2026年9月7日、厚生労働省が病院のサイバーセキュリティ対策を総合的に強化する方針であることが報じられました。
報道によると、外部ネットワークとの接続箇所を集約する病院への助成、サイバー攻撃発生時の専門家による初動対応、専門人材と医療機関とのマッチング、職員研修への支援、特定機能病院への専門的なセキュリティ点検などが検討されています。
さらに、2027年度予算の概算要求では関連予算として137億円が計上されたと報じられています。
今回の動きを単なる「補助金のニュース」と捉えるべきではありません。
厚生労働省の医療サイバーセキュリティ政策は、
「外部接続点を把握する」
段階から、
「外部接続点を整理・適正化する」
そして今後は、
「専門家を活用しながら継続的に管理する」
段階へ進もうとしていると考えられます。
本記事では、今回報じられた対策の内容と、病院・医療機関が今から確認しておくべきポイントを解説します。
厚生労働省が進める新たなサイバーセキュリティ対策
今回報じられた主な施策を整理すると、次のようになります。
| 施策 | 想定される内容 |
|---|---|
| 外部接続点の集約化 | ベンダーや保守事業者などとの外部接続を整理し、監視・遮断しやすい構成へ変更 |
| 専門家による初動対応 | サイバー攻撃発生時に専門家を迅速に派遣 |
| セキュリティ専門人材の活用 | IPAに登録されている人材等と医療機関をマッチング |
| 職員研修への支援 | 医療機関が実施するサイバーセキュリティ研修費用を支援 |
| 特定機能病院への点検 | 専門事業者によるサイバーセキュリティ点検を実施 |
報道では、外部接続点を集約するための費用について、病床規模ごとに上限額を設定したうえで全額補助する方向とされています。
ただし、2026年9月7日時点では概算要求段階であり、具体的な補助額、対象医療機関、対象設備、申請方法などについては、今後の正式な制度発表を確認する必要があります。
なぜ「外部接続点」がこれほど重要なのか
今回、特に注目したいのが「外部接続点の集約」です。
医療機関には電子カルテだけでなく、医事会計、画像管理、検査、薬剤、医療機器、予約システムなど数多くのシステムがあります。
さらに、それぞれ異なるベンダーによって保守されていることも珍しくありません。
その結果、院内ネットワークには、
保守用VPN、リモートメンテナンス回線、ルーター、ファイアウォール、外部サービスとの連携回線など、多数の「外部との入口」が存在することがあります。
問題は「接続していること」そのものではありません。
本当の問題は、
「病院側がすべての接続点を把握し、誰が、何のために、どのような方法で接続しているのか説明できるか」
という点です。
厚生労働省はすでに、電子カルテ導入病院を中心に外部ネットワーク接続点の安全性の検証・調査を進めており、多くの医療機関で外部接続点が多数存在し、管理が難しくなっている実態を把握しています。現在の「医療機関におけるサイバーセキュリティ確保事業」も、この問題への対応として進められています。
つまり今回の政策は、突然出てきたものではありません。
これまで進めてきた
「見える化」
から、
「適正化」
へ政策を一段階進める動きと見ることができます。
外部接続点を「集約すれば安全」ではない
ここには注意も必要です。
単純に複数の外部接続を一つにまとめれば安全になるわけではありません。
むしろ集約した箇所が適切に管理されていなければ、一つの侵入口から広い範囲へアクセスできる危険な構成になる可能性があります。
重要なのは、接続点の集約と同時に、
認証、アクセス制御、ネットワーク分離、ログ取得、監視、脆弱性管理、緊急遮断、冗長化などを設計することです。
特に医療では「止めれば安全」という考え方だけでは不十分です。
サイバー攻撃を受けたときに接続を遮断した結果、電子カルテや部門システム、医療機器まで利用できなくなれば、診療そのものに影響します。
したがって、
「どこを遮断すれば攻撃を止められるのか」
と同時に、
「どこまで止めても診療を継続できるのか」
まで事前に決めておかなければなりません。
これはネットワーク対策であると同時に、サイバーBCPの問題でもあります。
「専門人材を医療機関が活用する」流れにも注目
もう一つ非常に重要なのが、セキュリティ専門人材の活用です。
報道では、医療機関が自前で専門人材を確保することが難しいことから、IPAに登録されている人材リストを活用し、医療機関とのマッチングを進めるとされています。
IPAでは現在、国家資格「情報処理安全確保支援士」の資格者のうち、企業へのサイバーセキュリティ支援が可能な専門家を掲載した「中小企業向けサイバーセキュリティ対策支援者リスト」を公開しています。
このリストでは、支援地域や得意業界のほか、インシデント対応、従業員教育、規程整備、リスク分析などの支援可能分野も確認できます。
ただし、今回報道された医療機関とのマッチングに、この既存リストがそのまま使用されるのか、新たな医療向け制度が構築されるのかについては、現時点では正式な発表を待つ必要があります。
それでも、国が医療機関のサイバーセキュリティについて、
「院内担当者だけですべて対応する」
のではなく、
「必要に応じて外部の専門家を活用する」
方向へ進んでいることは重要です。
医療情報システム安全管理ガイドライン第7.0版ともつながる
今回の政策は、2026年6月に公開された「医療情報システムの安全管理に関するガイドライン第7.0版」と切り離して考えるべきではありません。
厚生労働省は医療機関に対し、第7.0版を踏まえた医療情報システムの安全管理を求めています。
また、サイバーセキュリティ対策チェックリストやサイバー攻撃を想定したBCP策定の確認表も公開しています。
医療機関に求められているのは、セキュリティ製品を導入することだけではありません。
経営管理、責任分界、委託先管理、情報資産管理、教育、インシデント対応、BCPなどを含めた組織的な対策です。
今回報じられた、
「外部接続点の集約」
「専門人材の活用」
「職員研修」
「インシデント初動支援」
という施策は、まさにこうしたガイドライン上の要求を実際の医療現場で実行するための仕組みと考えることができます。
医療機関が今から確認しておきたい7つのこと
制度の詳細が発表されてから準備を始めるのではなく、まず現在の環境を整理しておくことが重要です。
- 院内ネットワークと外部を接続している箇所をすべて把握する
電子カルテだけでなく、部門システム、医療機器、保守回線、VPN、インターネット接続なども確認します。 - 各接続点の目的と管理者を確認する
「誰が使っているのか」「何のための接続なのか」「誰が設定を変更できるのか」を明確にします。 - 利用していない接続や古い保守回線が残っていないか確認する
システム更新後にも旧VPN装置や不要な回線が残っているケースには注意が必要です。 - ベンダーとの責任分界を確認する
VPN装置のアップデート、脆弱性対応、ログ確認、インシデント発生時の連絡などについて、病院とベンダーのどちらが責任を持つのかを確認します。 - 攻撃発生時に遮断すべき箇所を決める
異常を検知してから検討するのではなく、事前に遮断手順と権限を決めておきます。 - システム停止時の診療継続方法を確認する
電子カルテやネットワークを停止した場合に、どの診療を継続し、どの業務を縮退するのかをサイバーBCPとして整理します。 - 外部専門家への相談ルートを確保する
攻撃を受けてから専門家を探すのではなく、平時から相談先や初動対応先を確認しておくことが重要です。
これらを整理しておけば、今後補助制度が正式に開始された場合にも、「何を改善するために補助を利用するのか」を判断しやすくなります。
特定機能病院はさらに高度な対策が求められる可能性
報道では、改正経済安全保障推進法による基幹インフラへの医療分野追加を踏まえ、特定機能病院を対象に専門事業者によるサイバーセキュリティ点検を実施し、2027年度には約20病院での実施を想定しているとされています。
厚生労働省もすでに、医療分野を経済安全保障推進法上の基幹インフラ制度へ追加する方向で検討・制度整備を進めています。
これは医療機関のサイバーセキュリティが、
「各病院のIT管理の問題」
だけではなく、
「社会機能を維持するための重要インフラ対策」
として位置付けられつつあることを意味します。
今後、この考え方が特定機能病院以外の地域中核病院などへどこまで広がっていくのかについても注視する必要があります。
今回のニュースで最も重要なこと
今回のニュースで最も重要なのは、137億円という予算規模そのものではないと考えます。
重要なのは、医療機関のサイバーセキュリティ政策が、
「対策してください」
という段階から、
「外部接続点を把握し、構成を改善し、専門人材を活用し、研修を行い、インシデントにも備える」
という実装段階へ進みつつあることです。
医療情報システムが複雑化する中、院内の情報システム担当者だけですべての機器、ネットワーク、脆弱性、委託先、規程、BCP、教育まで管理することは容易ではありません。
だからこそ重要になるのが、
「自院ですべてを実施すること」
ではなく、
「自院が管理すべき範囲を把握し、必要な部分について適切な専門家や事業者を活用できる体制を作ること」
です。
よくある質問
Q. 外部接続点とは何ですか？
院内ネットワークと外部ネットワークを接続する箇所です。インターネット回線だけではなく、電子カルテや医療機器などの保守に使用されるVPNやリモートメンテナンス回線なども含めて確認する必要があります。
Q. 外部接続点を集約すればサイバー攻撃を防げますか？
集約だけで攻撃を防ぐことはできません。ただし、接続点を整理することで監視、アクセス制御、ログ管理、異常発生時の遮断などを実施しやすくなります。集約後のセキュリティ設計と運用が重要です。
Q. 小規模な病院でも対応が必要ですか？
今回報道された補助制度の具体的な対象範囲はまだ確定していません。一方、外部接続点の把握、委託先との責任分界、サイバーBCPなどは、病院の規模にかかわらず確認しておくべき基本的な対策です。
Q. すぐにネットワーク構成を変更した方がよいですか？
まずは変更より「現状把握」が先です。現在どのシステムがどこにつながり、どの事業者がどの方法でアクセスしているのかを整理したうえで、リスクを評価し、必要な改善策を検討することが重要です。
まとめ
医療機関へのサイバー攻撃が診療停止や情報漏えいにつながる中、厚生労働省の対策はさらに具体的な段階へ進もうとしています。
今回報じられた外部接続点の集約、専門人材の活用、初動対応支援、職員研修、専門的なセキュリティ点検は、いずれも今後の医療機関のセキュリティ対策を考えるうえで重要な動きです。
ただし、補助金やマッチング制度の詳細が決まるのを待ってから院内環境を調査する必要はありません。
まず、
「院内にどのような情報資産があるのか」
「外部との接続点はいくつあるのか」
「どの事業者がどこまで管理しているのか」
「攻撃を受けた場合にどこを止め、どう診療を継続するのか」
を把握することから始めることが重要です。
株式会社クロイツでは、医療機関におけるネットワーク・外部接続点の現状確認、情報資産の整理、医療情報システムの安全管理に関するガイドラインへの対応、サイバーBCPの策定・改善、職員研修、サイバーセキュリティ対策に関する継続的な支援を行っています。
「自院の外部接続点が正確に把握できていない」「ベンダーとの責任分界が分からない」「何から対策すればよいか判断できない」といった場合も、現在の状況を整理するところからご相談いただけます。
参考情報
読売新聞オンライン「病院で相次ぐサイバー攻撃、厚労省が対策強化へ…外部との回線集約化に助成・攻撃時の遮断が容易に」2026年9月7日
厚生労働省「令和9年度厚生労働省所管予算概算要求関係」
厚生労働省「医療分野のサイバーセキュリティ対策について」
厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」
IPA「中小企業向けサイバーセキュリティ対策支援者リストの紹介」