医療機関向けセキュリティ対策｜システム開発で押さえるべき点

「医療システムのセキュリティ対策は何をどこまでやればいいのかわからない」

「3省2ガイドラインへの対応が必要と言われたが、具体的に何をすべきか把握できていない」

医療機関が扱う患者データは、病歴や検査結果を含む極めてセンシティブな情報です。万が一、情報漏えいやサイバー攻撃による被害が発生すれば、患者への影響はもちろん、医療機関の信頼そのものが失われかねません。近年、医療機関を標的としたランサムウェア攻撃が相次いでおり、セキュリティ対策はもはや「余裕があれば取り組む」レベルの話ではなくなっています。

この記事では、200社以上のシステム開発を手掛けてきた経験から、医療機関向けシステム開発で押さえるべきセキュリティ対策の全体像と、具体的な実装ポイントを解説します。

医療機関のセキュリティが特別に求められる理由

一般企業のシステムと比べて、医療機関のセキュリティ対策が格段に厳しく求められるのには、明確な理由があります。

医療データは「要配慮個人情報」

患者の病歴、診断結果、処方内容、検査データなどの医療情報は、個人情報保護法において「要配慮個人情報」に分類されます。通常の個人情報（氏名、住所など）以上に厳格な管理が義務付けられており、本人の同意なく取得・提供することが原則禁止されています。

つまり、医療データを扱うシステムは、設計段階から通常よりも高いセキュリティ基準で構築する必要があるのです。

医療機関を狙ったサイバー攻撃が急増している

近年、国内の医療機関がランサムウェア（身代金要求型ウイルス）攻撃を受け、電子カルテが使用不能になり、診療が長期間停止する事例が複数報告されています。

医療機関が狙われる理由は主に3つあります。

• 医療データの「闇市場」での価値が高い（クレジットカード情報の10〜20倍とも言われる）
• システムの停止が人命に関わるため、身代金を支払う可能性が高いと見なされる
• IT担当者が不足しており、セキュリティ対策が後手に回りがち

法的責任とガイドライン遵守の義務

医療機関には、個人情報保護法に加えて、厚生労働省・経済産業省・総務省が策定した「3省2ガイドライン」への対応が求められます。このガイドラインは法的拘束力こそありませんが、医療機関の管理者の「善管注意義務」の判断基準として位置づけられており、事実上、遵守が強く求められています。

ガイドラインに沿った対策を行っていなかった場合、情報漏えい等が発生した際に法的責任を問われるリスクが高まります。

3省2ガイドラインの要点と対応すべき項目

「3省2ガイドライン」とは、医療情報システムの安全管理に関する2つのガイドラインの総称です。医療機関向けシステムを開発・運用するうえで、最も重要な指針となります。

3省2ガイドラインの構成

3省2ガイドラインは、以下の2つで構成されています。

• 厚生労働省「医療情報システムの安全管理に関するガイドライン」：医療機関（管理者・利用者）が遵守すべき安全管理の基準
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」：システム開発会社やクラウド事業者など、システム提供者側が遵守すべき基準

つまり、医療機関側と開発会社側の両方に対して、それぞれの責任範囲でのセキュリティ対策が求められています。

ガイドラインが求める主要な対応項目

ガイドラインで求められる対応は多岐にわたりますが、システム開発の観点から特に重要な項目を整理します。

組織的安全管理措置

• 情報セキュリティ責任者の設置
• 情報セキュリティポリシーの策定と周知
• インシデント発生時の対応手順の整備

物理的安全管理措置

• サーバー室・通信機器の入退室管理
• 機器の盗難・破壊対策
• 記録媒体の持ち出し・廃棄ルール

技術的安全管理措置

• アクセス制御と利用者認証
• 通信・保存データの暗号化
• 不正アクセスの検知と防止
• ログの記録と保管

人的安全管理措置

• 従業員へのセキュリティ教育
• 退職者のアカウント即時削除
• 守秘義務の契約

クラウド利用時の追加要件

近年は医療システムのクラウド化が進んでいますが、クラウド利用時には追加の要件が発生します。データの保管場所（国内サーバーの利用推奨）、クラウド事業者との責任分界の明確化、通信経路の安全確保などが重要です。

システム開発で実装すべきセキュリティ対策

ガイドラインの要件を踏まえて、実際のシステム開発で実装すべき技術的なセキュリティ対策を具体的に解説します。

対策1：認証とアクセス制御

「誰が、どのデータに、どこまでアクセスできるか」を厳格に管理する仕組みです。

• 多要素認証（MFA）の導入：パスワードに加えて、ICカードや生体認証、ワンタイムパスワードを組み合わせる
• ロールベースアクセス制御（RBAC）：医師、看護師、事務スタッフなど、役割に応じてアクセスできるデータを制限する
• セッション管理：一定時間操作がない場合の自動ログアウト、同時ログインの制限
• 特権アカウントの厳格管理：管理者権限は最小限の人数に限定し、利用ログを記録する

対策2：データの暗号化

患者データは「保存時」と「通信時」の両方で暗号化が必要です。

• 通信の暗号化：TLS 1.2以上の使用。旧プロトコル（SSL、TLS 1.0/1.1）は無効化する
• 保存データの暗号化：AES-256等の強力な暗号方式を使用
• バックアップデータの暗号化：バックアップも同等の暗号化を適用する
• 暗号鍵の管理：鍵の生成・保管・更新・廃棄のライフサイクルを厳格に管理する

対策3：ネットワークセキュリティ

外部からの不正アクセスを防ぎ、内部ネットワークを保護する対策です。

• ファイアウォールの設定：不要なポートの閉鎖、通信の許可・拒否ルールの設定
• ネットワーク分離：医療系ネットワークと事務系ネットワーク、インターネット接続系を分離する
• VPN：外部からアクセスする場合はVPN接続を必須とする
• 侵入検知・防止システム（IDS/IPS）：不正な通信パターンを検知してブロックする

対策4：ログ管理と監視

「誰が、いつ、何をしたか」を記録し、異常を早期に検知する仕組みです。

• アクセスログの記録：システムへのログイン・ログアウト、データの閲覧・更新・削除を記録
• ログの改ざん防止：ログデータは書き換えできない形式で保存する
• ログの保管期間：ガイドラインでは最低1年以上の保管が推奨されている
• リアルタイム監視：異常なアクセスパターン（大量データの一括ダウンロード、深夜の不正ログインなど）を検知するアラート

対策5：バックアップと災害対策

ランサムウェア攻撃や災害に備えたデータ保全の仕組みです。

• 定期的な自動バックアップ（1日1回以上が推奨）
• オフラインバックアップ：ネットワークに接続されていない媒体への保存（ランサムウェア対策）
• 遠隔地バックアップ：災害時のデータ消失を防ぐ
• 復旧テストの定期実施：バックアップから実際に復旧できることを定期的に検証する

セキュリティ対策の費用と運用体制の作り方

セキュリティ対策は「一度やれば終わり」ではなく、継続的に維持・改善していくものです。費用の目安と、持続可能な運用体制の作り方を解説します。

セキュリティ対策にかかる費用の目安

セキュリティ対策の費用は、既存システムの状態や対応範囲によって大きく異なりますが、おおよその目安は以下の通りです。

• 初期対策（認証強化、暗号化、ログ管理の導入）：300万〜1,000万円
• ネットワークセキュリティ整備（ファイアウォール、VPN、ネットワーク分離）：200万〜800万円
• 脆弱性診断・セキュリティテスト：50万〜300万円（年1回以上の実施を推奨）
• 運用・監視（月額）：10万〜50万円（監視ツール費用、外部委託の場合）

これらは新規システム開発時にはプロジェクト費用に含めて設計するのが効率的です。既存システムへの後付け対応は、同等の効果を得るのに1.5〜2倍の費用がかかる傾向があります。費用の考え方について詳しくは、料金・費用の考え方をご参考ください。

IT担当者が少ない医療機関でも実現できる運用体制

多くの中小規模の医療機関では、専任のIT担当者がいないのが実情です。限られた人的リソースでセキュリティを維持するためのポイントを紹介します。

• 外部のセキュリティ専門会社に運用監視を委託する（月額契約が一般的）
• システム開発会社に保守契約の中でセキュリティパッチの適用を含める
• 年1回の脆弱性診断を外部に依頼し、対策の優先度をアドバイスしてもらう
• スタッフ向けのセキュリティ研修を年1〜2回実施する（オンライン研修でも可）

インシデント対応計画を事前に策定する

万が一、情報漏えいやサイバー攻撃が発生した場合に備えて、対応手順を事前に決めておきましょう。200社以上のシステム開発を通じて、事前の備えがあるかないかで被害の大きさが決定的に変わることを実感しています。

• 初動対応：被害範囲の特定、システムの隔離、関係者への報告
• 報告義務：個人情報保護委員会への報告（漏えい等が発生した場合は原則義務化）
• 原因調査：フォレンジック調査（デジタル鑑識）による原因特定
• 再発防止：原因に基づく対策の実施と、対策の有効性検証

セキュリティは開発時から組み込む

セキュリティ対策を後付けで行うと、設計の見直しや追加開発が必要になり、費用と期間が膨らみます。新規にシステムを開発する際は、企画・設計の段階からセキュリティ要件を組み込む「セキュリティ・バイ・デザイン」のアプローチが最も効率的です。

BOSS DESIGNの開発実績については、実績一覧をご確認ください。開発の進め方やご相談は、ご依頼の流れからお気軽にどうぞ。

まとめ

医療機関を狙ったサイバー攻撃は今後も増加が見込まれます。セキュリティ対策は「コスト」ではなく、患者の安全と医療機関の信頼を守るための「投資」です。

「自院のセキュリティ対策が十分かどうかわからない」「新しいシステムを導入する際のセキュリティ要件を整理したい」という方は、お気軽にご相談ください。