Health ISAC Japan、医療機関向け「セキュリティかかりつけ医」サービスリストを公開

国内医療の構造的課題を理解した専門家が、
低コストで実効性のあるサイバーセキュリティ対策を支援

一般社団法人Health ISAC Japan（以下「Health ISAC Japan」または「HIJ」）は、医療機関が安心して相談できるサイバーセキュリティ支援サービスを紹介する「セキュリティかかりつけ医」サービスリストの公開を開始しました。本サービスリストでは、国内の医療機関が抱える制度面、組織面、運用面の構造的な課題を理解し、医療現場の実情に即した支援を提供する「セキュリティかかりつけ医」のサービスを紹介しています。医療DXの進展や医療情報システムのクラウド化、生成AI・RPAなどの新技術の導入が進むなか、医療機関に求められるサイバーセキュリティ対策は、これまで以上に高度化・複雑化しています。

Health ISAC Japanは、限られた予算や人材のなかでも医療機関が継続的にセキュリティ対策へ取り組めるよう、低コストで実効性のある支援サービスの情報を発信していきます。

医療DXの進展により高まるサイバーセキュリティの重要性

医療DXの推進に伴い、電子カルテ、医療情報システム、医療機器、クラウドサービスなど、医療機関が取り扱うデジタル環境は急速に拡大しています。一方、国内の医療機関は、公定価格を基礎とする診療報酬制度のもとで運営されており、一般企業と比較してサイバーセキュリティ対策へ充てられる予算や人材が不足しやすい状況にあります。しかし、セキュリティ対策に必要な予算や人員を確保するだけで、医療機関が抱えるすべての問題を解決できるとは限りません。

医療機関のサイバーセキュリティ対策が難しい背景には、医療分野特有の複数の構造的課題が存在しています。

国内医療機関が抱えるセキュリティ上の構造的課題

2000年代前後の情報革命以降、国内の医療機関では、電子カルテや部門システム、医療機器、院内ネットワークなどのデジタル化が段階的に進められてきました。一方で、システムや医療機器が個別最適型で導入・運用されてきたことにより、院内のIT環境やネットワーク構成が複雑化しています。

さらに、医療機関のサイバーセキュリティ対応を困難にしている要因として、次のような課題が挙げられます。

院内システムや医療機器の複雑化

電子カルテ、検査システム、画像管理システム、医事会計システム、医療機器などが、それぞれ異なる時期・異なる事業者によって導入されることで、院内ネットワーク全体の状況を把握することが難しくなっています。古いOSや更新が難しい医療機器が含まれているケースもあり、一般企業と同様の方法で一律にセキュリティ対策を実施できない場合があります。

IT・セキュリティ人材の確保が困難

診療報酬の改定などによって医療機関の収支環境が厳しくなるなか、院内でIT管理やサイバーセキュリティを担当する専門人材を継続的に確保することは容易ではありません。専任担当者を置くことが難しく、医療従事者や事務職員が通常業務と兼任している医療機関も少なくありません。

医療政策・制度改正への対応

医療政策や各種ガイドラインの改定により、医療機関に求められるセキュリティ対策や管理体制は継続的に変化しています。しかし、制度改正の内容が院内システムや日々の業務にどのような影響を与えるのかを把握し、具体的な対策へ落とし込むためには、医療制度とサイバーセキュリティの双方に関する知識が必要です。

救命を最優先とする医療現場の特性

医療機関では、患者の生命や健康を守ることが最優先されます。サイバー攻撃やシステム障害が発生した際にも、単純にシステムを停止することが難しく、診療継続や医療安全とのバランスを考慮しながら対応しなければなりません。

医療分野固有の文化・制度への理解

社会保障制度として発展してきた日本の医療には、一般企業とは異なる歴史的背景、制度、組織文化があります。こうした医療分野固有の事情を理解せずに、一般的なセキュリティ対策をそのまま導入しても、現場で十分に活用されず、継続的な運用につながらない可能性があります。

医療現場に届くセキュリティ支援を目指して

Health ISAC Japanでは、こうした国内医療機関の構造的課題に対する問題意識を共有する組織会員および一般会員の有志とともに、低コストで実効性のあるセキュリティ支援サービスのあり方について継続的に協議してきました。医療機関に求められているのは、高額なセキュリティ製品を導入することだけではありません。院内のシステム構成、ネットワーク環境、運用体制、予算、職員のITリテラシーなどを整理し、それぞれの医療機関に適した対策を段階的かつ継続的に実施することが重要です。

この協議の成果として、Health ISAC Japanは「セキュリティかかりつけ医」サービスリストを公開することとしました。

「セキュリティかかりつけ医」とは

「セキュリティかかりつけ医」は、国内の医療機関が抱えるセキュリティ上の不安や課題について日常的に相談できる、Health ISAC Japanの組織会員などによるセキュリティ支援サービスです。医療機関固有の構造的な課題を踏まえながら、現在のセキュリティ状況を整理し、必要な対策や改善方針を提示します。名称のとおり、体調に不安を感じた際に相談する地域のかかりつけ医のように、医療機関のサイバーセキュリティ上の「健康状態」を継続的に確認し、問題の早期発見や改善を支援する役割を担います。

主な役割は次のとおりです。

セキュリティ上の不安や懸念の整理

医療機関が感じている不安や課題を丁寧に整理し、何が問題となっているのか、どのリスクから優先的に対応すべきかを明確にします。

セキュリティ状況の診断

院内システム、ネットワーク、医療機器、クラウドサービス、職員の運用状況などを踏まえ、現在のセキュリティ対策の状態を確認します。

改善方針・対策の提示

診断内容をもとに、医療機関の予算や人員、運用体制に合わせた現実的な改善方針を提示します。一度にすべてを変更するのではなく、優先順位を付けながら段階的に対策を進めることで、医療現場への負担を抑えながら継続的な改善を目指します。

専門サービスとの連携

より専門的な診断、製品導入、インシデント対応、法務対応などが必要な場合には、専門サービスである「セキュリティ認定医」との紹介・連携を行います。医療機関が複数の事業者を個別に探す負担を軽減し、必要な専門サービスへ円滑につなげることを目指します。

今後は「セキュリティ認定医」サービスも公開予定

Health ISAC Japanでは、今後、「セキュリティかかりつけ医」と専門領域で連携する「セキュリティ認定医」サービスについても公開する予定です。「セキュリティ認定医」は、特定のセキュリティ分野に関する高度な知識や技術を有し、医療機関が抱える専門的な課題を支援するサービスとして位置付けられます。日常的な相談や状況整理を「セキュリティかかりつけ医」が担い、必要に応じて専門性の高い「セキュリティ認定医」へつなぐことで、医療機関が適切な支援を受けられる体制の構築を進めます。

フロンティアAIによるサイバー攻撃リスクにも対応

医療分野では、生成AIをはじめとするフロンティアAIの発展により、サイバー攻撃の自動化、高度化、巧妙化が急速に進むことが懸念されています。攻撃者がAIを利用することで、フィッシングメールの精度向上、脆弱性の探索、マルウェアの作成、不正アクセスの効率化などが進み、これまで以上に迅速かつ複雑な攻撃が行われる可能性があります。患者の個人情報や医療情報を大量に取り扱い、診療を継続する必要がある医療機関は、サイバー攻撃の影響を受けやすい重要な社会インフラの一つです。

ランサムウェア攻撃などによって電子カルテや医療情報システムが利用できなくなった場合、情報漏えいだけでなく、診療の停止や遅延、患者の安全への影響につながるおそれがあります。

医療情報システムのクラウド化に伴うリスク管理

2026年6月末に更改された厚生労働省の「医療情報システムの安全管理に関するガイドライン」第7版が示すように、今後は医療DXの一環として医療情報システムのクラウド化が一層進むことが見込まれます。国内では、現在もオンプレミス型の医療情報システムを利用する医療機関が多く存在しています。オンプレミス環境からクラウド環境へ移行する際には、単にシステムの設置場所を変更するだけではなく、アクセス権限、認証方法、通信経路、データの保管場所、バックアップ、委託先管理、インシデント対応体制などを総合的に見直す必要があります。

特に、クラウド事業者と医療機関の間で、どこまでを事業者が管理し、どこからを医療機関が管理するのかという責任分界を明確にすることが重要です。院内環境の再構築に際しては、医療現場の業務や診療継続性を考慮しながら、サイバーリスク管理を徹底することが求められます。

医療生成AIやRPA導入時のセキュリティ対策

医療機関では今後、診療支援、文書作成、問い合わせ対応、業務効率化などを目的として、医療生成AIやRPAの利用が広がることが予想されます。こうした技術は医療従事者の負担軽減や業務改善に貢献する一方、新たなセキュリティリスクも生じさせます。生成AIを利用する際には、患者情報や機密情報の入力、学習データへの混入、誤った回答の利用、外部サービスへの情報送信などに注意する必要があります。RPAについても、過剰なアクセス権限の付与、アカウント情報の不適切な管理、設定ミスによるデータの誤送信、停止時の業務影響などが課題となります。

新しい技術を安全に活用するためには、導入前のリスク評価だけでなく、利用ルール、権限管理、ログ管理、職員教育、定期的な見直しを含めた継続的な管理が必要です。

医療機関が真に信頼できるセキュリティサービスを発信

Health ISAC Japanは今後も、法人会員および一般会員の有志による協議を通じて、国内医療機関が真に信頼できるサイバーセキュリティサービスのあり方を検討・発信していきます。医療機関の規模や地域、診療科、システム構成、予算、IT管理体制はそれぞれ異なります。そのため、一律のセキュリティ対策を求めるのではなく、各医療機関の状況に寄り添い、実行可能な対策を段階的に進める支援が重要です。

「セキュリティかかりつけ医」サービスリストを通じて、医療機関がセキュリティ上の不安を抱え込まず、早い段階で適切な専門家へ相談できる環境の整備を目指します。

一般社団法人Health ISAC Japanについて

公式ウェブサイト：https://health-isac-japan.jp

本件に関するお問い合わせ先

一般社団法人Health ISAC Japan 事務局
E-mail：[email protected]