他院がランサムウェアの被害に遭ったという報道を見て、「自院は大丈夫なのか、法律で求められていることはすべてやれているのか」と気になった——。専任のセキュリティ担当を置けない病院やクリニックでは、院長も事務長も情報システムの担当者も、こうした場面で何から手をつければよいか分からず、戸惑うことが少なくありません。
2023年の医療法施行規則の改正で、医療機関にはサイバーセキュリティを確保するための措置が義務づけられました。ただ、「義務化された」という事実だけでは、具体的に何を・どこまでやれば満たしたことになるのかが分かりにくく、厚生労働省のガイドライン本体（PDF）を読み込む必要があります。
本記事では、厚生労働省が公表しているサイバーセキュリティ対策チェックリスト（令和8年度版）とガイドライン第7.0版をもとに、医療機関として求められている対策を自院で「はい・いいえ」を付けて点検できる形にまとめました。
義務化の根拠となる条文や、まず着手すべき対策、診療報酬との関係、自前では難しい部分の相談先・支援制度までを整理し、院内の現状確認と外部サービスの比較検討の材料として使えるようにしています。
目次
一括ダウンロードする
医療機関のサイバーセキュリティ対策チェックリスト（自院で○×点検）
まず押さえたいのは、医療機関として求められている対策の全体像です。厚生労働省は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（令和8年度版）」を公表しており、医療機関はこの項目に沿って自院の状況を確認することが求められています。チェックリストの冒頭には、次のように記されています。
立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で「はい」にマルが付くよう取り組んでください。
出典：医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（令和8年度版）｜厚生労働省
以下は、このチェックリスト（医療機関・薬局 確認用）の項目を、自院で「はい・いいえ」を付けられるようまとめたものです。立入検査でも確認される内容のため、まずは自院の現状を1項目ずつ照らし合わせてみてください。表を印刷するか手元に書き写して、各項目に印を付けながら進めると確認しやすくなります。
| 区分 | 確認項目 | 自院の状況 |
|---|---|---|
| 1. 体制構築 | 医療情報システム安全管理責任者を設置している | はい／いいえ |
| 2. 医療情報システムの管理・運用 | サーバ、端末、ネットワーク機器の台帳管理を行っている | はい／いいえ |
| リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した | はい／いいえ | |
| 事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらう | はい／いいえ | |
| 利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している（管理者権限対象者の明確化を含む） | はい／いいえ | |
| 退職者や使用していないアカウント等、不要なアカウントを削除または無効化している | はい／いいえ | |
| セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している | はい／いいえ | |
| パスワードは英数字の混在した8桁以上としている（二要素認証を採用するまでの期間は13桁以上） | はい／いいえ | |
| パスワードの使い回しを禁止している | はい／いいえ | |
| USBストレージ等の外部記録媒体や情報機器に対して接続を制限している | はい／いいえ | |
| バックグラウンドで動作している不要なソフトウェア及びサービスを停止している | はい／いいえ | |
| 端末のアプリケーションログイン時の二要素認証を実装している、または令和9年度以降初回のシステム更改時に実装予定である | はい／いいえ | |
| サーバのOSログイン時の二要素認証を実装している、または令和9年度以降初回のシステム更改時に実装予定である | はい／いいえ | |
| アクセスログを管理している | はい／いいえ | |
| ネットワーク機器の接続元制限を実施している | はい／いいえ | |
| 3. インシデント発生に備えた対応 | インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある | はい／いいえ |
| インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している | はい／いいえ | |
| サイバー攻撃の想定を含む事業継続計画（BCP）を策定している | はい／いいえ | |
| 4. 規程類の整備 | 上記1〜3のすべての項目について、具体的な実施方法を運用管理規程等に定めている | はい／いいえ |
チェックリストの使い方
チェックリストは、付けて終わりにするものではなく、院内で対策を進めるための起点として使います。前述のとおり厚生労働省は令和8年度中にすべての項目を「はい」にすることを目標に掲げ、「いいえ」の項目には対応目標日を記入するよう求めています。令和8年度は2027年3月末までで、残りの期間は多くありません。立入検査で確認されることも踏まえ、早めに着手するのが安全です。
使い方としては、まず自院の状況を1項目ずつ確認し、「いいえ」が付いた項目を洗い出します。洗い出した項目は院長や予算会議に示し、いつまでに・誰が・どう対応するかを決めると進めやすくなります。自院だけで対応が難しい項目（アクセスログの管理、二要素認証の実装、バックアップの確保など）は、後述する相談先や外部サービスの活用も選択肢に入れて検討してください。
ガイドライン第7.0版の全体像
チェックリストの背景にあるのが、厚生労働省「医療情報システムの安全管理に関するガイドライン」です。2026年11月時点の最新版は第7.0版（令和8年6月）で、次の5編で構成されています。
- 概説編
- 経営管理編
- 企画管理編
- システム運用編
- 保守委託機関編
このガイドラインは、医療情報を取り扱う情報システムの安全管理について、医療機関側が守るべき対策をまとめたものです。システムを提供・保守する事業者側には、経済産業省・総務省が示す「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」が対応し、医療機関向け・事業者向けの2つを合わせて「3省2ガイドライン」と呼ばれます。
前述のチェックリストやQ&A（令和8年9月）も、このガイドラインに沿って厚生労働省が公表しています。ガイドラインは改訂を重ねており、自院で確認する際は最新の第7.0版と、それに基づくチェックリスト（令和8年度版）を基準にしてください。
出典・参考資料（1件）
医療機関にサイバーセキュリティ対策が義務化された根拠と経緯
「義務化された」という言葉は広く知られていますが、その根拠は医療法施行規則の条文にあります。医療法施行規則（昭和23年厚生省令第50号）第14条第2項は、次のように定めています。
病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない。
出典：医療法施行規則 第14条第2項｜e-Gov法令検索
「講じなければならない」という文言が、病院・診療所・助産所の管理者に対する義務を示しています。この条文を加えたのが、2023年に公布・施行された医療法施行規則の一部改正です。
厚生労働省は、この改正について「医療法施行規則の一部を改正する省令（令和5年厚生労働省令第20号）が公布され、令和5年4月1日施行されました」と説明しています。それ以前は努力義務でしたが、この改正により、規模を問わずすべての病院・診療所・助産所にサイバーセキュリティ確保の措置が義務づけられました。
出典・参考資料（1件）
国の最新の政策動向
国は、医療機関のサイバーセキュリティ対策への支援を強めています。報道によると、厚生労働省は令和9年度の概算要求に「医療機関のサイバーセキュリティー強化事業費」として137億円を計上しました。
令和8年度の当初予算が1億円だったことと比べると、約137倍にあたります。具体的な施策としては、保守用VPN装置を含む外部との接続点の集約、情報処理推進機構（IPA）が作成するリストを活用した専門人材の確保、インシデント発生時の初動対応支援などが挙げられています。
金額は概算要求の段階であり、今後の予算編成で変わる可能性がありますが、国が医療分野のサイバーセキュリティを重点課題と位置づけていることは、施策の方向性からも読み取れます。
出典・参考資料（1件）
今すぐやる最低限の対策と次の段階
チェックリストの項目は多岐にわたりますが、専任担当がいない・予算も限られるという前提では、優先順位を付けて進めるのが現実的です。ここでは、まず着手したい基本の対策と、その次の段階で検討したい対策に分けて整理します。全体像は次のとおりです。
今すぐやる最低限の3点
チェックリストの「医療情報システムの管理・運用」の項目のうち、被害の入口をふさぐうえで特に優先度が高いのが次の3点です。いずれも、大がかりな投資をしなくても着手できます。
- 保守用の機器を把握し、不要な外部接続を絞る：リモートメンテナンス（保守）に使っている機器の有無を事業者に確認し、ネットワーク機器の接続元を制限します。後述する被害事例の多くは、保守用VPN機器が入口になっています。
- 機器のソフトウェアを最新に保つ：サーバ・端末・ネットワーク機器に、セキュリティパッチ（最新ファームウェアや更新プログラム）を適用し、既知の脆弱性を放置しないようにします。
- パスワードとアカウントを整える：パスワードは英数字を混在させた8桁以上（二要素認証を採用するまでは13桁以上）とし、使い回しを禁止します。あわせて、退職者や使っていない不要なアカウントを削除・無効化します。
次の段階として検討する対策
基本の対策に着手できたら、次の段階として以下を進めます。これらは、万一攻撃を受けたときに診療を止めない・早く復旧するための備えでもあります。
- アクセス権限の整理とログ管理：職種・担当業務別にアクセス権限を設定し、管理者権限を持つ人を明確にします。アクセスログを記録し、不審な操作を後から追えるようにします。
- バックアップの確保：診療を継続するために必要な情報を検討し、バックアップを確保したうえで復旧手順を確認します。ランサムウェア対策としては、ネットワークから切り離したオフラインでの保管が有効です。
- 職員への教育：不審なメールの扱いや、USBメモリなど外部記録媒体の持ち込み・持ち出しのルールを周知します。
- インシデント対応計画とBCPの策定：インシデント発生時の院内・外部関係機関（事業者、厚生労働省、警察等）への連絡体制図を用意し、サイバー攻撃を想定した事業継続計画（BCP）を策定します。
端末・サーバのログイン時の二要素認証については、チェックリスト上「令和9年度以降初回のシステム更改時に実装予定である」ことも許容されています。現時点で未対応でも、システム更改のタイミングに合わせて計画を立てておくとよいでしょう。
医療機関が狙われる理由と実際の被害事例
なぜ医療機関が標的になりやすいのか、そして実際の被害がどこから起きているのかを知っておくと、自院の弱点を見つけやすくなります。
医療機関特有の攻撃面
医療機関には、電子カルテやオンライン資格確認、画像診断装置など、外部とつながる機器やシステムが数多くあります。これらは診療に不可欠で止めにくいうえ、メーカーや保守事業者がリモートで保守するための接続経路（保守用VPNなど）を持っていることが多く、その管理が行き届かないと攻撃の入口になります。患者の個人情報や診療データという、攻撃者にとって価値の高い情報を扱っていることも、標的になりやすい理由です。
実際の被害事例と共通する原因
2022年10月に発生した大阪急性期・総合医療センターのランサムウェア被害では、電子カルテが長期間使用できなくなり、診療に大きな影響が出ました。病院の調査報告書は、侵入経路について次のように記しています。
給食事業者が設置･運営する給食システムに、情報基盤構築事業者がリモート保守のために設置したVPN機器の脆弱性を用いて侵入（漏洩され公開されていたID・パスワード情報を用いて侵入された可能性もある）。
出典：情報セキュリティインシデント調査報告書 概要｜大阪急性期・総合医療センター
同報告書は、「医療機関は閉域網だからセキュリティは問題ない」という誤った閉域網神話のなかでセキュリティへの意識が薄れていたことを指摘し、VPN機器の管理やリモート接続の運用が適切であれば被害を免れた可能性があるとしています。委託先の事業者が保守のために設置した機器が入口になった点は、自院の機器だけを見ていては防ぎきれないことを示しています。
保守用VPNが入口になる構図は、その後も繰り返されています。2021年10月につるぎ町立半田病院（徳島県）で起きたランサムウェア被害では、公表された報告書によれば、更新されていなかったVPN機器の脆弱性が原因とされています。
さらに2026年2月に判明した日本医科大学武蔵小杉病院の被害でも、報道によると医療機器の保守用VPN装置からの侵入とされ、発表が進むにつれて個人情報漏えいの可能性がある対象は拡大しました。自院だけでなく、委託先や医療機器メーカーが設置した保守用の接続経路まで含めて点検することが重要です。
対策を怠った場合の影響（診療報酬・罰則）
対策を怠った場合にどうなるのかは、経営の観点からも把握しておきたいところです。結論から言うと、医療法施行規則第14条第2項の措置義務そのものに、違反した場合の直接の罰金・刑事罰は定められていません。ただし、「罰則がないから対応しなくてよい」とは言えません。対応の実効性は、次の3つの形で担保されています。
- 立入検査での確認：前述のチェックリストは、立入検査の際に確認されます。「令和8年度中にすべての項目で『はい』にマルが付くよう」求められており、未対応の項目は指導の対象になり得ます。
- 診療報酬の加算要件：診療報酬改定では、サイバーセキュリティに関わる対策が加算の要件に取り込まれてきました。
- 報告徴収・指導：インシデント発生時には、厚生労働省への報告が求められます。
診療報酬との関係も見ておきましょう。サイバーセキュリティ対策は、改定のたびに診療報酬の評価が見直されています。2026年11月時点の現行である令和8年度（2026年）改定では、医療情報取得加算と医療DX推進体制整備加算が廃止されました。あわせて、診療録管理体制加算のサイバーセキュリティ対策の要件が見直され、新たに「電子的診療情報連携体制整備加算」が設けられるなどの再編が行われています。
自院が算定する加算の最新の要件は、下記の厚生労働省「令和8年度診療報酬改定について」や地方厚生局の施設基準通知で確認してください。
こうした要件化の流れは、令和6年度（2024年）改定から本格化しました。令和6年度改定では、診療録管理体制加算の施設基準に非常時に備えた対策が盛り込まれ、疑義解釈資料はその施設基準を次のように引用しています。
「Ａ２０７」診療録管理体制加算の施設基準において、「非常時に備えた医療情報システムのバックアップを複数の方式で確保し、その一部はネットワークから切り離したオフラインで保管していること。」
出典：疑義解釈資料（その1）令和6年度診療報酬改定｜厚生労働省
このように、オフラインバックアップやBCPといった対策は、以前から診療報酬の算定要件と結びついており、改定ごとにその位置づけが見直されています。古い改定の情報のまま運用していると加算の要件を取りこぼすおそれがあるため、現行の令和8年度改定の通知を基準に確認してください。
出典・参考資料（2件）
自前で難しい対策の相談先・支援制度・補助金
チェックリストの項目には、自院だけでは対応が難しいものもあります。そうした場合に使える相談窓口・支援制度・補助金を整理しました。費用や募集の内容は変わることがあるため、利用時は各公式サイトで最新情報を確認してください。
| 相談先・支援制度 | 日本医師会サイバーセキュリティ支援制度（緊急相談窓口） | サイバーセキュリティお助け隊サービス | デジタル化・AI導入補助金（旧IT導入補助金）セキュリティ対策推進枠 | 医療機関向けサイバーセキュリティ対策の教育支援（研修・eラーニング等） |
|---|---|---|---|---|
| 対象 | 日本医師会会員が開設・管理する医療機関等 | 中小企業（医療機関を含む） | 中小企業 | 医療機関の職員 |
| 費用 | 無料（何度でも利用可） | サービスにより異なる（一覧表参照） | 補助額・補助率・締切は年度・公募回で異なる（公式で要確認） | 無料 |
| 申込先・問い合わせ | 電話 0120-179-066（年中無休 6時〜21時） | 情報処理推進機構（IPA） | 補助金事務局 | 厚生労働省（教育支援ポータルサイト） |
日本医師会の支援制度は、会員の医療機関であれば無料で何度でも利用できます。ネット接続の不具合やウイルス感染といった日常的なトラブルには初期のアドバイスやリモートでのウイルス駆除・セキュリティ診断で対応し、不正アクセスや情報漏えいといった重大なトラブルには、専門のフォレンジック事業者や弁護士の紹介まで行います。
中小規模の医療機関であれば、IPAが普及を進める「サイバーセキュリティお助け隊サービス」も検討できます。必要な対策をまとめて提供するもので、デジタル化・AI導入補助金（旧IT導入補助金）のセキュリティ対策推進枠で、対象サービスの利用料の一部が補助される仕組みもあります。
あわせて、万一の被害に備える手段としてサイバー保険もありますが、保険はあくまで事後の備えであり、まずはチェックリストの項目を一つずつ満たしていくことが基本です。
出典・参考資料（2件）
一括ダウンロードする
対策を外部に任せる選択肢
チェックリストの項目のうち、端末やネットワークの監視、ログ管理、脆弱性の診断、万一の際の復旧といった対策は、専任担当のいない医療機関が自前だけで続けるのは負担が大きいものです。ここでは、こうした対策を外部のサービスに任せる選択肢を紹介します。自院の「いいえ」が付いた項目と照らし合わせ、どこを補うかの検討材料にしてください。
この記事で繰り返し触れてきた最大の入口、保守用VPNを含む外部接続点の弱点に効くのは、ネットワーク機器の内側まで調べる脆弱性診断です。
以下では、チェックリストの「リモートメンテナンス機器の確認」「ネットワーク機器の接続元制限」にあたる脆弱性診断、「アクセスログの管理」にあたる操作ログの記録、「バックアップの確保」にあたる復旧の備えなど、どの項目を補えるかを各サービスの紹介で示します。電子カルテなど止められないシステムを抱える環境での利用可否は、導入前に各社へ確認してください。
どの対策をどのタイプのソリューションで補うのかを、医療機関向けに限らず広く見比べて検討したい場合は、以下の記事が参考になります。守る対象（端末・ネットワーク・データ・人など）別に、セキュリティソリューションのタイプと代表的なサービス、選び方を整理しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まず、主なサービスの対応領域を一覧で比較します。
| サービス名 | Eye"247" Work Smart Cloud | CoWorker 端末侵害診断サービス | Eye"247" Safety Zone USAV Ⅵ | KATABAMI サイバーセキュリティ対策パッケージ | Shadow Desktop |
|---|---|---|---|---|---|
| 提供形態 | クラウド型（SaaS） | 診断サービス（スポット／定期実施） | 機器同梱の統合パッケージ | パッケージ（リモート診断＋バックアップ） | ソフトウェア（PCインストール型） |
| 主な対応領域 | PC操作ログの記録・可視化 内部不正・情報漏えい対策 | 端末の侵害・情報漏えいの事後診断（フォレンジック） | ネットワーク・端末・メール訓練の統合防御 | 脆弱性診断（予防）・バックアップ（復旧）・サイバー保険（補償） | 端末のデータレス化による情報漏えい対策 |
| 主な機能・特徴 | 1分間隔のPC操作ログ USB・印刷・ファイル操作の記録 IT資産管理・勤怠可視化 | AI「Blue Agent」＋専門家の解析 退職者PC診断・定期健康診断 速報1週間・最終報告1か月 | Check Point製UTM＋端末のセキュリティソフト 業務可視化ソフト 標的型攻撃メール訓練（年2回） | ネットワーク内部からの月次診断 隔離経路へのバックアップ サイバー保険の自動付帯 | PCにデータを残さない構成 キャッシュ暗号化（AES256bit） リモートワイプ（オプション） |
| 料金目安 | 月額400〜1,100円／1台（税別） 初期費用0円 | 500,000円／台（税別） トライアル価格200,000円／台 | 要お問い合わせ （販売代理店の個別見積） | 月額1,250円／1台〜 初期費用は要お問い合わせ | 月額950円／1ユーザー〜（税抜） 初期費用0円 |
| 導入対象の目安 | 5台〜（最低5ライセンス） | 最大100台まで一括診断 | クライアント10〜200台の中小規模組織 | 中小企業向け（接続端末数で料金が変動） | 法人向け（原則5ライセンス〜） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | オンライン相談を予約 |
※上記は2026年11月時点の各社公式情報にもとづく目安です。「要お問い合わせ」は公式が料金・条件を公開していない項目です。料金・対応範囲は変動するため、導入時に各社公式の最新情報をご確認ください。
1. Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）
PCの操作ログから「誰が・いつ・どこで・何を操作したか」を1分間隔で記録・可視化するクラウド型サービスです。内部不正による情報漏えい対策、退職者・在職者による情報の持ち出しの抑止、PCログに基づく労働時間の把握、IT資産管理を1つのツールで扱えます。導入実績は3,000社以上（2026年10月時点）です。
USBメモリへのファイルコピーや印刷、個人情報を含むファイルの操作などを記録でき、誰がどのデータを扱ったかを後から追跡できます。チェックリストの「アクセスログの管理」や、外部記録媒体の利用状況の把握に役立ちます。初期費用は無料で、月額は1台あたり400円〜（100台以上の場合・税別、最低5台から）。
マルウェアを検知・駆除するタイプの製品ではなく、操作ログの記録と可視化に特化している点は導入前に押さえておきたいところです。オプションの「セキュリティワイドパック」では、エンドポイントのセキュリティソフトや駆けつけ対応、サイバー保険を組み合わせることもできます。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
会社が管理するPCが、ランサムウェアに感染していないか、情報漏えいや内部不正が行われていないかを、AIを使ったフォレンジック（端末ログの解析）で診断するサービスです。退職者のPCを解析して機密情報の持ち出しがなかったかを確認する使い方と、在職者の支給PCを定期的にチェックする使い方があります。
従来のフォレンジックは1台あたり100万〜200万円ほどの費用がかかり、対応できる専門家も限られていました。CoWorkerは自社開発のAIエージェント「Blue Agent」で解析を高速化し、より手軽に診断できるようにしています。
AIが解析した内容はすべてログとして残り、根拠が薄い箇所には印を付けたうえで、最終的に専門家がレポートを確認する運用を取ります。退職時の持ち出し調査や、重大な脆弱性が公表された際の「自院の端末がすでに侵害されていないか」を確かめたい場面に向いています。
こうした、脆弱性の公表をきっかけとした「すでに侵害されていないか」を確かめる相談が増えている実態について、同社の一ノ瀬氏は次のように話します。
多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。
3. Eye”247″ Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
ネットワークを守るUTM（ファイアウォールやウイルス対策など複数の機能を1台に集約した機器。Check Point製）、端末を守るセキュリティソフト、業務可視化ソフト、標的型攻撃メール訓練を1つにまとめた、機器同梱の統合セキュリティパッケージです。
ネットワーク・端末・人への対策を1契約でまとめて導入できるため、製品を個別に組み合わせる手間をかけずに基本的な守りを固められます。専任のIT担当者を置きにくい中小規模の組織に向いた構成で、クライアント数10〜200台の環境を想定しています。
価格は販売代理店による個別見積で、公式サイトに定価の記載はありません（2026年11月時点）。導入を検討する際は、自院の端末台数を伝えて見積もりを取るところから始めます。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
IPv6アドレスと暗号化技術を組み合わせて、インターネット上に見えない専用線（ステルス回線）を構築する国産技術を使い、脆弱性診断とランサムウェア対策のバックアップを提供するサービスです。
サーバーやネットワーク機器、複合機といったオフィス内部の脆弱性診断は、従来は専門家が現地に出向いて行うため費用がかさみ、年1回程度にとどまりがちでした。KATABAMIの通信経路を使うと、内部の診断を外部からリモートで実施でき、立ち会いの工数をかけずに継続的に診断できます。
あわせて、書き換えのできない（イミュータブルな）バックアップを用意することで、ランサムウェアでデータが暗号化されても復旧できる備えになります。保守用VPNなどネットワークの内側に残る弱点を定期的に点検したい医療機関に適しています。
バックアップを備えていても安心とは限らず、バックアップ自体が被害に巻き込まれる点について、同社の北口氏は次のように指摘しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
5. Shadow Desktop（アップデータ株式会社）
PC内のデスクトップやドキュメントなどのデータを、クラウドなどの外部ストレージへ自動的に預け、PC本体にはデータを物理的に残さない「データレスクライアント」です。仮想デスクトップ（VDI）の代わりとして、通常のPCと同じ操作感のまま情報漏えいのリスクを下げられる点を特徴とします。
PCを紛失・盗難されてもデータが端末に残らないため、持ち出しPCや在宅勤務での情報漏えい対策になります。PCがランサムウェアに感染しても、外部ストレージ側のデータから復旧でき、遠隔でデータを消去するリモートワイプにも対応します。訪問診療や在宅勤務で端末を持ち出す機会がある医療機関が、端末からの情報漏えいを抑えたい場合の選択肢になります。
まとめ
医療機関のサイバーセキュリティ対策は、「義務化された」という事実の確認で終わらせず、厚生労働省のチェックリスト（令和8年度版）とガイドライン第7.0版に沿って、自院で一つずつ「はい・いいえ」を付けて点検するところから始まります。
まずは保守用機器の把握・ソフトウェアの更新・パスワードとアカウントの整理という基本の3点に着手し、続いてアクセス権限の整理、オフラインを含むバックアップ、職員教育、BCPの策定へと段階的に進めるのが現実的です。
「いいえ」が付いた項目のうち、自院だけでは難しいものは、日本医師会の相談窓口やIPAの支援サービス、外部のセキュリティソリューションを組み合わせて補えます。それぞれの対応範囲や費用を比べて、自院に合う進め方を検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. 医療機関のサイバーセキュリティ対策とは何ですか？
A. 医療機関のサイバーセキュリティ対策とは、医療法施行規則第14条第2項により、すべての病院・診療所・助産所の管理者に義務づけられた「サイバーセキュリティを確保するために必要な措置」です。
具体的に何を・どこまでやればよいかは、厚生労働省「医療情報システムの安全管理に関するガイドライン」第7.0版（令和8年6月）と、それに基づく「サイバーセキュリティ対策チェックリスト（令和8年度版）」で示されています。体制の整備、システムの管理・運用（台帳管理・アクセス権限・パスワード・ログ管理など）、インシデントへの備え（バックアップ・BCP）、規程類の整備が柱です。
出典・参考資料（2件）
Q. 医療機関のサイバーセキュリティ対策はいつから義務化されたのですか？
A. 医療機関のサイバーセキュリティ対策は、2023年（令和5年）4月1日から義務化されています。医療法施行規則の一部を改正する省令（令和5年厚生労働省令第20号）により、それまで努力義務だったサイバーセキュリティ確保の措置が義務に引き上げられました。病院・診療所・助産所であれば、規模の大小を問わずすべてが対象です。
出典・参考資料（1件）
Q. 医療機関がサイバーセキュリティ対策を怠ると罰則はありますか？
A. 医療機関がサイバーセキュリティ対策を怠っても、医療法施行規則第14条第2項の措置義務そのものに対する直接の罰金・刑事罰は定められていません。ただし、対策の状況は立入検査の際にチェックリストで確認されます。
「罰則がないから対応しなくてよい」とは言えず、未対応の項目は立入検査で指導の対象になり得るほか、診療報酬の加算要件やインシデント発生時の報告徴収・指導を通じて、対応の実効性が担保されています。
出典・参考資料（1件）
Q. 医療機関はいつまでにチェックリストの項目を満たす必要がありますか？
A. 厚生労働省は、令和8年度中にチェックリストのすべての項目で「はい」にマルが付くよう取り組むことを求めています。「いいえ」が付いた項目については、令和8年度中の対応目標日を記入することとされています。ただし、端末・サーバのログイン時の二要素認証については、令和9年度以降の初回のシステム更改時に実装する予定であれば、現時点で未実装でも差し支えないとされています。
Q. 小規模な診療所やクリニックでもサイバーセキュリティ対策は必要ですか？何から始めればよいですか？
A. 小規模な診療所やクリニックでも、サイバーセキュリティ対策は規模を問わず義務であり、必要です。専任担当や予算が限られていても、まずは自院の現状をチェックリストで点検し、「保守用の機器を把握して不要な外部接続を絞る」「機器のソフトウェアを最新に保つ」「パスワードとアカウントを整える」という基本の3点から着手するのが現実的です。いずれも大がかりな投資をせずに始められます。
Q. 院内ネットワークは外部とつながっていないので、サイバーセキュリティ対策は不要ではないですか？
A. 院内ネットワークが外部とつながっていないように見えても、「閉域網だから安全」という考え方は誤りで、対策は必要です。実際の被害の多くは、保守事業者や医療機器メーカーがリモート保守のために設置したVPN機器が入口になっています。
大阪急性期・総合医療センターの事例でも、委託先が設置した保守用VPN機器の脆弱性が侵入経路でした。自院の機器だけでなく、委託先が設けた保守用の接続経路まで含めて点検し、不要な外部接続を絞ることが重要です。
Q. 保守を委託している外部ベンダーとは、どのように連携すればよいですか？
A. 外部ベンダーとは、保守で使うリモート接続（VPNなど）の経路と管理状況を把握し、不要な接続を絞ったうえで、セキュリティ対策の責任範囲を契約で明確にしておくことが重要です。
チェックリストでも、リモートメンテナンスを利用している機器の有無を事業者に確認することや、製造業者・サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらうことが求められています。保守経路が攻撃の入口になりやすいため、委託先任せにせず、どの機器が外部とつながっているかを定期的に棚卸ししてください。
Q. バックアップを取っていれば、医療機関のランサムウェア対策は十分ですか？
A. バックアップを取っていても、それだけではランサムウェア対策として十分ではありません。バックアップそのものが暗号化されてしまうと復旧できないため、ネットワークから切り離したオフラインでの保管や、復旧手順の事前確認まで行って初めて有効な備えになります。あわせて、保守用VPNの点検やソフトウェアの更新など、侵入の入口をふさぐ対策を組み合わせることが必要です。
Q. 電子カルテなどへの二要素認証は、すぐに導入しなければなりませんか？
A. 電子カルテなどの端末・サーバへの二要素認証は、令和9年度以降の初回のシステム更改時に実装する予定であれば、現時点で未導入でも差し支えないとされています。二要素認証を採用するまでの期間は、パスワードを英数字混在の13桁以上にすることが求められます。システム更改のタイミングに合わせて、計画的に導入を進めておくとよいでしょう。
Q. 医療機関がサイバー攻撃を受けてしまったら、まず何をすればよいですか？
A. サイバー攻撃を受けたら、まず被害の拡大を防ぐために感染が疑われる機器をネットワークから切り離し、厚生労働省や警察などの関係機関へ報告することが基本です。
復旧や原因調査には専門的な対応が必要なため、日本医師会の会員であれば緊急相談窓口（0120-179-066、年中無休6〜21時）に相談でき、不正アクセスや情報漏えいといった重大なトラブルにはフォレンジック事業者や弁護士の紹介まで受けられます。あわせて、原因究明のために証拠となるログなどを保全しておくことも重要です。
Q. 医療機関のサイバーセキュリティ対策の費用は、補助金でまかなえますか？
A. 医療機関のサイバーセキュリティ対策の費用は、デジタル化・AI導入補助金（旧IT導入補助金）のセキュリティ対策推進枠などで、一部を補助できる場合があります。
この枠は、IPA（情報処理推進機構）の「サイバーセキュリティお助け隊サービス」に掲載されたサービスの利用料が対象です。補助額・補助率・締切は年度や公募回で変わるため、事務局の公式サイトで最新情報を確認してください。日本医師会の会員であれば、相談窓口を無料で何度でも利用できます。
Q. サイバーセキュリティ対策は、医療機関の診療報酬に関係しますか？
A. サイバーセキュリティ対策は、診療報酬の加算要件とも結びついており、経営にも関係します。令和6年度（2024年）改定では、診療録管理体制加算の施設基準に、オフラインバックアップの確保など非常時に備えた対策が盛り込まれました。
診療報酬の体系は改定ごとに見直されており、現行の令和8年度（2026年）改定では、診療録管理体制加算のサイバーセキュリティ要件が見直され、「電子的診療情報連携体制整備加算」が新設されるなどの再編が行われました。自院が算定する加算の最新の要件については、厚生労働省や地方厚生局が公表する令和8年度改定の通知で確認してください。
出典・参考資料（1件）
医療機関向けセキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、医療機関のサイバーセキュリティ対策に使えるソリューションの最新資料を無料で一括請求できます。操作ログの記録・端末の侵害診断・データの持ち出し対策・脆弱性診断など、対応領域ごとに各社の内容を比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
