医療機関のIT環境におけるサイバー攻撃リスクは、患者の安全や機密情報に直結する重大な課題です。この記事では、医療機関のサイバー攻撃リスクを軽減するために重要な5つの対策を紹介します。これらの対策は、医療機関がサイバー攻撃からシステムを守り、運用の継続性とデータの安全性を確保するために必要不可欠です。効果的なセキュリティ戦略を導入することで、医療の信頼性とセキュリティが向上します。
医療分野におけるサイバーセキュリティの課題
新型コロナ感染症のパンデミックの初期段階において、医療分野はサイバーセキュリティの成熟度の大きなギャップに直面し、激動の時期への対応に苦慮しました。患者の急増と新型コロナウイルスへの組織的対応が、医療分野に急速なデジタル化をもたらし、それが業界の脆弱性を浮き彫りにしました。
このデジタル化への移行によって、堅牢なサイバーセキュリティインフラの欠如、脆弱なインシデント対応計画、および病院のIT/OT部門におけるサイバーセキュリティ専門家不足が明らかになりました。
このような欠点と市場価値が高い医療データが相まって、医療機関はハッカーにとって格好の標的となりました。この期間、日本を含む世界中の医療分野で重大なサイバーセキュリティ侵害が相次ぎました。
2021年5月
アイルランドの保健サービス局（HSE）がランサムウェア攻撃を受け、政府によってシステムがシャットダウンされる事態が起こった。
2022年5月
ロシアのハッカーがNATO諸国やウクライナを標的に、イタリアの医療機関を含むウェブサイトにDDoS攻撃を仕掛ける。同月、グリーンランドの医療システムでネットワークがクラッシュし、医療サービスが大幅に制限された。
2022年10月
大阪急性期・総合医療センターがサイバー攻撃によって、電子カルテを含む同院のシステムに障害が発生し、受付や、予定手術を停止せざるを得ない状況に陥った。
2022年6月
米国で、医療分野を含むさまざまな業界を標的としたフィッシングキャンペーンが発生し、Microsoft Office 365とOutlookのアカウントが侵害された。
2022年9月
メキシコ国防省で重大なセキュリティ侵害が発生し、健康情報を含む機密データが漏洩した。
2023年2月
北朝鮮のハッカーグループが各国の医療を含む業界を標的としたスパイ活動を秘密裏に行い、大量のデータを引き出した。
2023年6月
イリノイ州のある病院がランサムウェア攻撃を主な理由として完全に閉鎖される事態に陥った。
2023年7月
テネシー州を拠点とするHCA Healthcareが攻撃を受け、1,100万人以上の患者の個人情報が流出した。
医療におけるOTの役割とサイバーセキュリティの必要性
医療分野では、MRIや人工呼吸器などの診断・治療機器に加え、空調やエレベーターなどの設備においても、運用制御技術（OT: Operational Technology）が重要な役割を果たしています。これらの機器やシステムの効率化は、医療の質やコスト削減に貢献しています。
一方で、医療機関の運用制御技術は、保守業者など外部からのアクセスが多く、脆弱な接続がサイバー攻撃の温床となっています。ITセキュリティは主に患者情報の保護に焦点を当てますが、OTセキュリティでは、物理的な設備や治療機器の継続的な稼働を守ることが求められます。
ITとOTは使用するプロトコルや更新方法も異なるため、双方の特性に合ったセキュリティ対策が必要です。医療現場の安全性と継続性を守るには、IT・OT両面からの包括的なサイバーセキュリティ対策が欠かせません。
医療OTセキュリティの脆弱性とリスク
医療分野では、OT（運用制御技術）におけるサイバーセキュリティの脆弱性が深刻化しています。多くの医療機器やインフラは古いシステムで構成され、暗号化や認証が不十分なまま稼働しており、ITとの連携が進むことでネットワーク分離が困難になり、攻撃対象が拡大しています。
特に外部のサービス業者が保守を担う環境では、広範なアクセス権がサイバー攻撃の足がかりになる恐れがあります。マルウェアはUSBやメール経由で侵入し、ランサムウェア被害によって医療業務や患者の命にまで影響を及ぼす可能性があります。
さらに、コネクテッド医療機器の多くは古いソフトウェアで動作し、リモート接続もセキュリティが不十分です。これによりデータ漏洩だけでなく、医療機器の停止という深刻なリスクも生じます。OTセキュリティの強化は、今や医療機関の最重要課題となっています。
病院ネットワークを守るためのサイバーセキュリティ対策ガイド
「病院ネットワークを守るためのサイバーセキュリティ対策ガイドブック」では、岡山県精神科医療センターの事例など、国内の実被害をもとに、医療現場に必要なセキュリティ対策を網羅。厚生労働省のチェックリストや現場で今すぐ使える緊急対応項目に加え、人的リソースが限られる病院でも実行・継続可能な対策までを体系的に解説します。
医療のサイバーセキュリティ向上のための世界的な規制への取り組み
医療分野では、深刻化するサイバー脅威に対応するため、アクセス制御や不正侵入防止といった対策強化が急務です。とくにOTソリューションを導入する医療機関では、権限管理や機器保護が求められます。国際的にはMITRE ATT&CKやISA/IEC 62443が、欧州NIS2指令や米国HHSの取り組みとともに、安全な医療インフラ構築を支援しています。
日本の「医療情報システムの安全管理に関するガイドライン第6.0版」も物理的・人的保護を重視していますが、OTの視点を含めた包括的対策が重要です。
また、厚生労働省が2025年5月に最新の「医療機関におけるサイバーセキュリティ対策チェックリスト」も発表しています。クラウド利用や外部委託も進む中、信頼できるIT/OTパートナーの選定と、BCP（事業継続計画）やトレーニングの実施が鍵となります。
【徹底解説】医療情報システムの安全管理に関するガイドラインとは？第6.0版の変更点と対策をわかりやすく解説
「医療情報システムの安全管理に関するガイドライン第6.0版」の変更点を解説。ゼロトラスト、クラウド対応、見落としがちな医療機器のサイバーセキュリティ対策まで、今すぐやるべき対策がこの記事でわかります。
医療機関の情報システム担当者必見：厚労省2025年サイバーセキュリティ対策チェックリスト解説
2025年5月、厚生労働省が最新の「医療機関におけるサイバーセキュリティ対策チェックリスト」を公開しました。本記事では、今回の改訂ポイントとその背景を過去のインシデント事例とあわせて解説します。さらにどの対策から着手すべきか、その優先順位づけとサンプルロードマップを提示します。
患者の命を守るためには、OT機器導入時のセキュリティ対策、継続的なアップデート、ユーザー教育といった多層的な対応が求められます。
「医療法施行規則」はどのように日本の医療情報システムのサイバーセキュリティ対策を強化するのか
このホワイトペーパーでは、TXOneが日本の「医療法施行規則」を深く掘り下げ、このガイドラインによって提示された目的と概要を説明します。また、ガイドラインと医療機関がサイバーセキュリティを強化する方法についても解説しています。
医療分野における5つの重要なセキュリティ対策
サイバー脅威が高度化・巧妙化する中で、医療分野では患者の命と情報を守るために、従来のIT対策だけでは不十分になってきました。特に医療IT/OT環境では、以下の5つの柱に基づいた包括的なセキュリティ対策が不可欠です。
1.ガバナンス：システム全体を俯瞰した統治体制の確立
複数ベンダーや外部通信を含む医療IT/OT環境では、各部門や外部委託業者による独自運用がリスクを高めます。
- 接続状況の可視化
- 契約上のセキュリティ要求事項
- 責任の所在の明確化
が求められます。
2.構成管理：システム構成の可視化と健全性維持
医療機器やネットワーク構成を正確に把握し、不正接続や異常通信を防止することが重要です。
- ネットワークセグメントの論理・物理分離
- 通信経路や機器接続の制御
- 不要な機能・サービスの無効化
3.アクセス制御：アカウントと権限の厳格な管理
特権アカウントの侵害がシステム全体に波及するリスクを防ぐため、
- 担当者ごとの権限リスト化
- システム/バックアップでの認証情報分離
- ソフトウェアプロセスやアプリの制御
が重要です。
4.継続的監視とインシデント対応力の強化
IDS/IPSをはじめとしたOT向けソリューションによるリアルタイム監視と、EDRやCPSDR（サイバーフィジカルシステムディテクション&レスポンス）の導入が、ゼロデイ攻撃や異常検知に有効です。
5.強固な事業継続計画（BCP）とバックアップ体制
災害レベルのサイバー攻撃に備え、
- 紙ベース運用や隣接病院との連携
- システム・データ・設定のフルバックアップ
- 異なるハードウェアでも復旧可能な体制構築
が求められます。
【ウェビナー解説記事】医療機関のサイバー攻撃実例から考える医療情報システムのサイバーセキュリティ対策ポイント
本ウェビナーでは令和5年5月に策定された「医療情報システムの安全管理に関するガイドライン第6.0版」の改訂ポイントの解説と実例をもとに、医療情報システムをサイバー攻撃から守り安全に管理するための対策ポイントについて解説します。
TXOneにまずお気軽にご相談ください。
各産業のサイバーセキュリティ課題は常に変化しています。TXOneはお客様のサイバーセキュリティに関する課題について最適なOTセキュリティソリューションが提供できるよう、いつでもお手伝いさせていただきます。お問い合わせ内容を確認後、担当者より迅速にご連絡致しますので、お気軽にお問合わせください。
おすすめ記事
病院ネットワークを守るためのサイバーセキュリティ対策ガイド
「病院ネットワークを守るためのサイバーセキュリティ対策ガイドブック」では、岡山県精神科医療センターの事例など、国内の実被害をもとに、医療現場に必要なセキュリティ対策を網羅。厚生労働省のチェックリストや現場で今すぐ使える緊急対応項目に加え、人的リソースが限られる病院でも実行・継続可能な対策までを体系的に解説します。
【徹底解説】医療情報システムの安全管理に関するガイドラインとは？第6.0版の変更点と対策をわかりやすく解説
「医療情報システムの安全管理に関するガイドライン第6.0版」の変更点を解説。ゼロトラスト、クラウド対応、見落としがちな医療機器のサイバーセキュリティ対策まで、今すぐやるべき対策がこの記事でわかります。
