特集

サイバー対策は、
院長の義務になった。

何が決まっていて、何をすればいいか。厚労省のチェックリスト 19 項目を軸に、医師が一次情報で整理しました。

日本の田舎にある未来クリニックの世界観で、クリニックを穏やかに守る様子を描いたフラットイラスト。木の柵と鍵のかかった門がクリニックを囲み、屋根の見張り台でスタッフがランタンを掲げ、配送ロボットが施錠された鞄で書類を運んでいる。
施行。無床の診療所を含む全医療機関の管理者に、サイバー攻撃に備える必要な措置が求められている
2023.4
出典: 厚労省 改正省令資料
徳島・半田病院がランサムウェア被害から通常診療を再開するまで (2021年)
約2か月
出典: 有識者会議調査報告書
ランサムウェアの侵入経路に占めるVPN機器の割合 (2025年、全業種の被害組織への調査)
6割超
出典: 警察庁 令和7年の情勢
ランサムウェア被害の復旧に、総額1,000万円以上を要した組織 (2025年)
5割超
出典: 警察庁 令和7年の情勢

01

ひと目で現在地

決まっていること

  • 2023年4月〜全医療機関の管理者に義務無床の診療所も対象 (医療法施行規則14条2項)
  • 立入検査で19 項目のチェックリストを確認令和8年度版。年度中に全項目「はい」が目標
  • 2026年6月〜安全管理ガイドライン第7.0版保守業者との役割分担・二要素認証の考え方を整理

これから

  • 2026年度冬電子カルテ情報共有サービス 全国的な運用開始 (目標)
  • 2027年度二要素認証の要求が始まる (令和9年度)
  • 2028年改正個人情報保護法 施行見込み — 課徴金制度の創設

院長がやること

02

医師が検証した、新しい記事

はじめての方はこの 1 本保守用VPNの棚卸し——侵入口の半分はVPN、台帳は30日でいちばん新しい 1 本NEW2026年10月のサイバー事件——預け先3件と、自院の1枚この記事で取り上げた10月の事件の多くは、院の外の預け先で起きました。アットリンク、IDCFクラウド、Studioを院の受付・倉庫・投書箱に置き換え、止まった日の手間を自院の数字で計算します。読む
ほかの 9 本も見る

記事をすべて見る →

03

やることは、厚労省の 19 項目に揃っている

立入検査で確認されるチェックリストです。

札の意味:書類を用意業者に確認期限あり原文 (厚労省 令和8年度版・19項目) ↗
  1. 1

    体制構築

    誰が責任者か · 1 項目

    まずこれ医療情報システムの安全管理責任者を 1 人決める。

    • 安全管理責任者を置く1-①
    安全管理ガイドライン第7.0版——契約書は1行、パスワードは13桁
  2. 2

    医療情報システムの管理・運用

    機器・アカウント・ログインの守り · 14 項目

    まずこれまず機器の台帳を作り、保守業者に「リモート保守している機器」と開示書 (MDS/SDS) を出してもらう。

    • サーバ・端末・ネットワーク機器の台帳書類を用意2-①
    • リモート保守している機器を業者に確認業者に確認2-②
    • 業者からセキュリティ開示書 (MDS/SDS) をもらう業者に確認2-③
    • 職種・業務ごとにアクセス権限を分ける管理者権限を持つ人を明確に2-④
    • 退職者・使っていないアカウントを消す2-⑤
    • セキュリティ更新を当てる2-⑥
    • パスワードは英数字混在で 8 桁以上二要素認証を入れるまでは 13 桁以上2-⑦
    • パスワードの使い回しを禁止2-⑧
    • USB など外部の記録媒体の接続を制限2-⑨
    • 不要なソフト・サービスを止める2-⑩
    • 端末: アプリのログインに二要素認証または令和9年度以降の初回のシステム更改で実装予定期限あり2-⑪
    • サーバ: OS のログインに二要素認証または令和9年度以降の初回のシステム更改で実装予定期限あり2-⑫
    • アクセスログを管理2-⑬
    • ネットワーク機器の接続元を制限2-⑭
    保守用VPNの棚卸し——侵入口の半分はVPN、台帳は30日で保守会社に送る10の質問——「保守されているはず」を1通で確かめる電子カルテの共有ID——やめる順番は5つ、照合は月1回二要素認証の期限——一斉義務ではない、決めるのは次の更改Windows 10の延長更新——最長3年、料金は毎年2倍パッチの更新間隔——機器を3組に分け、保守会社に聞く3つ電子カルテの1/2補助——まだ概算要求、待つかは保守満了日次第
  3. 3

    インシデント発生に備えた対応

    止まったときに診療を続ける · 3 項目

    まずこれ連絡体制図を 1 枚作り、電子カルテが止まった日の紙運用とバックアップからの戻し方を確かめる。

    • 院内と外部 (業者・厚労省・警察など) への連絡体制図書類を用意3-①
    • 診療を続けるためのバックアップと復旧手順の確認3-②
    • サイバー攻撃を想定した事業継続計画 (BCP)書類を用意3-③
    電子カルテのバックアップ——被害組織の72.5%が戻せず、置き場3つサイバー攻撃の連絡体制図——誰がどこに電話するかをA4 1枚に
  4. 4

    規程類の整備

    1〜3 を文書にする · 1 項目

    まずこれ1〜3 でやっていることを、運用管理規程として文書にまとめる。

    • 1〜3 のやり方を運用管理規程に定める書類を用意4-①
    診療所のサイバー対策チェックリスト——19項目の記入例と現物4つ

04

対策を助けてくれる製品を、比べる

セキュリティ対策の 19 製品を、料金・導入の広がり・エビデンスで並べて比べる

比較表を開く

並び順は評価順ではなく、掲載料でも変わりません。1 つの製品が複数の種類に入ることがあります。ロゴは各社の商標で、製品の識別にだけ使っています。

05

事件が、規制を生んできた

上が実際の被害、下がそれを受けた規制。

← 横に動かすと 2028 年まで見られます →

202120222023202420252026いまここ20272028事件
半田病院ランサム被害
大阪急性期取引先経由で被害
宇都宮のクリニック最大約30万人分
武蔵小杉病院保守VPN経由
↓ 教訓規制
全医療機関に義務化
対策が初めて点数に
ガイドライン第7.0版チェックリスト19項目に
二要素認証の要求(予定)
改正個情法課徴金(予定)
年表を詳しく見る (出典つき・全 21 件)
  • 法令
  • ガイドライン
  • 診療報酬
  • 事件
  • 行政
  • 医療DX
過去の節目 2021〜2025年度 (12件) を開く

  1. 年度

    令和3年度

    事件2021-10

    徳島・半田病院がランサムウェア被害

    導入時から更新されていなかったVPN装置の脆弱性を突かれた可能性が高い (有識者会議の報告書)。電子カルテなどが使えなくなり、通常診療の再開 (2022-01-04) まで2か月強かかった。

    出典: 有識者会議調査報告書 ↗

  2. 年度

    令和4年度

    事件2022-10

    大阪急性期・総合医療センターが被害

    患者給食の委託事業者の給食センターに置かれた保守用VPN機器 (ファイアウォール) から侵入し、常時接続のリモートデスクトップ回線で病院へ (サプライチェーン攻撃)。部門システムを含む全体の復旧は73日目、調査・復旧費用は数億円の見込み。

    出典: 調査報告書 ↗

  3. 年度

    令和5年度

    法令2023-04

    医療法施行規則14条2項 施行 — サイバーセキュリティ確保が義務に

    病床の有無を問わず全ての病院・診療所・助産所の管理者に「サイバーセキュリティの確保のために必要な措置」を義務化。無床クリニックも対象。

    出典: 厚労省 改正省令資料 ↗

    ガイドライン2023-05

    医療情報システム安全管理ガイドライン 第6.0版

    経営管理編・企画管理編・システム運用編の読者別3編+概説編に再構成。「必要な措置」の実質的な中身を定める。

    出典: 厚労省 第6.0版 概説編 ↗

    行政2023年度〜

    立入検査でのチェックリスト確認が開始

    医療法25条の立入検査で、「サイバーセキュリティ対策チェックリスト」に必要な事項が記入されているかの確認が始まった。チェックリストは以後毎年度改定。

    出典: 厚労省 立入検査要綱の改正 (医政発0619第6号) ↗

  4. 年度

    令和6年度

    法令2024-04

    医療機器の基本要件基準12条3項 完全適用

    他の機器やネットワークにつないで使う「プログラムを用いた医療機器」(ソフト単体の医療機器も、ソフトを内蔵する機器も含む) に、製品のライフサイクルを通じたサイバーセキュリティの確保を求める。2023-04に適用が始まり、1年の経過措置が終わった。適合は JIS T 81001-5-1 (または IEC 81001-5-1 など同等の規格) で確認する。

    出典: 厚労省 通知 ↗

    診療報酬2024-06

    令和6年度改定 — サイバー対策が初めて「点数」になった

    入院の診療録管理体制加算を3区分に再編し、最上位の加算1 (入院初日140点) に、一部をオフラインで保管する複数方式のバックアップと、サイバー攻撃を想定したBCPの策定・年1回程度の訓練を要件化した (専任の安全管理責任者の配置も200床以上に拡大)。この加算1は令和8年度改定で削除され、要件は入院の電子的診療情報連携体制整備加算1に移った。

    出典: 厚労省 令和6年度改定の概要 ↗

    事件2025-02

    宇都宮セントラルクリニックが被害 — 最大約30万人分

    サーバーがランサムウェア攻撃を受け、健診の受診者を含む利用者と職員の個人情報 (最大約30万名分) が外部へ漏えいした可能性 (同院の公表)。クリニックでも被害規模は病院を超え得ることを示した事例。

    出典: 同院のお知らせ (2025-02-18) ↗

    ガイドライン2025-03

    事業者向け安全管理ガイドライン 第2.0版 (経産省・総務省)

    「3省2ガイドライン」のベンダー側。電子カルテ・クラウド・保守事業者の義務を定め、医療機関側ガイドラインと責任分界で接続する。

    出典: 経産省 ↗

  5. 年度

    令和7年度

    法令2025-05

    サイバー対処能力強化法 (能動的サイバー防御) 成立

    5/16成立・5/23公布。官民連携の強化・通信情報の利用・アクセス無害化措置 (同時に成立した整備法の側) の3本柱。医療機関に直接の報告義務はまだ無いが、国全体の防御水準を引き上げる基盤法。

    出典: 内閣官房 サイバー安全保障に関する取組 ↗

    事件2026-02

    日本医大武蔵小杉病院が被害 — 入口は医療機器保守用のVPN装置

    医療機器保守用VPN装置の脆弱性から侵入され、ナースコールサーバーのデータベースが盗まれた。約13万人の患者の氏名・住所・生年月日などが漏えいし、攻撃者のリークサイトでの公開も確認された (カルテ情報の漏えいは未確認、病院発表 第5報)。

    出典: 病院発表 (第5報) ↗

    行政2026-03

    厚労省がVPN機器の対策徹底を注意喚起

    VPN装置などの脆弱性を突いた不正アクセスが「ランサムウェア感染の主要な原因」として、保守の責任分界・サポート終了機器・不要なポートや常時接続・多要素認証の点検を求めた (3/19 事務連絡)。半田・大阪・岡山の各事案でも、調査報告書や県の公表はVPN装置を侵入口と推定している。

    出典: 厚労省 事務連絡 (2026-03-19) ↗

  1. 年度

    令和8年度いまここ

    事件2026-04

    市立奈良病院 — 攻撃ではなく「監視装置が診療を止めた」障害

    当初は攻撃の可能性を否定できず電子カルテを停止。奈良市の専門家会議 (2026-08-31 報告書) は、外部からの攻撃ではなく、監視装置の過検知に自動遮断が連動したシステム障害との見解を示した。監視装置の自動更新・再起動を契機に、監視対象が633台→1,954台に増えた可能性があるとしている。救急受入れの一時停止は約53時間。

    出典: 奈良市 報告書 (概要版) ↗

    行政2026-05

    Project YATA-Shield 始動 — 高性能AIの悪用に備える国の施策パッケージ

    高性能AIの悪用リスクを名指しし、重要インフラ事業者等に対策強化を求めた (医療は重要インフラ分野の一つ)。厚労省もAI関連の対策強化を2度周知 (5/18は医療分野の重要インフラ事業者向け、5/27は医療機関等向け)。

    出典: 国家サイバー統括室 ↗

    診療報酬2026-06

    令和8年度改定 — サイバー対策が「医療DX連携の前提」に再編

    医療DX推進体制整備加算・医療情報取得加算を廃止し、電子的診療情報連携体制整備加算 (初診最大15点・再診2点・入院初日最大160点) に統合 (6/1適用)。外来の最上位区分 (初診15点) は、安全管理ガイドラインに準拠した体制の電子カルテ (または国の認証製品) を持つことが要件の一つで、無床クリニックにも直接届く。オフラインを含むバックアップやBCP訓練は、入院の加算1の要件。

    出典: 厚労省 令和8年度改定の概要 ↗解説記事: 3つの加算が1つになった本当の理由 →

    ガイドライン2026-06-29

    安全管理ガイドライン 第7.0版 発出

    保守委託機関編を新設した5編構成。医療機関と事業者の役割分担の追記、パスワード「定期的な変更」要件の削除、二要素認証の対象 (端末とサーバ) の明確化が柱。

    出典: 厚労省 発出通知 (産情発0629第1号) ↗

    行政2026-06

    令和8年度版チェックリストへ改定 — 医療機関・薬局の共通版に

    ガイドライン第7.0版に対応し、二要素認証を端末とサーバの2項目に分けて「令和9年度以降初回のシステム更改時に実装予定」の選択肢を明記。立入検査では今年度からこの版が確認される。

    出典: 厚労省 令和8年度版チェックリスト ↗

    法令2026-10-01

    サイバー対処能力強化法 主要部分の施行

    基幹インフラ事業者を対象に、国へのインシデント報告の義務が始まった (クリニックが負う義務ではない。資産の届出は導入済み分を2027年3月までに)。施行説明資料に列挙された分野に医療は見当たらない。別途、2026-06-17公布の経済安保推進法の改正で医療分野が基幹インフラ制度に加わる (施行は公布から1年6か月以内)。対象は医療DX関連の業務と、省令で絞り込まれる「一定の病院」の医業等で、診療所は条文上の対象に入っていない。

    出典: 内閣官房・内閣府 施行説明 (2026-09) ↗

    医療DX2026年度冬予定

    電子カルテ情報共有サービス 全国的な運用開始 (目標)

    対応した電子カルテを入れた医療機関から順次使えるようになる (2026-10から再度の検証を実施)。全国網への常時接続が広がる = 攻撃対象領域の拡大。末端のクリニックの侵害が全国網の入口になり得る、が規制強化の論理。

    出典: 厚労省 医療等情報利活用WG (2026-09-10) ↗

  2. 年度

    令和9年度

    ガイドライン2027年度予定

    二要素認証の要求が始まる (令和9年度)

    令和9年度 (2027-04-01時点) に稼働するシステムを新規導入・更改する際に、二要素認証の採用を求める (ガイドライン第7.0版)。令和9年度までの対応が難しい場合は、令和9年度以降の直近の更新までが期限になる。2026年度中に更改年度を決めておくのが分岐点。

    出典: 厚労省 第7.0版 システム運用編 ↗解説記事: 二要素認証の期限——一斉義務ではない、決めるのは次の更改 →

  3. 年度

    令和10年度

    法令2028年予定

    改正個人情報保護法 施行見込み — 課徴金制度の創設

    2026-07-10成立 (施行は原則として公布から2年以内)。課徴金の対象は不正取得・不適正利用・第三者提供の制限違反などの悪質で大規模な違反に限られ、漏えいそのものは対象に挙がっていない。病院・診療所の学術研究例外の明示など利活用側の緩和も同時に入る。

    出典: 個人情報保護委員会 ↗

06

院長の目線で、4 つの方向から

  • 01日本の規制 — 院長 (管理者) が負う義務

    罰則付きの期限ではなく「必要な措置」を求める義務です。立入検査では厚労省のチェックリストに沿って、機器の台帳・連絡体制図・サイバーBCP・運用管理規程などの整備状況が確認されます。

    根拠を見る (3 件・出典つき)
    • 医療法施行規則14条2項 (2023-04施行) で、病床の有無を問わず全医療機関の管理者に措置を義務化。厚労省
    • 安全管理ガイドライン第7.0版 (2026-06) は、令和9年度時点で稼働するシステムを更改する際に、二要素認証またはこれに相当する対応を求める。厚労省 第7.0版 システム運用編
    • 2026-07-10成立の改正個人情報保護法で課徴金制度を創設 (施行は公布から2年以内)。対象は不正取得や第三者提供の制限違反など悪質で大規模な違反で、漏えいそのものは対象に挙がっていない。個人情報保護委員会

    詳しく読む

  • 02国内の脅威 — 入口は「VPN機器」と「取引先」

    ランサムウェアの侵入経路は、VPN機器が6割以上を占めます。院内で意識されにくい外部接続の機器や、保守・委託先の接続口が入口になった例もあります。まず「どこが外とつながっているか」を台帳にするのが最初の一手です。

    根拠を見る (4 件・出典つき)
    • IPA「情報セキュリティ10大脅威 2026」組織編は1位ランサム攻撃、2位サプライチェーンや委託先を狙った攻撃。IPA
    • 警察庁への2025年のランサムウェア被害報告は226件。侵入経路はVPN機器が6割以上。警察庁
    • 日本医大武蔵小杉病院 (2026-02) は医療機器保守用VPN装置の脆弱性から侵入され、約13万人の患者情報が漏えいのおそれ。病院発表
    • 大阪急性期・総合医療センター (2022) は、給食委託事業者の給食センターに置かれた保守用VPN機器から侵入され、常時接続の回線で病院へ。取引先から入るサプライチェーン攻撃の典型。調査報告書

    詳しく読む

  • 03海外の先行事例 — 1社の停止が、地域の医療を止めた

    委託先やクラウドが止まれば、自院に落ち度がなくても診療や請求が止まります。契約の段階で「止まったとき、誰が何時間以内に知らせるか」を決めておく時代です。

    根拠を見る (3 件・出典つき)
    • 英国の検査委託会社Synnovisの被害 (2024-06) で、ロンドンの2つの病院グループが外来10,152件・予定手術1,710件を延期 (16週の累計、NHS England 発表の暫定値)。NHS England
    • 米国の医療請求の中継会社Change Healthcareの被害 (2024-02) は、同社が規制当局 (HHS OCR) に届け出た数で約1億9,270万人 (2025-07時点)。HHS OCR
    • 米国はHIPAA Security Ruleの改正案 (2025-01公示) で多要素認証・暗号化・資産台帳の義務化を提案。最終規則は2027年7月以降の見通し。reginfo.gov

  • 04AI 時代の守り — 便利さの裏口をふさぐ

    職員が無料の生成AIに患者情報を入れる「シャドーAI」は、禁止よりも業務用契約への一本化で防ぐ。AI製品は契約前に、学習への利用とデータの行き先を書面で確かめます。

    根拠を見る (4 件・出典つき)
    • IPA「10大脅威 2026」で「AIの利用をめぐるサイバーリスク」が組織編3位に初登場。IPA
    • 厚労省は2026年5月、AIの高度化を踏まえた対策強化を2度周知 (5/18は医療分野の重要インフラ事業者向け、5/27は医療機関等向け)。厚労省
    • 攻撃者がAIに戦術的作戦の80〜90%を実行させたサイバー諜報活動が報告された (2025-11、医療機関が標的の事例ではない)。攻撃の自動化はすでに現実。Anthropic
    • 英国NHSはAIスクライブ導入ガイダンス (v3, 2026-07) で、影響評価 (DPIA)・臨床安全ケース・人によるレビューを求める。NHS England

    詳しく読む

07

AI・クラウドを入れる前に、業者へ聞くこと

開くと、そのまま使える質問が出ます。

記事で詳しく: AI問診・AIスクライブの契約前——ISMSは入口、聞くのは20問
Aベンダーの素性「準拠表明 (自己宣言)」と「第三者認証」を区別する質問 4
  • ISMS (ISO/IEC 27001) 認証の有無と、該当サービスが認証範囲に入っているか
  • 3省2ガイドライン準拠の根拠は自己宣言か、第三者確認か
  • SaMD該当性の見解。該当するなら承認番号と JIS T 81001-5-1 対応
  • 基盤モデル・クラウド基盤など再委託構造の開示 (どこの何を使っているか)
Bデータの行き先患者情報は要配慮個人情報 — 学習利用と保持が最初の関門質問 4
  • 入力データがAIの学習に使われないことが契約書のどの条項で保証されるか
  • 保存先リージョンと越境移転の有無
  • 保持期間・解約時のデータ削除の保証 (削除証明の発行可否)
  • 通信・保存時の暗号化と鍵管理の主体
Cつなぎ方国内被害の主経路は「接続点」— 台帳に載らない接続を作らない質問 5
  • 院内ネットワークとの接続方式 (常時VPN / API / 端末アプリ) と接続点の台帳記載
  • 職員個別ID・退職時の失効・二要素認証への対応
  • ベンダー保守用のリモートアクセス経路の管理
  • 電子カルテ連携の方式と、連携障害時の縮退運転手順
  • AIに任せる操作の範囲 (読むだけか・書き込むか・外部へ送るか) と、患者の入力に紛れた指示で動きが変わらない対策
D事故のときベンダー側インシデントでも報告義務は医療機関に残る質問 4
  • ベンダー側インシデント発生時の通知義務・SLA (何時間以内か) の契約明記
  • 自院の報告フロー (個人情報保護委員会・厚労省・都道府県) との接続
  • ログの保全期間と提供可否 (原因調査への対応)
  • 損害賠償の上限条項とサイバー保険のカバー範囲の突合
E運用「シャドーAI」(職員が無料の汎用AIに患者情報を入力) を設計で防ぐ質問 3
  • 院内の利用ルール (入力してよい情報の線引き・業務用契約への一本化)
  • AI出力の医師による最終確認 (human-in-the-loop) の運用と監査
  • 年1回の棚卸し (契約・接続点・権限・チェックリスト再点検)

08

無料・低コストで使える支援

補助金の全体像は 補助金のページ へ。

本ページの情報は確認日 (2026-10-10) 時点のものです。ガイドライン・チェックリスト・診療報酬の要件は毎年度更新されるため、実務判断の前に必ず各制度の一次情報 (リンク先) で最新をご確認ください。本ページは一般的な情報提供であり、個別の医療機関への助言ではありません。お金で並び順・評価を変えず、特定のベンダーへ誘導しない編集独立のページです。