GemMed | データが拓く新時代医療 > 医療提供体制改革 > 医療機関のサイバーセキュリティ対策チェックリスト「2024年度版」を公表、システムベンダと協力し平時からの対策強化を—厚労省

医療機関のサイバーセキュリティ対策チェックリスト「2024年度版」を公表、システムベンダと協力し平時からの対策強化を—厚労省

2024.5.20.（月）

厚生労働省は5月13日に、本年度（2024年度）版の▼医療機関におけるサイバーセキュリティ対策チェックリスト▼医療機関におけるサイバーセキュリティ対策チェックリストマニュアル（医療機関・事業者向け）—を公表しました（厚労省サイトはこちら（チェックリスト）とこちら（マニュアル））。

各医療機関において、すでに公表されている「医療情報システムの安全管理に関するガイドライン第6.0版」と合わせて活用し、サイバーセキュリティ対策を強化していくことに期待が集まります。

本年度中（2024年度中）になすべき事項を整理、立ち入り検査時にチェックリストを確認

Gem Medでも繰り返し報じているとおり、「ランサムウェアと呼ばれるコンピュータウイルスにより、医療機関等が多大な被害を受けてしまう」事例が散発しています。2021年秋には徳島県の病院が、2022年秋）は大阪府の大規模急性期病院が被害にあい、電子カルテをはじとする医療データがすべて利用できなくなり（暗号化されてしまうなど）、長期間の診療停止を余儀なくされました。こうしたサイバー攻撃を受けた場合、対策が十分になされていなければ「医療機関閉鎖」（いわゆる倒産）にも追い込まれかねない状況も発生します。

こうしたサイバー攻撃に備えるため、厚生労働省は次の3つの取り組みを行うことを決定し、順次、実行に移しています。
（1）「医療情報システムの安全管理に関するガイドライン」を改訂し、その遵守を求める（関連記事はこちらとこちら）
（2）都道府県による立入検査（医療法第25条第1項・第3項）において「サイバーセキュリティ対策」確認を求める（2023年6月からの検査に適用）
（3）医療機関・システムベンダー向けのサイバーセキュリティ対策に向けたサイバーセキュリティ対策の「チェックリスト」を提示する

このうち（3）のチェックリストについては、昨年（2023年）6月に「2023年度版」が示され、まず▼医療情報システム安全管理責任者の設置▼サーバ、端末 PC、ネットワーク機器の台帳管理▼アクセスログの管理▼ネットワーク機器に関するセキュリティパッチ（最新ファームウェアや更新プログラム）適用▼インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図作成—などを行うことを求めていました（関連記事はこちら）。

さらに今般、今年度（2024年度）版が示され、そこでは次のような点をチェックし、不備があれば急ぎ対応するよう医療現場に求めています（各項目の詳細はマニュアルで解説されている）。

▽医療情報システム安全管理責任者を設置しているか

▽医療情報システム全般について、「サーバ、端末PC、ネットワーク機器の台帳管理」「リモートメンテナンス（保守）を利用している機器の有無の事業者等への確認」「事業者から製造業者／サービス事業者による医療情報セキュリティ開示書（MDS／SDS）提出の確認」を行ったか

▽サーバについて、「利用者の職種・担当業務別の情報区分毎のアクセス利用権限設定」「退職者や使用していないアカウント等、不要なアカウントの削除」「アクセスログの管理」「セキュリティパッチ（最新ファームウェアや更新プログラム）の適用」「バックグラウンドで動作している不要なソフトウェア・サービスの停止」を行っているか

▽端末PCについて、「利用者の職種・担当業務別の情報区分毎のアクセス利用権限の設定」「退職者や使用していないアカウント等、不要なアカウントの削除」「セキュリティパッチ（最新ファームウェアや更新プログラム）の適用」「バックグラウンドで動作している不要なソフトウェア及びサービスの停止」を行っているか

▽ネットワーク機器について、「セキュリティパッチ（最新ファームウェアや更新プログラム）の適用」「接続元制限」を行っているか

▽インシデント発生時における組織内と外部関係機関（事業者、厚労省、警察等）への連絡体制図があるか

▽インシデント発生時に「診療を継続する」ために必要な情報を検討し、データやシステムのバックアップの実施と復旧手順を確認しているか

▽サイバー攻撃を想定した事業継続計画（BCP）を策定しているか

また、事業者（システムベンダー）にも、これらの裏返しの対応を行っているか、例えば「事業者内に医療情報システム等の提供に係る管理責任者を設置しているか、医療機関に製造業者／サービス事業者による医療情報セキュリティ開示書（MDS／SDS）を提出したか」などのチェックリストが作成・公表されています。

2024年度版のサイバーセキュリティ対策チェックリスト（医療機関用）1

2024年度版のサイバーセキュリティ対策チェックリスト（医療機関用）2

これらの事項について、各医療機関においてチェックを実施。不備がある場合には「いつまでに完了するのか」の目標日を設定し、事業者（システムベンダー）と協力して、急ぎ対応を図ることが求められます。

（2）の立ち入り検査の際に、チェックリストの確認がなされます。

なお、（1）のガイドライン6.0版では、例えば▼全体構成を見直し、システム管理者のみならず「経営層」にもサイバーセキュリティ対策の重要性を強く訴える▼外部委託、外部サービスの利用に関する整理を行い、「クラウドサービスの特徴を踏まえたリスクや対策の考え方」や「医療機関等と外部システム事業者（ベンダ）との責任分解の考え方」を示す▼ネットワークの安全性の考え方や認証のあり方を踏まえ「ゼロトラスト思考」（何も信用せず、「閉じた環境ゆえ安全である」などと安心しない）▼新技術や、オンライン資格確認等システム義務化などの制度・規格変更への対応を求める—などの見直しが行われています。

医療情報システムガイドライン6.0版のポイント

もっとも「ガイドラインを見直したので、各医療機関等で十分に対応し、遵守するように」と求めるだけでは、サイバーセキュリティ対策はなかなか進みまないため、（2）の立入検査の中に「サイバーセキュリティ対策は整えられているか」という項目を追加し、都道府県や国が「医療機関の対策を検査し、必要に応じて改善に向けた助言などを行う」仕組みが整えられました。

さらに（3）のチェックリストで「平時から医療機関・システムベンダが連携して、自院のセキュリティ対策は十分かを確認する。不十分な場合には、順を追って『まず何から始めればよいか』などを明らかにし、確実に対策を進めてもらう」こととし、これを（2）の立ち入り検査で確認するという構造となっています。

「医療機関は、鍵のかかっていない金庫のようなもの」と指摘する声もあり、上記の（1）から（3）の取り組み、さらにこれを支える診療報酬である【診療録管理体制加算】なども活用し、セキュリティ対策の充実を図ることが重要です。