【連載第7回】医療情報システム安全管理ガイドライン第7.0版「システム運用編②」｜端末・サーバ・保守・バックアップを解説

医療情報

医療情報システムの安全管理に関するガイドライン第7.0版」を読み解く全12回連載。

第1回ではガイドライン全体の構成と読み方、第2回では経営管理編、第3回から第5回では企画管理編を取り上げ、第6回からはシステム運用編の解説に入りました。

今回の第7回は、「システム運用編②」として端末・サーバ・保守・バックアップを取り上げます。

医療情報システムを安全に運用するためには、ウイルス対策ソフトを導入したり、バックアップを取得したりするだけでは不十分です。

セキュリティパッチをどのように適用するのか、保守事業者の接続をどのように管理するのか、バックアップから本当に復旧できるのかまで、日常の運用として確認する必要があります。

本記事では、医療情報システムの端末・サーバ管理、マルウェア対策、脆弱性管理、リモート保守、非常時運用、バックアップ、物理的安全管理について、医療機関が実務で確認すべきポイントを整理します。

この記事で分かること

本記事を読むことで、次の内容を理解できます。

医療情報システムの端末・サーバに必要な安全管理
マルウェア対策とセキュリティパッチ管理の考え方
保守作業やリモートメンテナンスで確認すべき事項
通常時から準備すべき非常時のシステム運用
ランサムウェア被害を想定したバックアップ管理
サーバルームや情報機器に必要な物理的安全管理
令和8年度サイバーセキュリティ対策チェックリストとの関係

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

結論｜重要なのは「導入しているか」ではなく「管理できているか」

システム運用編②のポイントを先にまとめると、次のとおりです。

ウイルス対策ソフト、バックアップ、保守契約などの仕組みが存在しているだけでは、安全管理ができているとはいえません。

医療機関には、次の状態を維持することが求められます。

マルウェア対策機能やパターンファイルが適切に更新されている
脆弱性情報を収集し、必要なパッチを適用している
パッチ適用後のシステム動作を確認している
保守作業の申請、承認、作業記録、ログが残されている
リモートメンテナンスの接続経路と利用事業者を把握している
バックアップを複数世代・複数方式で保管している
バックアップからの復旧手順を整備し、復旧テストを実施している
非常時の代替運用から通常運用へ戻す手順が決められている

つまり、製品の導入ではなく、継続的な運用と確認が重要です。

システム運用編では、経営層や企画管理者が決定した方針を、端末、サーバ、ネットワーク、ソフトウェア、保守作業などの具体的な技術対策へ落とし込むことが求められています。

1．システム運用編②で扱う範囲

今回の対象となるのは、システム運用編のうち、主に次の項目です。

ガイドラインの項目	主な内容
8．利用機器・サービスに対する安全管理措置	マルウェア、脆弱性、端末・サーバ、棚卸、BYOD
9．ソフトウェア・サービスに対する要求事項	構成管理、導入・変更時の品質管理
10．事業者による保守対応等への安全管理措置	保守作業、リモートメンテナンス
11．システム運用管理	通常時・非常時の運用
12．物理的安全管理措置	サーバルーム、バックアップ、記録媒体、離席対策

これらは個別の対策に見えますが、実際には相互に関係しています。

例えば、脆弱性を解消するためにセキュリティパッチを適用しても、その影響で電子カルテや部門システムが動作しなくなる可能性があります。そのため、パッチ管理には事前確認、適用、動作確認、問題発生時の復旧という一連の運用が必要です。

バックアップについても同様です。

取得に成功したという記録だけではなく、非常時に正しく復元できることまで確認して、初めて有効な対策になります。

2．端末・サーバのマルウェア対策

2-1．マルウェアは端末だけの問題ではない

マルウェアは、メール、ネットワーク、USBストレージなどの可搬媒体、外部から受領したファイルなど、さまざまな経路から侵入します。

感染すると、次のような影響が想定されます。

電子カルテや部門システムの停止
医療情報の漏えい
データの改ざんや破壊
セキュリティ機能の無効化
他の端末やサーバへの感染拡大
バックアップデータへの影響
医療提供の停止や遅延

ガイドラインでは、端末、サーバ、ネットワーク機器等にマルウェア対策を講じ、パターンファイル等を可能な限り最新の状態に維持することが示されています。

対象は、電子カルテ端末だけではありません。

部門システム、管理用パソコン、サーバ、持ち出し端末、保守用端末など、医療情報システムに接続する機器全体を確認する必要があります。

2-2．ウイルス対策ソフトだけでは防げない

マルウェア対策ソフトを導入していても、すべての攻撃を検知できるわけではありません。

そのため、複数の対策を組み合わせる必要があります。

代表的な対策は次のとおりです。

OSやソフトウェアへのセキュリティパッチ適用
不要なソフトウェアやサービスの停止
不要な通信ポートの閉鎖
ネットワークの分割
ネットワーク間のアクセス制御
マクロ等の実行制限
メールやファイルの無害化
USBストレージ等の接続制限
EDR等による不審な挙動の検知

重要なのは、単一製品に依存しないことです。

感染を完全に防ぐことが困難である以上、侵入防止、感染の検知、被害拡大の防止、復旧という複数の段階で対策を講じる必要があります。

3．脆弱性情報とセキュリティパッチの管理

3-1．パッチを適用しないことも、無条件に適用することもリスクになる

OS、サーバ、ネットワーク機器、医療機器、ソフトウェアには、導入後も脆弱性が発見されます。

特に注意が必要なのは、次のような機器です。

インターネットに接続するネットワーク機器
VPN装置
リモートメンテナンス用機器
電子カルテや部門システムのサーバ
サポートが終了したOSやソフトウェア
ファームウェアを更新していない医療機器
管理対象から漏れている古い端末

ガイドラインでは、脆弱性情報を継続的に収集し、必要に応じて脆弱性スキャンを行うこと、事業者へ対応状況を確認することなどが求められています。

一方、医療情報システムでは、パッチを直ちに適用すると既存システムに影響が生じる場合があります。

したがって、次の流れで管理することが重要です。

脆弱性情報を収集する
対象となる機器やソフトウェアを特定する
影響度と緊急度を評価する
事業者に適用可否を確認する
可能であればテスト環境で確認する
承認を得て本番環境へ適用する
適用後に動作確認を行う
実施日、対象、結果を記録する

パッチ適用が困難な場合は、そのまま放置するのではなく、ネットワーク分離、接続元制限、利用時間の制限などの代替策を事業者と協議する必要があります。

3-2．サポート終了製品への対応

サポートが終了したOSや機器は、新たな脆弱性が発見されても修正プログラムが提供されない可能性があります。

そのため、機器台帳やソフトウェア台帳には、少なくとも次の情報を含めておくことが望まれます。

製品名
OSやソフトウェアのバージョン
設置場所
利用部門
保守事業者
保守契約の有無
サポート終了予定日
更新・更改予定

医療機器については、医療情報システム担当者だけで判断するのではなく、医療機器安全管理責任者や製造販売業者と連携して対応することが重要です。

4．端末・サーバの安全な利用

4-1．初期パスワードは必ず変更する

情報機器やソフトウェアには、出荷時の管理者IDや初期パスワードが設定されている場合があります。

初期設定のまま利用すると、公開情報やマニュアル等から認証情報を推測されるおそれがあります。

次のような初期アカウントは、特に確認が必要です。

Administrator
admin
root
保守事業者が共通利用しているアカウント
導入時に作成されたテスト用アカウント
使用目的が分からない管理者アカウント

初期パスワードを変更するとともに、誰がどの管理者権限を利用しているのかを把握しなければなりません。

4-2．不要な機器やサービスを稼働させない

利用していない端末やサーバがネットワークに接続されたままになっていると、攻撃者の侵入口になる可能性があります。

また、業務で利用していないソフトウェアやサービスが動作している場合も、脆弱性が増える原因になります。

確認すべき事項は次のとおりです。

利用していない端末が接続されていないか
廃止したシステムが稼働したままになっていないか
不要なソフトウェアがインストールされていないか
不要なバックグラウンドサービスが動作していないか
使用していない通信ポートが開放されていないか
保守終了後も接続機器が残っていないか

使用可能な機器と使用停止中の機器を台帳上で区別し、定期的に現物との照合を行う必要があります。

5．ソフトウェアの構成管理と変更管理

医療情報システムは、OS、データベース、ミドルウェア、アプリケーション、ネットワーク機器など、複数の構成要素によって動作しています。

一部のソフトウェアだけを更新したことで、他のシステムとの連携に問題が生じることもあります。

そのため、次の情報を管理する必要があります。

システムを構成する機器とソフトウェア
各ソフトウェアのバージョン
システム間の連携関係
導入・変更・更新の履歴
作業内容と作業者
動作確認の結果
問題発生時の切り戻し方法

クラウドサービスでは、医療機関側が構成を直接確認できないこともあります。

その場合でも、事業者に対して、変更予定、メンテナンス時間、影響範囲、変更後の確認結果などの情報提供を求めることが重要です。

「クラウドだから事業者に任せてよい」のではなく、医療機関側が必要な情報を受け取れる契約と運用を整える必要があります。

6．保守作業を安全に管理する

6-1．保守作業にも情報漏えいとシステム停止のリスクがある

保守作業では、障害原因の調査や動作確認のため、保守要員が管理者権限を使用したり、医療情報を参照したりする場合があります。

ガイドラインでは、保守作業に伴うリスクとして、医療情報の漏えい、データの破壊、システム障害、保守環境を経由したサイバー攻撃などを想定しています。

そのため、保守作業についても、通常のシステム利用とは別の管理が必要です。

6-2．保守作業で確認すべき事項

保守作業では、少なくとも次の事項を確認します。

確認項目	確認内容
作業計画	日時、対象、作業内容、影響範囲
承認	誰が作業を承認したか
作業者	事業者名、担当者名、連絡先
アカウント	作業者を識別できる専用アカウントか
権限	必要以上の管理者権限を付与していないか
医療情報へのアクセス	閲覧の有無、対象、理由
ログ	接続日時、操作内容、終了時刻
作業後確認	システムの動作とセキュリティ設定
報告	作業結果、問題の有無、残作業
データ消去	作業用に取得したデータを消去したか

保守作業で個人情報を含むデータを利用した場合は、作業終了後に確実に消去し、その結果について報告を求める必要があります。

また、製品出荷時の共通管理者IDではなく、作業者を特定できる個別の保守用アカウントを使用することが重要です。

7．リモートメンテナンスは重要な外部接続点

7-1．院内が把握していない接続点を残さない

リモートメンテナンスは、事業者が医療機関を訪問せずに障害対応や保守作業を行える便利な仕組みです。

一方で、外部から院内システムへ接続する経路であるため、サイバー攻撃の侵入口になる可能性があります。

令和8年度版サイバーセキュリティ対策チェックリストでも、医療機関がリモートメンテナンスを利用している機器の有無を事業者に確認することが求められています。

最初に行うべきことは、リモート保守の有無を把握することです。

電子カルテだけでなく、次のシステムも確認する必要があります。

レセプトコンピュータ
画像管理システム
検査システム
調剤・薬剤関連システム
医療機器
ネットワーク機器
防犯カメラや設備管理システム
バックアップ装置

7-2．リモート保守で必要な対策

ガイドラインでは、リモートメンテナンスについて、認証・アクセス管理、通信経路、管理端末、委託先管理などの対策を求めています。

代表的な確認事項は次のとおりです。

二要素認証を採用しているか
管理者共通アカウントを禁止しているか
接続元の端末やIPアドレスを制限しているか
VPN等で通信経路を暗号化しているか
RDPやVNCをインターネットへ直接公開していないか
リモート接続用ゲートウェイを利用しているか
保守端末にマルウェア対策を講じているか
接続ログと操作ログを取得しているか
作業終了後に接続を終了しているか
ログを作業計画書と照合しているか

リモート保守による作業では、アクセスログを取得し、作業計画と照合したうえで、企画管理者へ報告することが示されています。

常時接続が本当に必要なのかも検討しなければなりません。

必要な時間だけ接続を許可する方式や、医療機関側の承認後に接続できる方式に変更できないか、事業者へ確認することも有効です。

8．通常時から非常時を想定して運用する

8-1．非常時対応は障害が起きてから考えるものではない

システム運用編では、災害、サイバー攻撃、システム障害を非常時の原因として想定しています。

非常時に備え、通常時から次の準備を行う必要があります。

システムの死活監視
パフォーマンス監視
障害発生時の連絡先管理
ネットワークの分割
代替端末や代替システムの準備
紙運用への切替手順
非常時用アカウントの管理
バックアップの確保
復旧手順の整備
非常時を想定した訓練

特に専任のシステム担当者がいない医療機関では、異常発生時に事業者から速やかに連絡を受けられる体制を整えることが重要です。

8-2．パッチ適用後や更新後の動作確認

OSのセキュリティパッチやマルウェア対策ソフトの更新は、セキュリティ上必要です。

しかし、更新によってシステムが正常に動作しなくなる可能性もあります。

そのため、次の確認を行います。

電子カルテが正常に起動するか
患者情報を検索・表示できるか
部門システムと連携できるか
帳票や処方箋を印刷できるか
医療機器からデータを取り込めるか
認証やアクセス権限が維持されているか
バックアップ処理が正常に動作するか

ガイドラインでは、パッチ適用後やパターンファイル更新後の稼働確認、バックアップの復旧テストについて、可能な限り本番環境から分離した環境で実施することを求めています。

独立したテスト環境を用意できない場合は、影響の少ない範囲から段階的に適用する方法も検討します。

9．非常時用アカウントと代替運用

災害やシステム障害によって通常の利用者認証ができない場合、非常時用アカウントを使用する運用が考えられます。

ただし、非常時用アカウントは通常の制限を一部緩和する可能性があるため、厳格な管理が必要です。

事前に決めておくべき事項は次のとおりです。

どのような状況を非常時とするか
誰が非常時運用への切替を判断するか
誰が非常時用アカウントを使用できるか
利用開始と終了をどのように記録するか
利用中の操作をどのように監査するか
通常復旧後にアカウントをどのように無効化・変更するか

また、システムを利用できない場合に備えて、紙による患者受付、診療記録、処方、検査依頼などの代替手段も準備する必要があります。

非常時用の機能やアカウントは、通常時に不正利用されないよう管理し、使用された場合に検知できる状態にしておくことが求められます。

10．バックアップは「取得」より「復旧」が重要

10-1．バックアップが存在していても復旧できるとは限らない

バックアップ運用でよくある問題は、バックアップ処理の成功だけを確認し、実際の復旧を確認していないことです。

次のような状態では、非常時に復旧できない可能性があります。

バックアップデータが破損している
必要なデータが対象に含まれていない
復旧に必要なアカウント情報がない
暗号鍵やパスワードが分からない
復旧手順を担当者しか知らない
復旧用サーバやソフトウェアがない
バックアップにもマルウェアが混入している
保守事業者へ連絡できない
復旧に必要な時間を把握していない

バックアップは、復旧できることを確認して初めて有効です。

10-2．複数世代・複数方式で保管する

イドラインでは、重要なファイルについて、数世代のバックアップを複数の方式で確保し、その一部をマルウェアの影響が波及しない手段で管理することが求められています。

医療機関では、次のような組み合わせを検討します。

日次、週次、月次など複数世代の保存
サーバ内と別装置への保存
遠隔地への保存
クラウドバックアップ
オフライン媒体への保存
ネットワークから切り離した保存
一定期間変更できない追記不能型ストレージ
システム再構築に必要な設定情報の保存

同じネットワーク上に接続されたバックアップ装置だけでは、ランサムウェア感染時に同時に暗号化される可能性があります。

少なくとも一部は、通常のシステムから直接変更できない方式で保管することが重要です。

10-3．復旧テストで確認する内容

復旧テストでは、単にファイルが開けるかだけでなく、診療業務を再開できるかを確認します。

確認例は次のとおりです。

バックアップデータを読み込めるか
電子カルテを起動できるか
患者情報を検索できるか
過去の診療記録を表示できるか
画像や検査結果を参照できるか
部門システムとの連携が復旧するか
利用者アカウントと権限が復元されるか
復旧に要する時間は許容範囲か
復旧後の安全性を確認できるか

サイバー攻撃の場合、バックアップデータ自体が感染している可能性があります。

原因や侵入時期を確認しないまま復旧すると、マルウェアを再び本番環境へ戻してしまうこともあります。そのため、復旧する世代の選定や安全確認も復旧手順に含める必要があります。

10-4．外部委託していても確認は必要

クラウドサービスや事業者にバックアップを委託している場合も、医療機関側で次の事項を確認します。

バックアップ対象
取得頻度
保存世代数
保存方法
保存場所
暗号化の有無
復旧方法
復旧可能な範囲
復旧に要する時間
復旧作業の費用
契約終了時のデータ返却・削除

これらは、契約書やSLA等で明確にすることが重要です。

「事業者がバックアップしているはず」という状態を避け、自院が必要とする復旧水準を事業者と共有しなければなりません。

11．サーバルームと物理的安全管理

医療情報システムは、サイバー攻撃だけでなく、火災、水害、地震、落雷、停電、高温、結露、盗難などの物理的リスクにもさらされています。

サーバルームや機器設置場所では、次の事項を確認します。

地震、水害、火災等を考慮した設置場所か
停電対策が講じられているか
温度、湿度、結露への対策があるか
入退室を管理しているか
入室できる職員を限定しているか
防犯カメラや侵入監視設備があるか
サーバラックや保管庫を施錠しているか
USBストレージ等の持込みを管理しているか
機器や記録媒体の盗難防止策があるか
長時間離席時に画面を自動ロックしているか

バックアップ媒体についても、経年劣化や保管環境に注意が必要です。

使用開始日、交換予定日、可読性の確認結果などを管理し、媒体が劣化する前に新しい媒体へ複写する運用が求められます。

12．令和8年度サイバーセキュリティ対策チェックリストとの関係

令和8年度版のチェックリストには、今回取り上げた内容と直接関係する項目が複数あります。

チェック項目	今回の実務対応
リモートメンテナンス機器の有無を確認	外部接続点と事業者を一覧化
セキュリティパッチを適用	対象、確認日、適用日、結果を記録
不要なソフトウェア・サービスを停止	サーバ・端末の構成確認
アクセスログを管理	保守・リモート接続を含めて記録
バックアップと復旧手順を確認	復旧手順書と復旧テスト記録を整備
サイバー攻撃を含むBCPを策定	代替運用、連絡、復旧を文書化
具体的な方法を規程に定める	実施方法を運用管理規程へ反映

チェックリストでは、「実施している」と回答するだけでなく、台帳、連絡体制図、BCP、規程類などの現物を整備することが求められています。

13．医療機関が進める実務対応の手順

端末・サーバ・保守・バックアップの対策を一度に見直す場合は、次の順序で進めると整理しやすくなります。

ステップ1｜対象を一覧化する

サーバ、端末、医療機器、ネットワーク機器、ソフトウェア、保守事業者、リモート接続点を一覧化します。

ステップ2｜責任分界を確認する

次の作業を誰が担当するのかを確認します。

パッチ適用
マルウェア対策ソフトの更新
ログ管理
バックアップ
復旧作業
リモート保守
障害対応
医療情報へのアクセス管理

ステップ3｜未対応事項を洗い出す

チェックリストとガイドラインを使い、未対応、不明、事業者確認中の項目に分けます。

「不明」は「実施済み」とは扱わず、事業者へ確認することが重要です。

ステップ4｜優先順位を決める

特に優先して確認したいのは、次の項目です。

インターネットから接続可能な機器
リモートメンテナンス接続
サポート終了製品
管理者権限アカウント
セキュリティパッチ未適用機器
バックアップと復旧手順
非常時の代替運用

ステップ5｜手順と記録を残す

実施した対策は、規程、手順書、台帳、ログ、作業報告書、テスト記録として残します。

対策を行っていても、実施方法や結果が確認できなければ、組織的な安全管理として説明することが難しくなります。

実務チェックリスト

以下の項目について、自院の状況を確認してください。

よくある質問

Q1．ウイルス対策ソフトを導入していれば、マルウェア対策は十分ですか？

十分ではありません。

未知のマルウェアや正規ツールを悪用した攻撃など、従来型のウイルス対策ソフトだけでは検知できない攻撃があります。

パッチ適用、不要サービスの停止、ネットワーク分割、USB接続制限、メール無害化、EDRなどを組み合わせて対策する必要があります。

Q2．セキュリティパッチは公開されたらすぐに適用するべきですか？

緊急性の高い脆弱性には速やかな対応が必要ですが、医療情報システムではパッチによる動作影響も確認しなければなりません。

対象と影響度を確認し、事業者と適用可否を協議したうえで、可能な限りテストや段階的な適用を行います。

Q3．保守契約を締結していれば、医療機関側で保守作業を管理する必要はありませんか？

管理は必要です。

医療機関には委託先を選定・監督する責任があります。保守作業の内容、担当者、利用アカウント、医療情報へのアクセス、作業ログ、作業結果を確認できるようにします。

Q4．リモートメンテナンスを利用しているか分かりません。

電子カルテや部門システムだけでなく、医療機器やネットワーク機器も含め、各事業者へ確認してください。

令和8年度版チェックリストでも、リモートメンテナンスを利用している機器の有無を事業者に確認することが求められています。

Q5．クラウド型電子カルテなら、バックアップは事業者に任せてよいですか？

バックアップ作業を事業者に委託することはできますが、確認まで不要になるわけではありません。

バックアップ対象、頻度、保存世代、保存場所、復旧方法、復旧時間、契約終了時の取扱いを確認し、契約書やSLAで明確にする必要があります。

Q6．毎日バックアップに成功していれば、復旧テストは不要ですか？

必要です。

バックアップ処理に成功していても、データ破損、設定不足、手順不備などにより復旧できない場合があります。定期的に復旧テストを行い、診療業務を再開できることまで確認する必要があります。

Q7．非常時用アカウントを常に利用できる状態にしてもよいですか？

非常時用アカウントは、通常時に不正利用されないよう厳格に管理する必要があります。

利用条件、承認者、利用者、ログ確認方法を定め、通常運用への復帰後は継続利用できないよう変更または無効化します。

まとめ

システム運用編②では、端末やサーバを安全に利用するための技術対策だけでなく、保守、バックアップ、非常時対応を含めた継続的な運用が求められています。

特に重要なのは、次の点です。

マルウェア対策ソフトだけに依存しない
脆弱性情報を収集し、パッチ適用を管理する
不要な機器、ソフトウェア、サービスを停止する
保守作業者、作業内容、アクセスログを記録する
リモートメンテナンスの接続点を把握する
バックアップを複数世代・複数方式で確保する
バックアップからの復旧テストを行う
非常時用アカウントと代替運用を準備する
サーバルームや記録媒体を物理的にも保護する

医療情報システムの安全管理は、製品やサービスを導入した時点で完了するものではありません。

日常的な確認、記録、テスト、見直しを継続し、非常時に診療を継続・復旧できる状態を維持することが重要です。

医療情報システムの運用状況に不安がある医療機関の方へ

株式会社クロイツでは、医療機関を対象に、医療情報システムの安全管理状況の確認や改善支援を行っています。

例えば、次のような支援が可能です。

医療情報システム・端末・ネットワーク機器の現状整理
令和8年度サイバーセキュリティ対策チェックリストへの対応確認
リモートメンテナンス接続点の確認
医療情報システム事業者との責任分界の整理
運用管理規程や各種手順書の整備
バックアップ・復旧体制の確認
サイバー攻撃を想定したBCP策定
机上訓練・インシデント対応訓練
立入検査に向けた文書・証跡の確認

「事業者に任せているため、院内では対応状況が分からない」「チェックリストには回答したが、実際の運用に不安がある」といった場合も、現状整理から支援します。

お問い合わせ