病院のランサムウェア対策｜厚労省ガイドラインに基づく具体的施策と対応フロー

病院におけるランサムウェア対策の重要性が高まる中、自院のセキュリティ体制は十分か、不安を感じる経営層や担当者の方も多いでしょう。診療停止は人命に関わるだけでなく、病院経営そのものを脅かす深刻なリスクです。この記事では、厚生労働省のガイドラインの要点を踏まえ、病院が講じるべき組織的・技術的な事前対策から、感染発生時の具体的な対応フローまでを体系的に解説します。

なぜ病院が標的になるのか

人命に関わる業務の特性

病院がサイバー攻撃の標的となる最大の理由は、人命を預かるという業務の特性上、システムの停止が許されないという点にあります。現代の医療は電子カルテや各種検査システムに大きく依存しており、これらが停止すると診療機能の維持が極めて困難になります。人命に直結する医療インフラの停止は社会的な影響が甚大であるため、攻撃者はこの状況を利用して高額な金銭を要求できると考えます。業務再開を人質に取るランサムウェア攻撃が効果的に機能してしまうのです。

具体的にシステムが停止した場合、以下のような深刻な事態を引き起こします。

このように、医療という社会インフラの重要性と、業務停止が人命に直結するリスクの高さが、攻撃者にとって強い動機となっています。早期復旧を迫られる状況に付け込めるという特殊な構造こそが、病院が狙われやすい根本的な背景です。

機微な個人情報を大量に保有

医療機関が保有する患者情報は、経済的価値が非常に高いことも標的となる要因です。病院のデータベースには、氏名・住所などの基本情報に加え、病歴・検査結果といった要配慮個人情報が大量に蓄積されています。これらの機微な情報は闇市場で高値で取引されるため、攻撃者にとって魅力的な情報資産の宝庫です。

このため、データを暗号化するだけでなく「窃取した情報を公開する」と脅迫する二重恐喝（ダブルエクストーション）の手口が用いられやすくなります。患者のプライバシーに関わる情報が漏洩すれば、その精神的苦痛は計り知れません。情報漏洩が発生した場合、医療機関は個人情報保護法に基づき、監督官庁への報告と本人への通知が義務付けられます。さらに、患者から損害賠償を請求される可能性もあり、事後対応には莫大な費用と時間を要します。

狙われやすいセキュリティ体制

医療機関のセキュリティ対策が他業界に比べて遅れがちであるという構造的な弱点も、サイバー攻撃を誘発する一因です。多くの医療機関では、最新の医療機器導入や診療体制の強化が優先され、情報セキュリティへの投資が後回しになる傾向があります。

その結果、以下のような脆弱性を抱えているケースが少なくありません。

高度な医療を提供する一方で、情報システムを守る体制が脆弱であるという不均衡な状況が、医療機関を攻撃者にとって格好の標的としてしまっているのです。

ランサムウェア被害の深刻な影響

診療停止がもたらす経営インパクト

ランサムウェア攻撃によるシステム停止は、医療機関の経営基盤を揺るがす甚大な経済的損失をもたらします。電子カルテや医事会計システムが使えなくなると、外来診療、検査、手術といった通常の医療活動が停止し、診療報酬を請求できなくなるため、深刻な収入減に直結します。

さらに、システムの復旧には原因調査、マルウェア駆除、システムの再構築などで数千万円から数億円規模の費用が発生します。ある国内の病院事例では、復旧費用に約2億円を要しました。システムの完全復旧までには数ヶ月以上かかることも多く、その間の逸失利益と対応費用の二重負担が経営を圧迫します。小規模な医療機関では、この損失に耐えきれず事業継続を断念するケースも考えられ、システム停止は医療機関の存続そのものを脅かす経営リスクとなります。

回復困難な社会的信用の失墜

サイバー攻撃による個人情報の漏洩や長期の診療停止は、医療機関に対する社会的信用の失墜を招きます。地域医療の中核を担う病院の機能不全は、地域住民に大きな不安を与えます。患者情報を守れなかったという事実は、組織への根本的な信頼を損ない、メディアで管理体制の甘さを追及される可能性もあります。

信頼を失うことで患者が他の医療機関へ転院し、将来的な収入減につながるだけでなく、地域の他施設との連携にも支障をきたします。一度失った信頼を回復するには、セキュリティ体制の抜本的な見直しと誠実な医療活動の積み重ねが必要であり、長い年月と多大な努力を要します。信用の喪失は、経済的損失以上に回復が困難なダメージとなるのです。

国内病院における主要な被害事例

国内でも、規模や地域を問わず多くの医療機関がサイバー攻撃の被害に遭い、地域医療に甚大な影響を及ぼしています。これらの事例は、医療機関特有の脆弱性が狙われた結果であり、すべての医療機関にとって現実的な脅威です。特に、遠隔保守用のネットワーク機器や業務委託先のセキュリティ不備が侵入経路となるケースが目立ちます。

これらの事例に共通しているのは、古い機器の放置、パスワード管理の甘さ、外部接続口の監視不足といった基本的な対策の欠如が被害を拡大させている点です。国内で頻発する被害事例は、サイバー攻撃が対岸の火事ではなく、医療機関の存続を脅かす現実の危機であることを示しています。

厚労省ガイドラインの要点

ガイドライン改定の背景と目的

厚生労働省は、サイバー攻撃の急増と被害の深刻化を受け、「医療情報システムの安全管理に関するガイドライン」を大幅に改定しました。医療のデジタル化が進む一方、旧来の境界型防御だけでは巧妙化する攻撃を防ぎきれなくなったためです。

改定されたガイドラインでは、医療機関の規模や特性に応じた実効性の高い対策を目指しています。特に、経営層、システム管理者、現場担当者といった階層ごとに役割と責任を明確化し、それぞれが何をすべきかを具体的に示しました。また、クラウドサービスの利用や外部委託先の管理に関する要件も詳細化され、関連企業を含めたサプライチェーン全体での安全管理の必要性が強調されています。この改定は、セキュリティ対策が単なる技術的課題ではなく、組織全体で取り組むべき経営上の最重要課題であるとの認識を促すことを目的としています。

経営層に求められる安全管理責任

改定ガイドラインでは、医療機関の経営層が情報セキュリティに対して主体的な責任を負うことが最も強調されています。セキュリティ対策には適切な予算と人材の確保が不可欠であり、これらは経営層の意思決定なしには実現しません。

これらの責任を怠り被害を発生させた場合、経営層は善良な管理者としての注意義務違反など、法的な責任を問われる可能性もあります。経営層は、安全管理が病院経営の根幹であることを理解し、強力な組織体制を構築することが求められます。

担当者が押さえるべき技術的要件

情報システムの実務担当者は、経営層の方針に基づき、具体的な技術的対策を実装する責任を負います。高度化する攻撃から医療情報を守るためには、最新の技術を導入し、日々の運用で有効性を維持し続ける必要があります。

担当者が取り組むべき主要な技術的要件は以下の通りです。

実務担当者は、これらの技術的防壁を常に最新かつ堅牢な状態に保ち、医療現場を安全な基盤で支えることが求められます。

被害を防ぐための事前対策

【組織的】インシデント対応体制の構築

サイバー攻撃の被害を最小限に抑えるには、有事の際に迅速に行動できる緊急対応体制を平時から構築しておくことが不可欠です。攻撃を受けた直後の初動が遅れると、被害が致命的に拡大するためです。院内にCSIRT（シーサート）のようなインシデント対応チームを組成し、情報収集、影響範囲の特定、システムの遮断などを迅速に判断・実行する権限を与えます。外部の専門機関や警察などとの緊急連絡網を整備し、手順をマニュアル化しておくことも重要です。また、診療停止を想定した事業継続計画（BCP）を策定し、電子カルテが使えない状況での代替手順を具体的に定めておく必要があります。

【組織的】全職員を対象とした教育・訓練

サイバー攻撃の多くは、不審なメールの開封など、人為的なミスが侵入のきっかけとなります。そのため、全職員に対する継続的なセキュリティ教育と実践的な訓練が極めて重要です。パスワードの適切な管理や不審メールへの対処法といった基本的な知識を共有する定期研修に加え、実際に攻撃メールを模した標的型メール訓練などを実施することが効果的です。これにより、職員一人ひとりのセキュリティ意識と、非常時の対応能力を高めることができます。最新システムを導入しても、扱う人間の意識が低ければ防御網は容易に突破されます。

【委託先管理】サプライチェーン全体のセキュリティ点検

自院の対策だけでなく、業務委託先のセキュリティ体制を厳格に管理することが不可欠です。システムの保守業者や医療機器メーカーなど、取引先のシステムを踏み台にしたサプライチェーン攻撃が急増しているためです。契約時にセキュリティ基準を明文化し、定期的な監査を義務付けるとともに、遠隔保守で接続する際の運用ルールを厳格化する必要があります。関連業者を含めた供給網全体でセキュリティ水準を統一することが、間接的な侵入リスクを排除する鍵となります。

【技術的】不正侵入経路の遮断

攻撃の入り口となり得る不正な侵入経路を技術的に遮断することが、防御の最前線です。特に狙われやすい遠隔接続用の機器には、修正プログラムを即座に適用し、パスワードは複雑なものに変更した上で、多要素認証を導入します。また、不要な通信ポートやサービスは無効化し、外部からのアクセスを最小限に制限します。さらに、端末側でマルウェアの挙動を検知・隔離するEDR（Endpoint Detection and Response）のような高度な対策ソフトを導入し、多層的な防御網を構築することが重要です。

【技術的】バックアップと復旧計画の徹底

ランサムウェアによるデータ暗号化に備え、確実なデータバックアップの取得と復旧計画の策定が事業継続の最後の砦です。安全なバックアップがあれば、身代金の要求に応じることなく自力でシステムを復旧できます。バックアップは、本番環境とは物理的・論理的に異なる複数の媒体に、複数世代のデータを保管することが基本です。特に、少なくとも一つのバックアップは、ネットワークから完全に切り離されたオフラインバックアップとして保管するか、書き換え不可能なストレージに保存する必要があります。これにより、バックアップデータまで暗号化される最悪の事態を防ぐことができます。

【技術的】バックアップデータの有効性確認と復旧訓練の実施

バックアップを取得するだけでなく、そのデータから実際にシステムを復旧できるかを定期的に検証し、訓練することが極めて重要です。いざという時にバックアップデータが破損していたり、復旧手順に不備があったりすれば、事業継続は困難になります。定期的にテスト復元を行い、データに問題がないことや、想定時間内に復旧できることを確認します。また、復旧手順書を整備し、担当者が実際に作業を行う訓練を通じて問題点を洗い出し、改善を図ります。エラーのない確実な復旧プロセスを平時から検証しておくことで、有事の際の復元力を飛躍的に高めることができます。

感染時の事後対策フロー

ステップ1：被害拡大を防ぐ初動対応

感染を検知した直後は、被害の拡大を食い止める初動対応が最優先です。マルウェアはネットワークを通じて瞬く間に拡散するため、一刻も早い対応が求められます。

ステップ2：関係各所への報告と情報共有

初動の封じ込めと並行して、院内外の関係各所へ迅速かつ正確に情報を報告し、連携体制を構築します。システム停止は地域医療に大きな影響を与えるため、緊密な情報共有が不可欠です。

ステップ3：専門家と連携した復旧作業

システムの復旧は、高度な知見を持つ外部の専門家と連携して慎重に進める必要があります。自組織のみでの対応は、マルウェアの駆除が不完全であったり、二次被害を招いたりするリスクがあります。

ステップ4：原因究明と再発防止策の策定

システムの復旧後、事件の根本原因を究明し、実効性のある再発防止策を策定・実行することが極めて重要です。原因を放置すれば、再び攻撃の標的となるリスクが残ります。

ランサムウェア対策のよくある質問

身代金は支払うべきですか？

結論として、身代金は決して支払うべきではありません。支払ってもデータが復旧する保証はなく、むしろ犯罪組織の活動を助長し、さらなる攻撃を誘発する結果につながるためです。過去には、身代金を支払ってもデータが戻らなかったり、提供された復号ツールが機能しなかったりした事例が多数報告されています。一度支払いに応じると「支払う組織」としてリスト化され、別の攻撃グループの標的になるリスクも高まります。データの復旧は事前のバックアップから行うことを大前提とし、要求は毅然と拒否して警察や専門機関に相談することが唯一の正しい対応です。

オフラインバックアップはなぜ重要ですか？

ネットワークから完全に切り離されたオフラインバックアップは、データを確実に守るための最も効果的な手段です。近年のランサムウェアは、ネットワークで接続されている共有フォルダやバックアップサーバーにも感染を広げ、バックアップデータごと暗号化しようとします。これを防ぐには、外付けHDDなどにデータを保存し、作業後は物理的に切断して保管することが不可欠です。物理的または論理的に隔離されたバックアップの存在が、万一の際に自力でシステムを復旧させ、事業を継続するための生命線となります。

サイバー保険への加入は必要ですか？

サイバー保険への加入は、予期せぬ攻撃による経済的損失を軽減し、経営の安定を確保するための有効なリスクマネジメントとして推奨されます。万全の対策を講じても攻撃のリスクをゼロにすることは不可能であり、インシデント発生時の復旧費用や損害賠償は経営を大きく揺るがしかねません。保険は、専門家による調査費用、システム再構築費用、逸失利益、損害賠償費用などを補償し、非常時の財務的負担を軽減する役割を果たします。技術的対策と合わせて、財務的な安全網を整備しておくことが重要です。

サイバー保険でカバーされる範囲と選定の注意点は？

保険で補償される範囲は商品によって大きく異なるため、自組織のリスクに合わせて契約内容を慎重に選定する必要があります。補償内容のミスマッチは、いざという時に十分な支援を受けられない事態を招きます。

保険会社の約款を細部まで確認し、医療機関特有のリスクを十分にカバーできる保険を選択することが求められます。

職員向けセキュリティ教育のポイントは？

効果的な職員教育には、知識の伝達だけでなく、日常業務に直結した実践的な内容を反復して学ぶことが重要です。職員一人ひとりが脅威を自分事として認識し、正しい行動をとれるレベルまで意識を高める必要があります。

このような継続的な取り組みによって、組織全体のセキュリティレベルが向上し、ヒューマンエラーによる感染リスクを大幅に低減させることが可能になります。

まとめ：病院のランサムウェア対策で診療と経営を守る

ランサムウェア攻撃は、診療停止や機微な情報の漏洩を引き起こし、病院経営と社会的信用に深刻なダメージを与えます。攻撃者は人命に関わる業務の特殊性やセキュリティ体制の弱点を狙うため、対策は喫緊の経営課題です。有効な対策には、多要素認証といった技術的防御に加え、経営層の主導によるインシデント対応体制の構築が不可欠です。特に、ネットワークから隔離されたオフラインバックアップの確保と定期的な復旧訓練は、事業継続計画（BCP）の中核をなします。まずは自院の現状をガイドラインと照らし合わせ、脆弱な点がないか確認することから始めてください。具体的な対策の導入や判断に迷う場合は、外部のセキュリティ専門家へ相談することをお勧めします。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ