四病協が、後藤厚労相に「病院のサイバーセキュリティ対策費」補助に向けた緊急提言

2022.4.6.（水）

病院においてサイバーセキュリティ対策が非常に重要なテーマとなっているが、コストを商品に転嫁することはできず、予算上の制約も大きい。病院のセキュリティ対策の費用について公費補助金の支給が必要である―。

日本病院会・全日本病院協会・日本医療法人協会・日本精神科病院協会の4団体で構成される四病院団体協議会が3月31日に、こうした内容の緊急提言を後藤茂之厚生労働大臣に宛てて提出しました（日本病院会のサイトはこちら）（関連記事はこちらとこちら）。

500床以上病院では1億3000万円程度のサイバーセキュリティ対策投資が必要

Gem Medで繰り返し報じているとおり「医療分野でのサイバーセキュリティ対策」を急ぐ必要があります。「ランサムウェア」の攻撃などにより、従前のコンピュータウイルスによる個人情報流出などとは比べ物にならない甚大な被害などが生じているためです。

ランサムウェア（Ransom（身代金）＋Software（ソフトウェア）の造語）はコンピュータウイルスの1種で、例えば組織（ここでは病院）の保有するデータを暗号化してしまい、「暗号を解いて欲しければ多額の費用（身代金）を支払え。言うことを聞かなければ機密データをばらまき、データを使えなくしてやる」などと脅してくる犯罪に使われています。海外はもちろん、我が国でもこのランサムウェアによる被害が急増しており、2021年秋には徳島県の病院がランサムウェア攻撃を受け、患者の電子カルテをはじとする医療データがすべて暗号化され病院で利用できなくなってしまう（病院側でデータを見ることができなくなり、実質的に消失した形）という大きな事件が起きました。当該病院では院内システムが利活用できなくなったことから数日間、「新規患者の受け入れ停止」「救急患者の受け入れ停止」をせざるを得ず、地域医療提供体制にも大きな影響が生じる事態となりました（関連記事はこちら）。

このため国は、ランサムウェア対策などを盛り込んだ「医療情報システムの安全管理に関するガイドライン」改訂を行っており、また医療を含めた14重点分野については、この4月（2022年4月）からサイバーセキュリティ対策が義務化されます。

この点、四病協では次のような点をあげて「診療の継続性・安全性を担保し、地域医療を守るために、病院のサイバーセキュリティ対策への公的補助金を支給すべき」と提言しています。

▽医療分野では一定以上のセキュリティ確保が求められており、サイバーセキュリティ対策の重要性は理解している

▽しかし病院経営は厳しく、予算の制約上、本来実施すべき対策が行えない（医療法人では医業利益率が数％程度にとどまる）

【参考】
病床規模に応じた、IT予算費に関する試算結果（一般的にIT予算比率は収益の2％程度とされ、うち15％以上がセキュリティ対策関連に用いられる（下表中段）。病院ではセキュリティ対策投資が困難であり、劣化分の底上げを考慮すればIT予算の30％程度をセキュリティ対策にかける必要がある（下表向かって右段））

▽他産業のように「経費を商品価格等に転嫁」できず（診療報酬は公定価格である）、サイバーセキュリティ対策への投資を自費で行い続けることは困難

【関連記事】

病院のサイバーセキュリティ対策コスト、500床以上病院では１億3000万円程度となり公的支援が必要―四病協
「病院のサイバーセキュリティ対策」費用、国による支援が必要不可欠―四病協

ランサムウェア被害で病院が稼働不能になることも、バックアップデータの作成・適切保存等の対策を―医療等情報利活用ワーキング