全国電子カルテへ📋️第009話｜先生、身代金より怖いのは「診療停止」です――医療機関のランサムウェア対策は何から始める

プロローグ

月曜日の朝。森田クリニックでは、看護師の美咲がパソコン画面を見ながら首をかしげていた。
美咲「先生、このメール、何でしょう。ファイルが開けません」
森田院長「変な添付ファイルなら触らないでよ」
美咲「触ってません。でも最近、病院がランサムウェアにやられたというニュースを見ました」
森田院長「大病院でしょう？　うちみたいな診療所まで狙っても仕方ないんじゃない？」
ちょうど医院経営と医療DXの相談役、佐伯さんが入ってきた。
佐伯「先生、その考え方は少し危ないですね」
森田院長「うちには何億円もの研究データもないですよ」
佐伯「攻撃者が見るのは、医院の売上高や病床数とは限りません。インターネットから入れる弱い入口があるかどうかです」
美咲「入口？」
佐伯「VPN、リモート保守、古いネットワーク機器、外部委託先との接続。実際の医療機関の事件でも、そこが入口になっています」

ランサムウェアとは「データを人質にする攻撃」

森田院長「そもそもランサムウェアって、普通のコンピューターウイルスと何が違うんです？」
佐伯「院長先生向けに一言で言えば、電子カルテやファイルを使えなくして、身代金を要求する攻撃です」
ランサムウェアは、コンピューターやサーバー内のデータを暗号化するなどして利用できない状態にし、復旧と引き換えに金銭を要求するタイプのサイバー攻撃です。
最近では、単にデータを暗号化するだけでなく、事前にデータを盗み出し、「支払わなければ公開する」と圧力をかける手口も問題になります。
医療機関にとって怖いのは、請求される身代金だけではありません。
電子カルテが開かない。検査結果が見られない。処方歴が確認できない。予約が分からない。会計ができない。
つまり、サイバー攻撃がそのまま診療停止へつながることです。
厚生労働省は2026年6月に「医療情報システムの安全管理に関するガイドライン」を第7.0版へ改定し、医療機関・薬局向けのサイバーセキュリティ対策チェックリストも公開しています。また、サイバー攻撃を想定したBCPの確認表、手引き、ひな形まで用意しています。 (厚生労働省)
森田院長「防御だけじゃなくて、攻撃された後まで考えろということですね」
佐伯「そうです。医療機関では、パソコンを守ることより診療を守ることが最終目的です」

実際に病院の電子カルテが止まった――半田病院

美咲「本当に電子カルテ全部が止まることがあるんですか？」
佐伯「あります。代表的な事件の一つが、徳島県のつるぎ町立半田病院です」
2021年10月31日、つるぎ町立半田病院はランサムウェア攻撃を受けました。厚生労働省の資料によれば、外部ネットワークとの接続点である保守用VPN装置の脆弱性が放置されていたことなどが攻撃経路として挙げられています。電子カルテなど院内システムが使用できなくなり、一般外来などの診療業務に大きな影響が生じ、システム全面復旧まで約2か月を要しました。 (厚生労働省)
当初は、電子カルテにつながっていたプリンターから英文の犯行声明が次々と印刷されました。システム担当者が駆けつけ、その後ランサムウェアによる攻撃であることが判明しています。 (医療機関向けセキュリティ教育支援ポータルサイト)
森田院長「夜中にプリンターから勝手に犯行声明……映画みたいですね」
佐伯「映画なら電源を切れば終わりますが、病院は翌朝も患者さんが来ます」
美咲「そこが一番怖い」
佐伯「そうです。サイバー攻撃の本当の被害は、画面に身代金要求が出ることではありません。翌朝の診療がどうなるかです。」

大阪では「病院本体」ではなく委託先から侵入した

森田院長「でも大病院なら相当厳重に守っているでしょう？」
佐伯「それでも起きたのが、大阪急性期・総合医療センターの事件です」
2022年10月31日、大阪急性期・総合医療センターでランサムウェア攻撃が発生し、電子カルテを含む総合情報システムが使用できなくなりました。
特に注目したいのは侵入経路です。
厚生労働省の調査では、院外の給食事業者のシステムを経由して侵入した可能性が高いとされています。病院の給食サーバーを足掛かりとして基幹システム側へ侵入し、電子カルテを含む複数のシステムに被害が広がりました。 (厚生労働省)
調査報告書では、基幹システムサーバーの大部分が暗号化され、約2,200台のPCにも不正アクセスの痕跡が確認されました。基幹システムサーバーの再稼働には43日間、部門システムを含む診療システム全体の復旧には73日間を要し、調査・復旧費用は数億円以上、診療制限による逸失利益は十数億円以上と見込まれました。 (地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター)
森田院長「給食会社から電子カルテまで？」
美咲「全然関係なさそうなのに」
佐伯「そこが重要なんです。サイバー攻撃では、『電子カルテそのもの』だけ守ればいいわけではありません。」
医院には電子カルテ会社だけでなく、レセコン、予約、検査、画像、ネットワーク、複合機、保守会社など、さまざまな事業者が関わります。
そのどこかに外部接続点があれば、医院自身が存在を把握していない入口になる可能性があります。

「うちは診療所だから狙われない」は通用するのか

森田院長「でも今の二つは病院ですよね。やっぱり小さな診療所は……」
佐伯「厚生労働省の医療機関向け教材を見てみましょう」
厚生労働省がまとめた国内のサイバー攻撃事例には、2022年10月に医療法人社団真養会 田沢医院がランサムウェア被害を受け、電子カルテが使用不能になった事例も掲載されています。 (医療機関向けセキュリティ教育支援ポータルサイト)
森田院長「医院も入っている……」
佐伯「そうです。『大病院ほど被害額が大きい』ことと、『小さな医院なら攻撃されない』ことは別です」
攻撃者がインターネット上の脆弱な機器を探している場合、医院の規模を一軒ずつ調べて「ここは小さいからやめておこう」と判断してくれる保証はありません。
厚生労働省は2026年5月にも、高性能AIの悪用によって医療情報システムや院内につながるネットワーク機器の脆弱性探索が容易になり、サイバー攻撃の頻度が上がることが想定されるとして医療機関へ注意喚起しています。 (厚生労働省)
佐伯「診療所に必要なのは、『狙われるほど大きいか』を考えることではなく、『入れる入口が残っていないか』を確認することです。」

岡山では情報流出も起きた

美咲「暗号化されるだけでも大変なのに、患者情報が盗まれることもあるんですよね」
佐伯「実際に起きています」
2024年5月19日、岡山県精神科医療センターがランサムウェア攻撃を受け、電子カルテを含む総合情報システムに障害が発生しました。その後、患者の氏名、住所、生年月日、病名など、最大約4万人分の患者情報が流出した可能性が公表されています。 (岡山県精神科医療センター)
ただし、この事件には診療所が学べる別の側面もあります。
厚生労働省の資料によると、同センターでは電子カルテを紙カルテ運用で代替し、発生当初から予約外来、救急外来、入院診療を継続しました。 (厚生労働省)
森田院長「攻撃は防げなかった。でも診療は続けた」
佐伯「そこです」
サイバーセキュリティというと、「侵入されない方法」ばかり考えます。
もちろん予防は重要です。
しかし100％防ぐことはできません。
侵入されたとしても、診療を完全停止させない。
これが医療機関のBCPです。
第007話「電子カルテが停止したら診療できるのか」で考えたことが、そのままランサムウェア対策につながります。

最初に高価なセキュリティ製品を買う必要はない

森田院長「では、セキュリティ会社に電話して高い機械を入れればいい？」
佐伯「その前に確認したいことがあります」
森田院長「何です？」
佐伯「先生の医院には、インターネットから院内へ入れる入口がいくつあります？」
森田院長「……光回線？」
美咲「電子カルテ会社が遠隔保守で入ってくることもありますよね」
森田院長「そういえばレセコン会社も」
佐伯「それです」
ランサムウェア対策の第一歩は、最新のセキュリティ製品を買うことではありません。
まず、自院のネットワークが外部とどこでつながっているかを知ることです。
VPNはあるのか。
電子カルテ会社はどうやってリモート保守するのか。
ルーターは何年使っているのか。
使われていない遠隔接続が残っていないか。
外部業者は何社つながっているのか。
厚生労働省も、医療機関のサイバーセキュリティ確保事業で「外部接続点の洗い出し」を重視しています。 (厚生労働省)
森田院長「まず『入口の地図』を作るわけか」
佐伯「はい。知らない入口は守れません。」

次に確認するのは「アカウント」

美咲「入口が分かったら？」
佐伯「次は、誰がそこを通れるかです」
退職した職員のIDが残っている。
何人も同じアカウントを使っている。
管理者パスワードを何年も変更していない。
複数のサービスで同じパスワードを使っている。
遠隔保守用のアカウントが常時有効になっている。
こうした運用は、医院の規模に関係なく確認できます。
森田院長「セキュリティ対策って、もっと難しい暗号技術の話だと思っていました」
佐伯「高度な対策もあります。でも最初からそこへ行く必要はありません。使っていない鍵を捨てる。誰が鍵を持っているか分かるようにする。これも立派なセキュリティです。」
厚生労働省の2026年6月版チェックリストも、医療情報システムの管理・運用、アカウントや認証、インシデントへの備え、規程整備など、医療機関が優先的に取り組む事項を整理しています。 (厚生労働省)

バックアップは「あります」ではなく「戻せます」

森田院長「バックアップならありますよ」
佐伯「どこに？」
森田院長「……サーバー？」
佐伯「そのサーバーも一緒に暗号化されたら？」
森田院長「嫌なことを言いますね」
ランサムウェア対策でバックアップは非常に重要です。
ただし、「バックアップしています」という言葉だけでは安心できません。
攻撃されたシステムから常時アクセスできる場所にバックアップがあると、バックアップまで暗号化される可能性があります。
大切なのは、攻撃を受けた環境から切り離されたバックアップがあるか。そして、実際にそこから復元できることを確認したことがあるかです。
過去の国内事例では、徳島県の鳴門山上病院がランサムウェア被害を受け電子カルテ等が使用できなくなったものの、オフラインバックアップから早期復旧した事例も厚生労働省の教材で紹介されています。 (医療機関向けセキュリティ教育支援ポータルサイト)
美咲「バックアップを取るところまでが半分で、戻せて完成？」
佐伯「そうです。バックアップの目的は保存ではなく復旧です。」

一番大事なのは「感染した朝に誰が何をするか」

森田院長「入口も確認する。アカウントも整理する。バックアップも確認する。これで大丈夫ですか？」
佐伯「もう一つあります」
美咲「BCPですね」
佐伯「その通りです」
朝8時30分。
電子カルテが突然開かなくなった。
身代金を要求する画面が表示された。
受付のパソコンも使えない。
このとき誰が最初に判断するのか。
院長へ誰が連絡するのか。
電子カルテ会社へ誰が電話するのか。
院内ネットワークをどう扱うのか。
受付を紙へ切り替えるのか。
診療をどこまで続けるのか。
患者さんへ誰が説明するのか。
厚生労働省への報告は誰が行うのか。
ここまでを攻撃を受けてから考えていたのでは遅れます。
現在、厚生労働省はサイバー攻撃やその疑い、医療情報システム障害などのインシデントが発生した際、速やかに連絡するよう医療機関へ求めており、連絡窓口も公開しています。 (厚生労働省)
さらに厚生労働省は、医療機関がサイバー攻撃を想定したBCPを作成できるよう、確認表、手引き、ひな形を提供しています。 (厚生労働省)
つまり、ランサムウェア対策はウイルス対策ソフトの話だけではありません。診療継続計画の話なのです。

手順書がなければ、攻撃者より先に医院が混乱する

美咲「実際に起きたら、私たちはどう動けばいいんでしょう」
森田院長「まずパソコンを全部切ればいい？」
佐伯「そこを本番で相談し始めないために手順書を作るんです」
サイバー攻撃では、状況によって適切な初動が異なります。
むやみに端末を操作した結果、調査に必要な情報を失う可能性もあります。
逆に、感染拡大を防ぐため迅速な切り離しが必要になることもあります。
だから、「ネットで見た一般論」を職員それぞれが実行するのではなく、自院のシステム構成を踏まえて、ベンダーや専門家と事前に初動手順を決める必要があります。
森田院長「当日、Googleで『ランサムウェア　どうする』と検索するのは？」
佐伯「そのパソコンが使える保証からありません」
美咲「紙で連絡先を置いておく意味が分かりました」
電子カルテ会社、ネットワーク会社、院内責任者、必要な行政窓口などの連絡先は、電子カルテの中だけに保存しない。
これは地味ですが重要なBCP対策です。

ベンダー任せにしてはいけない理由

森田院長「でもシステムはベンダーが守ってくれるんでしょう？」
佐伯「ベンダーが守る範囲はあります。ただ、医院自身が判断する部分もあります」
大阪急性期・総合医療センターの事件が示したように、医療機関には複数の外部事業者が関係します。
電子カルテ会社だけ確認しても、別の委託先との接続に問題が残っているかもしれません。
だから大切なのが責任分界です。
電子カルテ会社はどこまで管理するのか。
ネットワーク機器は誰が管理するのか。
脆弱性情報が出たら誰が更新するのか。
VPNは誰の所有物なのか。
障害が起きたら誰が最初に連絡するのか。
佐伯「先生がVPNの設定をする必要はありません。でも『誰がVPNを管理しているのか分からない』は困ります」
森田院長「技術は任せても、責任の所在までは任せっぱなしにしない」
佐伯「そこです」

職員教育は「怪しいメールを開くな」だけではない

美咲「やっぱり私たちも訓練が必要ですね」
佐伯「はい。でも『怪しいメールを開かないで』だけでは足りません」
職員が知っておくべきなのは、異常を感じたときにすぐ報告してよいということです。
変な画面が出た。
急にファイルが開かなくなった。
知らない認証画面が出た。
いつもと違う動きをしている。
こうしたとき、職員が「私が何か失敗したと思われるから黙っておこう」と考える方が危険です。
美咲「怒られると思ったら、再起動してなかったことにしたくなるかも」
佐伯「だからインシデント対応では、隠さず早く報告できる組織を作ることもセキュリティ対策なんです」
森田院長「機械だけ強くしても駄目なんですね」
佐伯「人間が最初のセンサーになることがあります」

診療所なら、まずここまでできれば景色が変わる

森田院長「結局、うちのような診療所は何から手を付ければいい？」
佐伯「高価なセキュリティ製品の選定より先に、医院の全体像を見えるようにしましょう」
院内のパソコンとサーバー。
ルーターやVPN。
電子カルテ会社などの外部接続。
職員とベンダーのアカウント。
バックアップ。
障害時の連絡先。
そして電子カルテが使えない場合の紙運用。
これらを一枚の図にすると、「何が分かっていないか」が見えてきます。
森田院長「セキュリティ診断というより、医院の配線図と避難訓練を一緒に作る感じですね」
佐伯「かなり近いです」
ランサムウェア対策の目的は、攻撃者と技術力を競うことではありません。
侵入されにくくする。侵入されても広がりにくくする。データを戻せるようにする。そして診療を続けられるようにする。
この順番で考えれば、診療所でもやるべきことが見えてきます。

サイバーセキュリティは「IT担当者の仕事」ではなく医院経営

厚生労働省は2023年4月から、医療法に基づく医療機関への立入検査にサイバーセキュリティ対策の確認を位置付けています。2026年にはガイドライン第7.0版と新しいチェックリストが公表され、対策はより具体化しています。 (厚生労働省)
つまり、サイバーセキュリティは一部の大病院の情報システム部門だけの問題ではありません。
診療所でも、
「電子カルテ会社に任せています」
だけではなく、
「当院では何を使い、誰が管理し、攻撃されたらどう診療を続けるか」
を説明できることが重要になります。
森田院長「ランサムウェア対策というから、ウイルス対策ソフトを買う話だと思っていました」
佐伯「もちろん技術対策も必要です。でも院長先生が最初にする仕事は、製品を選ぶことではありません」
森田院長「では？」
佐伯「医院が攻撃された朝の動きを決めることです。」

最後に院長先生へ

ランサムウェアは、大病院だけに起こる特別な事件ではありません。
厚生労働省の資料には病院だけでなく医院の被害事例も記録されています。実際の事件では、VPNの脆弱性や外部委託先との接続など、一見電子カルテとは関係なさそうな場所が侵入口になった例もあります。 (厚生労働省)
だから診療所が最初に確認するのは、
「高価なセキュリティシステムを導入しているか」
ではありません。
自院の外部接続点を把握しているか。
誰がどのアカウントを使っているか分かるか。
バックアップから本当に戻せるか。
電子カルテが止まっても診療を続けられるか。
そして最後に、最も重要な質問です。
「ランサムウェア感染を想定した手順書がありますか？」
「ありません」と答えた医院は、まずそこから始めればよいのです。
このテーマは診療所医療DX診断の診断E・G・Iにつながります。
セキュリティ製品の性能だけを見る診断ではありません。外部接続、アカウント、委託先、バックアップ、初動対応、診療継続までを一つにつなげて確認します。
サイバー攻撃を完全になくすことはできません。しかし、攻撃された瞬間に医院全体まで止まるかどうかは、平時の準備で大きく変わります。
ランサムウェア対策の第一歩は、防壁を高くすることだけではありません。
「もし明日の朝やられたら、誰が何をするか」を決めておくことです。