【連載第8回】医療情報システムの安全管理に関するガイドライン第7.0版「システム運用編③」｜ネットワーク・認証・ログ・外部攻撃対策を徹底解説

医療情報

医療情報システムの安全性は、電子カルテやサーバにウイルス対策ソフトを導入するだけでは確保できません。

院内外を結ぶネットワーク、システムにログインする利用者の認証、アクセスログの記録と確認、サイバー攻撃を受けた際の遮断・隔離といった複数の対策を組み合わせる必要があります。

特に医療機関では、電子カルテ、医事会計システム、画像管理システム、検査システム、オンライン資格確認、クラウドサービス、リモート保守など、さまざまなシステムや外部接続が存在します。

一つの認証情報や一台のVPN機器が侵害されただけでも、院内ネットワークを通じて被害が広がる可能性があります。

連載第8回では、システム運用編③として「ネットワーク・認証・ログ・外部攻撃」を取り上げます。

前回の連載第7回で解説した端末・サーバ・保守・バックアップ対策に続き、今回は医療情報システムへの侵入を防ぎ、異常を発見し、被害を拡大させないための実務を整理します。

この記事で分かること

この記事では、次の内容を解説します。

医療機関に求められるネットワーク管理
VPNや無線LANを利用する際の注意点
二要素認証を導入すべき対象と時期
利用者IDとアクセス権限の管理方法
アクセスログに記録すべき項目
ログの確認と改ざん防止
サイバー攻撃を受けた際の遮断・隔離・復旧
令和8年度サイバーセキュリティ対策チェックリストとの関係

前回までの連載記事

公式資料｜必要に応じて確認してください

本記事は、厚生労働省等が公表した次の資料をもとに作成しています。

ガイドライン各編、チェックリストのExcel版、BCPのひな形、運用管理規程文例などは、厚生労働省の関連資料一覧ページから確認できます。

先に結論｜侵入防止だけでなく、検知と初動対応まで設計する

医療情報システムの安全管理では、外部からの侵入を完全に防ぐことだけを目標にしてはいけません。

重要なのは、次の四つを一つの仕組みとして運用することです。

ファイアウォールやVPNを導入していても、認証情報が盗まれたり、VPN機器の脆弱性が悪用されたりすれば侵入される可能性があります。

また、ログを保存していても、誰も確認していなければ異常の発見にはつながりません。

「導入しているか」ではなく、「適切に設定され、継続的に確認され、異常時に対応できるか」という運用まで含めて考える必要があります。

1．ネットワークは「つながっている範囲」を把握することから始まる

医療情報システムの安全管理において、ネットワークはすべてのシステムをつなぐ基盤です。

電子カルテ端末だけでなく、医療機器、無線LAN、クラウドサービス、外部保存、リモートメンテナンス、オンライン資格確認などもネットワークを利用しています。

そのため、まず次の内容を整理する必要があります。

どの機器がネットワークに接続されているか
どのシステム同士が通信しているか
インターネットとの接続点はどこか
外部事業者が接続する経路はどこか
院内ネットワークがどのように分割されているか
通信を許可している送信元・送信先はどこか

これらを把握するためには、ネットワーク構成図を作成し、変更のたびに更新することが重要です。

「閉域網だから安全」とは限らない

ガイドライン第7.0版では、ネットワークの安全性について、単にインターネットか閉域網かだけで判断するのではなく、次の二つの視点で整理しています。

接続先が限定されているか
接続先までの経路が管理されているか

接続先や通信経路が管理されているネットワークは「セキュアなネットワーク」として整理され、医療情報システムでは原則として、このようなネットワークを利用することが求められます。

一方、接続先が限定されていない、または通信経路が管理されていないネットワークを利用する場合は、VPN、TLS、クライアント証明書、相互認証などを組み合わせて安全性を確保する必要があります。

ネットワークを適切に分割する

院内のすべてのシステムを同じネットワークに接続していると、一台の端末が侵害された際に、ほかのシステムへ攻撃が拡大しやすくなります。

そのため、リスクに応じてネットワークを分割することが重要です。

例えば、次のような区分が考えられます。

電子カルテ・医事会計系ネットワーク
医療機器・部門システム系ネットワーク
インターネット接続系ネットワーク
職員用無線LAN
患者・来訪者用無線LAN
リモート保守用接続
管理者用ネットワーク

ネットワークを分割するだけでなく、分割したネットワーク間の通信についても、必要な通信だけを許可することが必要です。

2．VPNを導入していても安全とは限らない

医療機関では、リモートメンテナンスや拠点間接続のためにVPNが広く利用されています。

しかし、VPNは「導入しているだけ」で安全になる仕組みではありません。

次のような状態では、VPNが攻撃の入口となる可能性があります。

VPN機器のセキュリティパッチが適用されていない
サポートが終了した機器を使用している
管理画面がインターネット上に公開されている
初期設定のIDやパスワードを使用している
簡単なパスワードや使い回したパスワードを使用している
二要素認証が設定されていない
接続元を制限していない
常時接続されたままになっている
接続履歴を確認していない

ガイドラインでは、ネットワーク機器の管理画面、ログインページ、管理ポートなどを、許可されていない外部機器からアクセスできないようにすることが求められています。

また、外部から医療情報システムへ接続する場合は、VPNなどによる通信経路の暗号化だけでなく、利用者認証、端末管理、接続時間、作業記録などを組み合わせて管理する必要があります。

VPNに関して医療機関が確認すべき項目

事業者に任せたままにせず、少なくとも次の内容を確認します。

確認項目	確認内容
対象機器	どの機器にVPN機能があるか
利用目的	保守、拠点間接続、職員の外部アクセスなど
接続事業者	どの事業者が利用できるか
認証方法	ID・パスワードのみか、二要素認証か
接続元制限	IPアドレスや端末等による制限があるか
接続時間	常時接続か、必要時のみ接続か
更新状況	ファームウェアが最新か
ログ	接続日時、利用者、接続元を確認できるか
契約	障害・攻撃発生時の対応責任が明確か

3．境界防御だけでなく、ネットワーク内の異常も監視する

従来は、ファイアウォールやVPNなどで院内と院外の境界を守る「境界防御」が中心でした。

しかし、クラウドサービス、リモート保守、テレワーク、モバイル端末などの利用が増えたことで、院内と院外の境界は複雑になっています。

また、一度侵入された後、攻撃者が院内ネットワーク内のほかの端末やサーバへ侵害を広げる「水平展開」にも備えなければなりません。

ガイドライン第7.0版では、境界防御を採用する場合でも、トラフィック監視を含む多層防御が必要であるとされています。

具体的な対策として、次のような仕組みが挙げられています。

ファイアウォール
IDSによる不正通信の検知
IPSによる不正通信の遮断
EDRなどによる端末の振る舞い監視
内部ネットワークの監視
脆弱性スキャン
セキュリティ診断
異常通信発生時のアラート

すべての通信を同じ強度で監視することが難しい場合は、電子カルテサーバ、VPN接続点、外部公開システムなど、リスクの高い場所を優先して監視する方法も考えられます。

重要なのは、セキュリティ機器を設置することではなく、アラートが発生した際に誰が確認し、どのように対応するかを決めておくことです。

4．無線LANは暗号化方式と利用者の分離が重要

医療機関では、ノートパソコン、タブレット、スマートフォン、医療機器などで無線LANが利用されています。

無線LANは利便性が高い一方、電波が施設の外部まで届く可能性があり、不正接続や盗聴に注意が必要です。

ガイドラインでは、無線LANについて次のような対策を求めています。

利用者を適切に制限する
電子証明書等による認証を行う
WPA2-EAPやWPA3などで通信を暗号化する
医療情報システム用と来訪者用のネットワークを分離する
不正なアクセスポイントを監視する
電波状況を確認し、医療提供に必要な可用性を確保する

複数の利用者が同じ暗号鍵を共有するWPA2-PSKなどの方式では、退職者や外部委託先に共有した鍵が残り続ける可能性があります。

そのため、医療情報を扱うネットワークでは、可能な限り利用者や端末ごとに認証できる方式を選択することが望まれます。

5．認証とは「誰が利用しているか」を確認する仕組み

認証は、医療情報システムを利用しようとしている人物が、正当な利用者であるかを確認する仕組みです。

ガイドラインでは、医療情報システムへアクセスするすべての職員・関係者に対し、利用者を識別・認証する手段を用意することを求めています。

認証に用いられる代表的な要素は、次の三種類です。

認証要素	例
記憶情報	パスワード、PIN
所持情報	ICカード、スマートフォン、セキュリティトークン
生体情報	指紋、顔、静脈

二要素認証とは、このうち異なる種類の要素を二つ組み合わせる認証方法です。

例えば、パスワードを二つ入力しても、どちらも記憶情報であるため二要素認証にはなりません。

「パスワード＋ICカード」や「パスワード＋生体認証」などが二要素認証に該当します。

6．二要素認証はどこに導入する必要があるのか

ガイドライン第7.0版では、令和9年4月1日時点で稼働していることが想定される医療情報システムを、その後に新規導入またはシステム更改する場合、原則として二要素認証を採用することが求められています。

対象は、クライアント端末とサーバの双方です。

クライアント端末

クライアント端末では、電子カルテなどのアプリケーションへログインする際に二要素認証を実装します。

サーバ

サーバでは、OSへログインする際に二要素認証を実装します。

技術的な理由などにより令和9年度までの対応が難しい場合は、令和9年度以降の直近のシステム更改や新規導入までが経過措置として示されています。

サーバOSへの直接的な二要素認証が難しい場合には、二要素認証を実装した踏み台端末からのみサーバへ接続させるなど、一定の条件を満たす代替措置も示されています。

ただし、代替措置を採用する場合も、管理者権限の制限、OSの更新、パスワードの分離などが前提となります。

令和8年度サイバーセキュリティ対策チェックリストでも、端末のアプリケーションログインとサーバのOSログインについて、二要素認証の実装または今後のシステム更改時の実装予定が確認項目となっています。

「OSで一要素、アプリケーションで一要素」では不十分

OSへのログインでパスワードを使用し、アプリケーションへのログインで別のパスワードを使用しても、二つとも記憶情報です。

また、認証が別々の場面で行われるため、アプリケーションへの二要素認証として扱うことはできません。

導入する際は、事業者に「二要素認証に対応していますか」と確認するだけでなく、どのログイン画面で、どの認証要素を組み合わせるのかまで確認する必要があります。

7．アクセス権限は職種・業務に応じて最小限にする

認証によって正当な利用者であることを確認しても、その利用者に過剰な権限が付与されていれば、情報漏えいや改ざんのリスクが残ります。

アクセス権限は、職種、所属部署、担当業務、取り扱う情報の種類などに応じて設定します。

例えば、次のように区分します。

閲覧のみ可能
新規入力が可能
記録の修正が可能
記録の確定が可能
マスタ情報を変更可能
利用者を登録・削除可能
システム全体の設定変更が可能

特に管理者権限は、必要最小限の利用者だけに付与する必要があります。

すべての職員が端末の管理者権限を持っていると、マルウェアがウイルス対策ソフトを停止したり、システム設定を変更したりする可能性があります。

人事異動・退職時の見直しを忘れない

アクセス権限は一度設定して終わりではありません。

次のタイミングで見直します。

採用
配属
異動
休職
退職
委託契約の開始・終了
担当業務の変更
管理者の交代

退職者や長期間使用していないアカウントを残していると、不正アクセスに利用される可能性があります。

利用者ID台帳を整備し、定期的にシステム上のアカウントと照合することが重要です。

8．電子カルテでは「入力者」と「確定者」を識別できるようにする

電子カルテの記録では、単にログインできるだけでなく、誰が入力し、誰が内容を確認して確定したのかを識別できなければなりません。

必要となる主な管理項目は次のとおりです。

入力者の識別情報
確定者の識別情報
作成日時
確定日時
更新履歴
更新前と更新後の内容
代行入力を行った者
誰の代行として入力したか
代行入力後の承認記録

共有IDを使用していると、誰が入力・変更したのかを確認できなくなります。

真正性を確保するためにも、原則として利用者ごとに個別のIDを付与し、他人のIDを使用させない運用が必要です。

9．アクセスログは保存するだけでは不十分

アクセスログは、医療情報システムで誰が、いつ、どの情報に対して、どのような操作を行ったかを確認するための記録です。

ガイドラインでは、少なくとも次の内容を特定できるように記録することを求めています。

利用者
ログイン時刻
アクセス時間
操作した医療情報
操作内容

アクセスログは、不正アクセスや内部不正が疑われる場合の調査だけでなく、日常の運用が適切に行われているかを確認するためにも使用します。

令和8年度サイバーセキュリティ対策チェックリストでも、サーバのアクセスログ管理が確認項目となっています。チェックリストマニュアルでは、立入検査時にアクセスログを直接確認する可能性があることも示されています。

ログで確認する異常の例

次のような操作は、確認対象となります。

深夜や休日のログイン
通常と異なる端末からのアクセス
短時間に大量の患者情報を閲覧
担当外の患者情報へのアクセス
ログイン失敗の繰り返し
管理者権限の利用
アカウントの新規作成
アクセス権限の変更
データの大量出力
外部記録媒体への書き出し
ログの削除や設定変更

10．すべてのログを人が目視する必要はない

医療情報システムでは大量のログが記録されるため、すべてを人が一行ずつ確認することは現実的ではありません。

ガイドラインが求めているのは、全ログの単純な目視確認ではなく、監視システムや適切な閾値を用いてスクリーニングし、異常が疑われるログを確認する運用です。

例えば、次のような条件を設定します。

午後10時から午前6時までのアクセス
一定回数以上のログイン失敗
一定件数以上の患者情報閲覧
管理者アカウントによるログイン
通常使用しない端末からの接続
大量データのダウンロード
権限変更やアカウント作成

医療機関の規模やシステム構成に応じて、日次、週次、月次などの確認頻度を決めます。

ログ自体も保護する

攻撃者や内部不正者がログを削除・改ざんできる状態では、証跡として利用できません。

そのため、次の対策が必要です。

ログを閲覧できる者を制限する
ログの削除権限を限定する
管理対象システムとは別の場所へ転送する
保存期間を定める
バックアップを取得する
改ざんを検知できる仕組みを導入する
システム間で時刻を同期する

複数システムの時刻がずれていると、インシデント発生時の時系列を正しく再現できません。

標準時刻と同期し、医療機関内の各システムで時刻の整合性を確保する必要があります。

ログ機能がない場合

古い医療機器や部門システムでは、十分なアクセスログを記録できない場合があります。

その場合は、業務日誌などを用いて、操作者、操作日時、操作内容を記録する代替策が必要です。

また、次回のシステム更改時には、必要なログ機能を備えた製品を要求仕様に含めることが望まれます。

11．ログの保管・提供責任を事業者と決めておく

ラウドサービスや保守委託されたシステムでは、ログを事業者側が保管している場合があります。

しかし、インシデント発生後に初めてログの提供を依頼しても、次のような問題が起こる可能性があります。

ログが保存されていない
保存期間を過ぎている
医療機関へ提供できない
提供に追加費用が必要
調査に必要な項目が記録されていない
提供までに時間がかかる
再委託先がログを保有している

契約やSLAでは、少なくとも次の内容を決めておきます。

記録するログの種類
保存期間
保存場所
改ざん防止方法
定期的な報告方法
医療機関が閲覧できる範囲
インシデント発生時の提供期限
ログの解析担当
契約終了時の取扱い
再委託先が保有するログの取扱い

ガイドラインでも、システム管理を委託している場合は、事業者との間でログの管理方法や提供について明確に取り決めることが求められています。

12．外部攻撃を受けた場合は「遮断・隔離・確認・復元」を行う

サイバー攻撃を受けた場合、通常業務を継続しようとして感染端末や侵害されたサーバを使い続けると、被害が拡大する可能性があります。

ガイドラインでは、外部攻撃を受けた際の技術的な対応として、次の内容を示しています。

攻撃を受けたサーバ等を遮断する
外部ネットワークを一時的に切断する
マルウェアが混入した機器を隔離する
被害確認のために業務システムを停止する
バックアップから重要なファイルを復元する

特にランサムウェア攻撃では、院内ネットワークに接続された端末やサーバへ短時間で被害が広がる可能性があります。

「誰がネットワークを切断するのか」「どの機器を隔離するのか」「誰がシステム停止を判断するのか」を事前に決めておくことが重要です。

システムを止める判断基準を決める

現場では、診療への影響を懸念してシステム停止の判断が遅れることがあります。

しかし、侵害されたシステムを使い続けることで、患者情報の漏えいやバックアップの暗号化など、より重大な被害につながる可能性があります。

事前に、次のような停止・切断基準を決めておきます。

ランサムウェアの画面が表示された
複数端末で同時に異常が発生した
不審な外部通信が確認された
管理者アカウントが不正利用された
大量のファイル暗号化が確認された
医療情報の外部送信が疑われる
ウイルス対策ソフトやEDRが重大な警告を出した
事業者から緊急停止を求められた

13．サイバー攻撃時には紙運用などの代替手段も必要

ネットワークや電子カルテを停止すると、診療業務にも影響が生じます。

そのため、技術的な初動対応だけでなく、システムを使用できない場合の代替手段を準備しておく必要があります。

例えば、次のような準備が考えられます。

紙カルテ
紙の処方箋
患者受付票
検査依頼票
薬剤情報
患者基本情報の必要最小限の出力
緊急連絡先一覧
ベンダー連絡先一覧
システム停止時の院内周知手順
復旧優先順位
復旧後のデータ入力・照合手順

ガイドラインでは、サイバー攻撃に備えて関係先への連絡手段や紙運用などの代替手段を準備しておくことも求めています。

これらは文書を作成するだけでなく、机上訓練や実動訓練を通じて、実際に使用できるか確認する必要があります。

14．令和8年度チェックリストとの関係

今回取り上げた内容は、令和8年度版「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の次の項目と直接関係します。

チェック項目	主な確認内容
2－⑪	端末のアプリケーションログイン時の二要素認証
2－⑫	サーバのOSログイン時の二要素認証
2－⑬	サーバのアクセスログ管理
2－⑭	ネットワーク機器の接続元制限

チェックリストでは、二要素認証について、実装済みであるか、令和9年度以降の初回システム更改時に実装予定であるかを確認します。

また、アクセスログについては、単に機能があるかではなく、実際に記録され、管理されているかが重要です。

15．医療機関が実施する実務チェック

今回の内容を実務へ落とし込む際は、次の順番で確認すると整理しやすくなります。

ステップ1｜ネットワークと外部接続を把握する

最新のネットワーク構成図がある
インターネット接続点を把握している
VPN機器を把握している
リモート保守経路を把握している
無線LANの用途と利用者を把握している
不要な外部公開ポートがない

ステップ2｜利用者と権限を整理する

利用者ごとに個別IDがある
共有IDを原則使用していない
管理者権限の対象者が明確である
退職者のIDを削除している
人事異動時に権限を変更している
二要素認証の導入計画がある

ステップ3｜ログの運用を確認する

ログイン時刻を記録できる
操作した医療情報を特定できる
権限変更等の管理操作を記録できる
ログへのアクセスを制限している
時刻を同期している
定期的にログを確認している
事業者からログを取得できる

ステップ4｜攻撃時の初動を決める

ネットワーク切断の判断者が決まっている
感染端末の隔離手順がある
システム停止の基準がある
事業者への連絡先がある
経営層への報告ルートがある
紙運用などの代替手段がある
バックアップからの復元手順を確認している

よくある質問

Q1．医療機関はVPNを導入していれば安全ですか？

いいえ。VPNは通信経路を保護する手段の一つです。

VPN機器の脆弱性対策、二要素認証、接続元制限、管理画面の非公開化、ログ確認、利用時間の制御などを組み合わせる必要があります。

Q2．二要素認証は、すぐにすべてのシステムへ導入しなければなりませんか？

ガイドライン第7.0版では、令和9年4月1日時点で稼働していることが想定される医療情報システムを、その後に新規導入・更新する際、原則として二要素認証を採用することとしています。

技術的な理由で対応が難しい場合は、令和9年度以降の直近のシステム更改や新規導入までが経過措置となります。

現在のシステムで対応できない場合も、未対応のまま放置するのではなく、事業者への確認と導入計画の作成が必要です。

Q3．アクセスログは毎日すべて確認する必要がありますか？

すべてのログを一行ずつ目視する必要はありません。

夜間アクセス、大量閲覧、ログイン失敗、管理者権限の利用など、異常が疑われる条件を設定し、抽出されたログを定期的に確認する方法が現実的です。

Q4．クラウドサービスのログも医療機関が管理する必要がありますか？

クラウド事業者がログを保管している場合でも、医療機関は管理方法を把握する必要があります。

保存期間、記録項目、提供方法、インシデント発生時の提供期限などを契約やSLAで明確にしておきます。

Q5．攻撃を受けた端末の電源はすぐに切るべきですか？

状況によっては、電源を切ることで調査に必要な情報が失われる可能性があります。

まずネットワークから隔離し、システム担当者、保守事業者、フォレンジック調査事業者などの指示を受けることが基本です。

ただし、院内で定めた手順や緊急性に応じた判断が必要です。

まとめ｜ネットワーク・認証・ログ・初動対応は一体で整備する

医療情報システムを守るためには、ネットワーク、認証、アクセス権限、ログ、サイバー攻撃時の対応を個別に考えるのではなく、一体的に設計する必要があります。

今回のポイントは次のとおりです。

ネットワーク構成と外部接続点を把握する
VPNや閉域網を過信しない
院内ネットワークを適切に分割する
不正通信を検知・遮断する仕組みを整える
クライアントとサーバの二要素認証を計画する
利用者IDとアクセス権限を定期的に見直す
アクセスログを記録し、異常を定期的に確認する
ログの改ざん防止と時刻同期を行う
攻撃時の遮断・隔離・停止・復元手順を決める
紙運用などの診療継続手段を準備する

セキュリティ製品を導入していても、運用担当者がアラートを確認していない、事業者の接続経路を把握していない、ログを取得できないといった状態では、十分な対策とはいえません。

医療機関、システム事業者、ネットワーク事業者の役割を整理し、異常の検知から初動対応まで実行できる体制を整えることが重要です。

医療情報システムの安全管理でお困りではありませんか

株式会社クロイツでは、医療機関を対象として、医療情報システムの安全管理に関する支援を行っています。

ネットワーク・外部接続状況の整理
医療情報システムや機器の台帳整備
VPN・リモート保守経路の確認
利用者ID・アクセス権限管理の見直し
アクセスログの確認方法・運用設計
委託先事業者との責任分界の整理
サイバー攻撃時の初動対応手順の作成
サイバーBCPの策定・見直し
インシデント対応の机上訓練
ガイドラインや立入検査への対応支援

「何から確認すればよいか分からない」「ベンダーに任せているため院内で状況を把握できていない」といった段階からでも、現状を整理し、医療機関の規模やシステム構成に応じた対策をご提案します。

お問い合わせ