GemMed | データが拓く新時代医療 > 医療提供体制改革 > 医療機関等のサイバーセキュリティ対策、「まず何から手を付ければよいか」を確認できるチェックリストを提示―医療等情報利活用ワーキング

医療機関等のサイバーセキュリティ対策、「まず何から手を付ければよいか」を確認できるチェックリストを提示―医療等情報利活用ワーキング

2023.3.24.（金）

医療機関のサイバーセキュリティ対策強化が喫緊の課題となっており、医療機関管理者（院長）にも「サイバー攻撃を受けた場合に、経営の危機に陥ることも少なくない」点をしっかり理解してもらうことが必要である—。

セキュリティ対策においては「何も信頼しない」姿勢で臨むことが極めて重要であり、また医療機関とシステムベンダとの間で「どこまでが、どちらの責任であるのか」を明確化しておくことも求められる—。

3月23日に開催された健康・医療・介護情報利活用検討会の「医療等情報利活用ワーキンググループ」（以下、ワーキング）において、こうした内容を盛り込んだ「医療情報システムの安全管理に関するガイドライン案」（以下、本稿では単にガイドライン案と呼ぶ）が了承されました。

今後、広く国民から意見を募り（パブリックコメント募集）、その内容も踏まえて最終調整を行い、5月中旬を目途にガイドライン6.0版が正式決定・稼働となります。

またワーキングでは「ガイドライン6.0版の整備にとどまらず、実際に医療機関等がサイバーセキュリティ対策に乗り出せるような仕掛けが必要である」との考えの下、まず第一歩として「都道府県等による立入検査においてサイバーセキュリティ対策実施の有無をチェックする」「医療機関等やシステムベンダ向けにサイバーセキュリティ対策に関するチェックリストを事前に示し、何から手を付ければよいかを明らかにする」ことを固めました。本年（2023年）6月以降の立入検査から「サイバーセキュリティ対策の確認」が行われます。

3月23日に開催された「第16回健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ」

1 医療情報ガイドラインの第6.0版、パブコメ等を経て「5月中旬」目途の決定の見込み
2 医療機関に「セキュリティ対策として何から手を付ければよいか」を明確化したリスト提示
3 JAHISガイド等に沿ってセキュリティ対策を点検している病院は2割に満たず

医療情報ガイドラインの第6.0版、パブコメ等を経て「5月中旬」目途の決定の見込み

Gem Medでも報じるとおり「ランサムウェアと呼ばれるコンピュータウイルスによって医療機関等が多大な被害を受けてしまった」事例が散発。一昨年秋（2021年秋）には徳島県の病院が、昨秋（2022年秋）には大阪府の大規模急性期病院が被害にあい、電子カルテをはじとする医療データがすべて利用できなくなり（暗号化など）、長期間の診療停止が余儀なくされました。場合によっては「医療機関閉鎖」（いわゆる倒産）にも追い込まれかねない状況も発生します。

事態の深刻さを踏跡まえ、厚生労働省も様々な対策を検討・実施。たとえば長期間の診療停止が生じないための「短期的な対策」（平時からの予防対策、インシデント発生後の初動対応、日常診療を取り戻すための復旧対応）を稼働させているほか、医療機関等やシステムベンダが診療データを保存・利活用するに当たっての指針となる「ガイドライン」の見直しも検討しています。

ワーキングでは、ガイドライン見直しに向け、第6.0版への改訂内容、ガイドライン第6.0版案の「骨子」を固めており、骨子についてはパブリックコメント募集も行われました。

3月23日のワーキングでは、パブリックコメント結果も踏まえ「ガイドライン第6.0版案」を固めました。後述するように、近々にパブリックコメント募集にかけられ、その結果を踏まえて最終調整を行ったうえで本年（2023年）5月中旬を目途に「ガイドライン第6.0版」が決定・稼働することになります。

第6.0版への見直しでは、▼システム担当者のみならず、医療機関等の管理者（院長等）にもサイバーセキュリティ対策の重要性を強く認識してもらう▼すべての医療機関等で必要に応じたサイバーセキュリティ対策を講じてもらう▼外部委託、外部サービスの利用に関し、責任分解を明確化する（どこまでがベンダーの責任となり、どこからが医療機関等の責任となるのか）▼情報セキュリティに関し、「何も信頼しない」とのゼロトラストを前提とする—などの視点が重視されています。

医療機関の経営層は「ICTの専門家ではない、ICTの知識が少ない」ケースがほとんどです。このため、ともすれば「私はまったく分からない。セキュリティ関係は担当者にすべて任せている」となりがちです。しかし、昨今の状況を踏まえて▼「サイバー攻撃を受けた場合に、経営の危機に陥ることも少なくない」点を理解し、サイバーセキュリティ確保に努める▼どこまでが医療機関の責任で、どこからが外部業者の責任となるのかを明確化する▼自院にどのような情報機器が保有され、どのような状況なのか（セキュリティ対策は十分に確保されているのかなど）を医療機関管理者も把握する—ことを強く求めることになります。

このため、ガイドライン第6.0版は、「ICT分野に強くない院長等にも、伝わりやすい内容とする」ことなどを目指し、（1）基本部分を示す「概説編」（2）院長等管理者向けの「経営管理編（3））医療情報システムの安全管理（企画管理、システム運営）責任者向けの「企画管理編」（4）医療情報システムの実装・運用の実務担当者向けの「システム運用編」—の4編へ構成を見直し。（1）－（4）それぞれの対象者に伝わりやすい内容・用語での記載となっています。

また、小規模医療機関等ではシステム担当者などが配置されておらず「膨大な量のガイドラインを読み込むことは難しい。最低限何をすればよいのかをまず知りたい」との要望もあることから、「Q&A」のほか「小規模医療機関向けの特集編」「サイバーセキュリティ対策の特集編」も準備されています。

こうした「4編構成への細分化」「用語等の見直し」「特集やQ&Aの切り出し」などを丁寧に行う必要があったため、ガイドライン第6.0版に向けたスケジュールはやや後ろ倒しになっています。スケジュールありきで不十分なものとするよりも、「実際に医療現場に伝わる内容」への見直しが重要なためです。

3月23日のワーキングでは、こうしたガイドライン第6.0版の「案」を決定。近くパブリックコメント募集が開始されます（3月下旬から4月下旬予定）。その後、パブリックコメント結果も踏まえて、ワーキングで最終調整を行ったうえで「イドライン第6.0版」が5月中旬頃に正式決定され、稼働する見込みです。

【パブリックコメントに付される4編】
（1）「概説編」案はこちら
（2）「経営管理編」案はこちら
（3））「企画管理編」案はこちら
（4）「システム運用編」案はこちら

【その他】（主なもの）
▽「Q&A」案はこちら
▽「小規模医療機関向け特集」案はこちら
▽「サイバーセキュリティ対策特集」案はこちら

なお、今後のガイドライン第6.0版の運用、医療機関等でのサイバーセキュリティ対策強化に向け「分かりやすい資材（動画、パンフレットなど）を準備してほしい」（長島公之構成員：日本医師会常任理事）、「オンライン資格確認等システム等において、参加医療機関がガイドラインに則った対策をしていることが重要であり、現場への周知を十分に行ってほしい」（大山永昭構成員：東京工業大学科学技術創成研究院社会情報流通基盤研究センター特命教授）といった要望が出ています。今後、厚労省で準備・実施していくことになります。

医療機関に「セキュリティ対策として何から手を付ければよいか」を明確化したリスト提示

ところで、サイバーセキュリティ対策は「ガイドラインを見直して終了」ではありません。実際には、医療機関等がガイドラインに沿った対策が行うことが重要です。

しかし、医療機関等の規模・体制はさまざまで、小規模医療機関等の中には「どこから手を付ければよいのか分からない」ところも少なくありません。

ワーキングではガイドライン見直しと合わせて、「医療機関等に『何から手を付ければよいか』を分かりやすく示し、実行を促すような仕掛けが必要である」との議論が行われ（関連記事はこちら）、▼都道府県等によるり立入検査においてサイバーセキュリティ対策実施の有無をチェックする▼医療機関等やシステムベンダ向けにサイバーセキュリティ対策に関するチェックリストを事前に示し、何から手を付ければよいかを明らかにする—ことを決定しました。

医療法第25条第1項・第3項に基づき、都道府県や国は全国の医療機関について「診療録保存など病院管理が適切に行われているか」「医師や看護師などの人員が適正に配置されているか」「診療室や水道などは適切・清潔に整備されているか」などを定期的に検査しています（関連記事はこちらとこちら）。今般、この立入検査項目の中に「サイバーセキュリティ対策は十分に行われているか」を盛り込む省令改正（医療法施行規則改正）が行われ、この6月（2023年）からの検査に適用されることになりました。

もっとも立入検査の場で、突然「貴院は対策が不十分ですね。改善してください」と指摘するだけでは、全国の医療機関等で「サイバーセキュリティ対策が十分に進展する」とは思えません。上述のように「何から手をつければよいのか分からない」医療機関等も少なくないためです。

そこで厚労省は「サイバーセキュリティ対策に関するチェックリスト」を作成。医療機関等では、このチェックリストに沿って「まず医療情報システム安全管理責任者の配置が必要であるのだな」→「次いで医療機関で用いる端末・ネットワーク機器・記録媒体・サーバーについてすべて把握する必要があるのだな」→「そのうえで、システムの脆弱性をベンダーに確認し、情報共有してもらう必要があるのだな」→「さらにBCP（事業継続計画）の中に、サイバー攻撃からの復旧なども盛り込む必要があるのだな」という具合に、手順を踏んでサイバーセキュリティ対策を進めることが求められます。

▼医療機関等がチェックリストをもとに、自院のサイバーセキュリティ対策の状況を把握し、必要な対応を行う→▼都道府県等が立入検査の際などに「チェックリストの状況」を確認する→▼対策の中で不十分なもの（チェックリストの中でチェックがなされていない項目）がある場合には改善を求める—という流れで、全国の医療機関等におけるサイバーセキュリティ対策の水準向上を目指すことになりますが、具体的な立入検査の実施方法などは今後、厚労省と都道府県等で調整が行われます。

医療機関等におけるサイバーセキュリティチェックリスト案（今後、修正が行われる）（医療等情報利活用ワーキング1 230323）

ワーキングでは、このチェックリストを用いた「サイバーセキュリティ対策向上」促進策を歓迎。山本隆一構成員（医療情報システム開発センター理事長）からの「表面的なチェックにとどまってはいけない。各項目が連環し、すべてを実施することでセキュリティ対策となる（一部分でも抜けていれば、そこから攻撃を受けてしまう）点を意識した内容に改善すべき」との、長島構成員から「セキュリティ対策には財源が必要となる。国から支援を行ってほしい」との要望が出ています。

厚労省は山本構成員の意見も踏まえて「チェックリスト」を修正し、近々に公表。医療機関等では、チェックリストを踏まえて「まず自院の状況確認」を早急に行い、必要な対策をとることが重要です。「多くの医療機関は『鍵をかけていない金庫』のような状況と言える。金庫が不届きものに狙われていると分かれば、『鍵をかけねば』と誰もが思うであろう。そうした意識をもってサイバーセキュリティ対策をとる必要がある」と指摘する識者も少なくありません。

JAHISガイド等に沿ってセキュリティ対策を点検している病院は2割に満たず

また3月23日のワーキングには、本年（2023年）1－3月に行われた「病院における医療情報システムのサイバーセキュリティ対策に係る調査」結果の速報値も報告されました。

約6割の病院（4811施設）が回答しており、例えば▼73％で医療情報システム安全管理責任者を設置している▼78％でサイバー攻撃に係る注意喚起や脆弱性情報を日頃から収集・確認している▼電子カルテ導入病院の96％でバックアップデータを作成している—ことなど確認されました。

その一方で、▼医療情報システム開発センター（JAHIS）の作成する医療情報セキュリティガイド（MDS／SDS）を用いた点検実施は19％にとどまっている▼サイバー攻撃も踏まえたBCP作成は23％にとどまっている（うち訓練実施は34％にとどまる）▼関係事業者とのネットワーク接続点を全て管理下におき、脆弱性対策を実施している病院は44％にとどまっている▼「インシデントの早期検知」のために、各種ログの確認・通信の監視などを行っている病院は35％にとどまっている—など、心もとない状況も明らかになっています。

病院においてサイバーセキュリティ対策がとりわけ不十分な点も明らかになった（1）（医療等情報利活用ワーキング2 230323）

病院においてサイバーセキュリティ対策がとりわけ不十分な点も明らかになった（2）（医療等情報利活用ワーキング3 230323）

こうした調査結果から「対策の強化が急がれる点」の一部が明らかになったと言え、厚労省は上述した「ガイドライン第6.0版」案の中に「必要な対策」「留意すべき事項」として溶け込ませています。

調査は昨年にも行われており、厚労省医政局の田中彰子参事官（特定医薬品開発支援・医療情報担当）（医政局特定医薬品開発支援・医療情報担当参事官室長併任）は「前年調査との比較なども含めた詳細な分析・解析を行いたい」との考えを示しています。今後も、上述したチェックリストの効果、ガイドライン第6.0版の活用状況なども含めて調査を継続し、「サイバーセキュリティ対策の水準向上」を目指すことになります。