、不正なアクセスやサイバー攻撃の兆候を早期に発見し、被害拡大を食い止めることが可能となります。

表2-1：ガイドライン第6.0版が求める安全管理策要件一覧

分類	要件	具体的な要求事項（抜粋）
組織的	セキュリティ方針の策定	情報セキュリティ方針、個人情報保護方針の設定・運用
	責任と権限の明確化	経営者、企画管理者、運用担当者の責任範囲を明確化
	教育と訓練	職員に対し、定期的なセキュリティ教育や訓練を実施
	インシデント対応計画	インシデント発生時の連絡体制整備、BCPの策定
物理的	施設管理	サーバー室へのアクセス制限、施錠、監視カメラの設置
	バックアップ管理	定期的なデータバックアップと耐災害性の確保
	記録媒体の廃棄	物理的破壊を含む安全な廃棄手順の確立
技術的	アクセス管理	アクセス権管理、利用者認証・権限設定の徹底、多要素認証の導入推奨
	脆弱性対応	システムやソフトウェアの脆弱性を定期的に点検・更新
	監視とログ管理	システムログの記録とレビューに基づく監視体制の確立
	通信の暗号化	ネットワーク通信や保存データの暗号化

第3章：新たな概念の導入と責任分界の明確化

現代の医療IT環境の複雑化に対応するため、ガイドライン第6.0版は、従来のセキュリティ思想からの脱却と、関係者間の役割・責任の明確化を強く求めています。

3.1. ゼロトラストネットワークの考え方と導入背景

従来のセキュリティモデルは、病院ネットワークの「内側」は信頼できるという前提に立ち、外部からの脅威を防ぐ「境界防御」に依存していました。しかし、リモートワークやクラウド利用の拡大によりこの境界が曖昧になり、ひとたび内部に侵入された場合に、被害が容易に拡大するという弱点が露呈しました。

そこで注目されているのが「ゼロトラスト」の考え方です。ゼロトラストとは、「何も信頼しない」を前提に、ネットワークの場所を問わず、すべてのユーザー、デバイス、アプリケーションへのアクセスを常に検証するセキュリティ思想です。これは、一度の認証で安全が保障されるという従来の考え方を根本から覆すものです。ガイドラインでは、このゼロトラスト思考を境界防御型と組み合わせて対応することを推奨しています。これにより、外部からの安全なアクセス（オンライン診療、リモートメンテナンスなど）を確保しつつ、院内ネットワークにおけるランサムウェアの水平展開を防ぐことが可能となります。

3.2. 外部委託・クラウドサービス利用時の責任分界

クラウドサービスの普及により、医療情報システムの管理責任は、医療機関だけでなく外部のサービス事業者にも分散するようになりました。この状況に対応するため、ガイドラインは、外部委託・外部サービスを利用する場合に、医療機関と事業者の間で「責任の所在」を明確化することを強く求めています。

特に、SaaS、PaaS、IaaSといった多層的なサービス提供モデルにおいては、各事業者と医療機関の責任範囲が異なります。ガイドラインは、このクラウドサービスの特徴を踏まえた「責任分界の考え方」を整理し、双方の役割と義務を明確にすることを要求しています。また、事業者は、提供するシステムのリスクアセスメントを実施し、その結果について医療機関とリスクコミュニケーションをとる必要があるとされています。このプロセスは、医療機関がベンダーを選定し、適切な契約を結ぶ上で不可欠なものとなります。

ゼロトラストと責任分界の明確化は、現代の分散化した医療IT環境において、セキュリティを確保するための車の両輪と言えます。ゼロトラストが技術的な側面から「誰も信頼しない」という思想を導入する一方で、責任分界は、管理責任が外部に分散する現実に対応するための組織的・法的枠組みを提供しています。

表3-1：クラウドサービス利用時における責任分界マトリクス

責任範囲	サービスモデル
医療機関の責任	SaaS (ソフトウェア)	PaaS (プラットフォーム)
データ管理	〇	〇
アクセス権限管理	〇	〇
事業者の責任	SaaS (ソフトウェア)	PaaS (プラットフォーム)
アプリケーション開発・管理	〇
OSのパッチ適用	〇	〇
物理的セキュリティ	〇	〇

※ IaaS（インフラ）の責任範囲はPaaSと同様。実際には契約内容により変動。

第4章：医療現場の課題と具体的な対策

医療機関がガイドライン遵守に向けて取り組む上で、いくつかの現実的な課題に直面しています。過去のサイバー攻撃事例を分析すると、その原因は技術的脆弱性だけでなく、人的なミスや管理体制の不備に集約されることが明らかになっています。

4.1. 医療機関におけるサイバー攻撃の現状と事例

• VPNの脆弱性: 徳島県の病院の事例では、VPN装置の脆弱性が攻撃の起点となった可能性が高いとされています。
• ずさんなパスワード管理: 岡山県の医療機関の事例では、推測しやすいパスワードの使い回しや管理者権限の安易な付与が原因とされました。
• フィッシングメール: 職員の不注意による不審なメールの開封が、マルウェア感染のきっかけとなる典型的な経路です。

4.2. ガイドライン導入における課題と推奨される対応

• 課題①：レガシーシステムとIoT機器の脆弱性多くの医療機関は、古いワークステーションやパッチが適用されていない医療機器などのレガシーシステムに依存しており、これらが攻撃の足がかりとなっています。
• 課題②：予算と人材の不足セキュリティ対策は、多くの医療機関にとって「コスト」と認識され、専門的なIT知識を持つ人材が慢性的に不足しているという現実があります。
• 課題③：罰則規定の欠如ガイドライン自体には直接的な罰則規定がないため、対策への取り組みが進まないという現実的な課題が存在します。

これらの課題を克服するためには、以下の実践的な対応が推奨されます。

• チェックリストの活用: 厚生労働省が提供する「医療機関等におけるサイバーセキュリティ対策チェックリスト」を活用し、自組織の現状を可視化・自己評価することが有効です。これにより、「何から手をつければよいか分からない」という課題を克服し、具体的な行動計画を立てることが可能になります。
• 外部ベンダーとの連携: 自院での対応が難しい項目は、ガイドラインに精通した専門知識を持つベンダーと協力し、脆弱性診断やセキュリティサービスの導入を検討することが推奨されます。
• 教育支援の活用: 厚生労働省が提供する教育支援ポータルサイト「MIST」を活用し、経営層から現場職員まで、各階層に応じたセキュリティ教育を実施することで、組織全体のセキュリティ意識を高めることができます.

表4-1：医療機関におけるサイバー攻撃被害事例と対応策

被害事例	攻撃原因（技術的・組織的側面）	ガイドラインが示す有効な対策
徳島県病院	VPN装置の脆弱性未対応	脆弱性対応（定期的な点検・パッチ適用）、通信制御の確認
岡山県医療機関	推測しやすいパスワード、権限管理の不備	アクセス管理、多要素認証の導入、不要アカウントの削除
大阪府病院	外部事業者システムの脆弱性	外部委託・サプライチェーン全体の安全管理、責任分界の明確化
全般的被害	職員の不注意によるメール開封	職員へのセキュリティ教育と訓練、メール確認時の注意喚起

第5章：結論と将来展望

5.1. 医療情報セキュリティ市場の今後の動向

世界のヘルスケアサイバーセキュリティ市場は、2025年から2032年にかけて年平均成長率18.8%で拡大し、7504億米ドルに達すると予測されています。この市場成長は、脅威の増大だけでなく、医療機関がセキュリティ対策への投資を拡大している事実を反映しています。特に、クラウドベースのセキュリティ技術が市場成長を牽引しており、生成AIは異常検知や脅威分析に活用され始めています。

5.2. デジタルヘルス時代のセキュリティ投資の意義

セキュリティ対策は、もはや単なるITコストではありません。強固なセキュリティ体制は、患者の個人情報を守り、安心してデジタルヘルスサービスを利用できる環境を提供することで、患者からの信頼を獲得する上で不可欠な要素となります。また、安全なオンライン診療やPHR（Personal Health Record）サービスを提供するための基盤となり、医療機関の新たな収益源やブランド価値向上に貢献します。民間PHR事業者が扱う健診情報についても、個人情報保護法に基づく安全管理措置が求められており、相互運用性の確保も課題となっています。これらの取り組みは、医療機関の持続可能性と競争力を左右する戦略的課題であり、セキュリティ投資は「守り」のコストから「攻め」の投資へとその位置づけを変えつつあります。

5.3. 提言：医療機関が取るべき次のステップ

ガイドライン第6.0版の要求を遵守することは、単なるコンプライアンスではなく、患者の信頼と事業の継続性を確保するための戦略的な一歩です。以下に、医療機関が取るべき次のステップを提言します。

1. 経営層のコミットメント: セキュリティを「ITコスト」から「事業継続のための投資」へと意識を改革し、予算と人的リソースを戦略的に確保する。
2. 現状把握と段階的導入: 厚生労働省が提供するチェックリストや外部評価（ISMS、プライバシーマーク等）を活用し、自院のセキュリティ体制の現状を正確に把握する。
3. ベンダーとの戦略的提携: 自院で不足する専門知識を補うため、ガイドラインに精通したベンダーと長期的なパートナーシップを築く。
4. サプライチェーン全体の最適化: 外部委託先との間で責任分界を明確化し、定期的なセキュリティ評価を実施する。
5. 継続的な改善サイクル: セキュリティ教育と訓練を定期的に行い、PDCAサイクルを回すことで、組織全体の防御力を継続的に向上させる。

結論として、厚生労働省のガイドラインは、現代の医療IT環境が直面する複雑な課題に対応するための羅針盤です。その要件を遵守することは、患者の信頼を維持し、医療機関の未来を拓くための不可欠な要素となるでしょう。

クライムが提供するランサムウェア対策ソリューションの特集サイトはこちら