病院・クリニックのセキュリティ対策とは｜おすすめ製品も解説

病院やクリニックでは、電子カルテやレセコンに保存された診療情報を守るサイバーセキュリティ対策と、不審者の侵入や現金・医薬品の盗難を防ぐ物理的な防犯対策の両方が必要です。

近年はランサムウェアによって診療が停止する被害も発生しており、小規模なクリニックでも対策を後回しにはできません。

本記事では、病院・クリニックに必要なセキュリティ対策、発生しやすい被害、導入の流れを解説します。

自動精算機やサイバーセキュリティ、入退室管理、防犯カメラなどのおすすめサービスも紹介するため、院内の安全性を高めたい方は参考にしてください。

病院・クリニックにセキュリティ対策が必要な理由

病院やクリニックは、患者の診療情報だけでなく、現金や医薬品、医療機器なども管理しています。情報漏えいや診療停止、盗難などを防ぎ、患者が安心して受診できる環境を維持するためには、総合的なセキュリティ対策が必要です。

患者の診療情報や要配慮個人情報を取り扱っているため

病院・クリニックでは、患者の氏名や住所、生年月日だけでなく、病歴、検査結果、処方内容、障害の有無など、プライバシー性の高い情報を取り扱います。これらの診療情報は、個人情報保護法上の要配慮個人情報に該当するものが含まれ、不正アクセスや誤送信によって外部へ流出すると、患者に大きな不利益を与えかねません。

医療機関は電子カルテやレセコンのアクセス権限を適切に設定し、情報を閲覧できる職員を必要最小限に制限する必要があります。紙カルテや問診票についても、施錠できる場所で保管し、廃棄するときは内容を復元できない状態にすることが重要です。

サイバー攻撃によって診療業務が停止する可能性があるため

医療機関がランサムウェアなどのサイバー攻撃を受けると、電子カルテや予約システム、医事会計システムが使用できなくなる可能性があります。患者の過去の診療記録や投薬情報を確認できなくなれば、通常どおりの診察や検査、会計を続けることが困難です。

復旧まで新規患者の受け入れを制限したり、救急搬送を断らざるを得なくなったりするケースも考えられます。サイバーセキュリティは単なる情報管理の問題ではなく、患者の安全と医療提供体制を守るための経営課題です。攻撃を完全に防ぐ対策に加え、被害を受けても診療を継続できるバックアップやBCPの整備が求められます。

不審者の侵入や医薬品・医療機器の盗難を防ぐ必要があるため

病院・クリニックには、患者や家族、取引業者など多くの人が出入りするため、部外者を完全に見分けることが難しいという特徴があります。出入口や受付の管理が不十分な場合、不審者が診察室やスタッフルーム、薬品保管庫へ侵入する可能性があります。

また、窓口で保管している現金、向精神薬などの医薬品、小型の医療機器や患者情報が記載された書類も盗難の対象になり得ます。受付や出入口への防犯カメラ設置、職員専用エリアの入退室管理、薬品庫の施錠、非常通報装置の導入などを組み合わせ、施設内で発生する犯罪やトラブルを防ぐことが大切です。

病院・クリニックで発生しやすいセキュリティ被害

医療機関では、外部からのサイバー攻撃だけでなく、職員の操作ミスや端末紛失、不審者による院内トラブルも発生します。想定される被害を把握し、発生を防ぐ対策と、発生後の対応手順をあらかじめ準備しておきましょう。

ランサムウェアによる電子カルテや院内システムの停止

ランサムウェアとは、パソコンやサーバーに保存されたデータを暗号化し、復元と引き換えに金銭を要求する不正プログラムです。医療機関では、VPN機器や外部接続サービスの脆弱性、メールの添付ファイルなどを通じて院内ネットワークへ侵入される可能性があります。

一台の端末から感染が広がると、電子カルテ、レセコン、予約システム、画像管理システムなどが同時に停止するおそれがあります。診療継続に必要なデータは定期的にバックアップし、攻撃者が同時に暗号化できないよう、院内ネットワークから切り離した媒体やクラウドにも保存することが重要です。

フィッシングメールや不正アクセスによる認証情報の窃取

医療機関の職員を狙い、取引先や公的機関を装ったフィッシングメールが送られることがあります。メール本文に記載された偽のログイン画面へIDとパスワードを入力すると、認証情報が攻撃者に盗まれます。同じパスワードを複数のサービスで使い回している場合、メールやクラウドサービス、予約管理システムなどへ連鎖的に不正ログインされる可能性があります。

職員には、不審な添付ファイルやURLを安易に開かないよう教育することが必要です。さらに、パスワードだけではログインできない多要素認証、接続元のIPアドレス制限、端末制限などを導入し、認証情報が漏れた場合にも侵入されにくい仕組みを整えましょう。

職員の誤操作や端末紛失による患者情報の漏えい

患者情報の漏えいは、外部からの攻撃だけでなく、職員によるメールの誤送信、書類の置き忘れ、USBメモリやノートパソコンの紛失などでも発生します。権限を必要以上に広く設定していると、本来閲覧する必要がない職員が患者情報を持ち出せる状態になるため、内部不正のリスクも高まります。

職員ごとにアカウントを発行し、所属部署や担当業務に応じてアクセス権限を設定することが重要です。また、個人所有のUSBメモリやパソコンの使用を禁止し、持ち出しが必要な端末には暗号化や遠隔ロックを設定します。操作履歴を保存し、誰がどの情報へアクセスしたか確認できる環境も整えましょう。

不審者の侵入や患者・来訪者との院内トラブル

病院・クリニックでは、治療内容や待ち時間、会計などをめぐり、患者や来訪者とのトラブルが発生することがあります。職員への暴言や暴力だけでなく、診察室への無断侵入、医薬品の持ち出し、入院患者や乳幼児の連れ去りなども想定しなければなりません。受付や出入口、廊下への防犯カメラ設置は、トラブルの抑止と発生後の事実確認に役立ちます。

職員だけで対応することが難しい事態に備えて、警備会社へ通報できる非常ボタンや機械警備を導入する方法もあります。診察室や薬品庫などは、カードや生体認証を利用した入退室管理によって、入室できる人を制限することが効果的です。

病院・クリニックで実施すべきセキュリティ対策11選

病院・クリニックのセキュリティ対策では、システムと施設の両方を守る必要があります。すべてを一度に導入することが難しい場合は、保有する情報や機器を把握し、診療停止につながるリスクの高い項目から優先的に対策しましょう。

セキュリティ責任者を決めて院内の情報機器を把握する

最初に院内のセキュリティ対策を管理する責任者を決め、使用している情報機器やシステムを一覧化しましょう。電子カルテやレセコンだけでなく、予約システム、オンライン資格確認端末、ルーター、VPN機器、職員用パソコン、タブレット、医療機器なども管理対象です。

機器名、設置場所、OS、担当部署、保守事業者、サポート期限、ネットワークへの接続状況を整理しておくと、脆弱性が発見された際に対応すべき機器をすぐに特定できます。責任者だけに任せきりにせず、経営者、医療従事者、事務職員、保守事業者が情報を共有し、組織として対策を進めることが重要です。

職員ごとにアカウントを発行してアクセス権限を制限する

電子カルテや院内システムのアカウントを複数の職員で共有すると、不正操作や情報漏えいが発生した際に、誰が操作したか特定できません。医師、看護師、受付、会計など、職員一人ひとりに個別のアカウントを発行しましょう。アクセス権限は職種や担当業務に応じて設定し、必要のない患者情報や管理機能を閲覧できないようにします。

異動や退職が発生した場合は、速やかに権限を変更または削除する運用も必要です。管理者権限を日常業務用のアカウントへ付与せず、システム設定を変更するときだけ専用アカウントを使用すれば、誤操作やマルウェアによる被害の拡大を抑えられます。

多要素認証を導入してID・パスワードの不正利用を防ぐ

多要素認証とは、パスワードに加えて、スマートフォンによる承認、生体情報、ICカードなど、異なる要素を組み合わせて本人確認を行う仕組みです。パスワードがフィッシングや情報漏えいによって盗まれても、追加の認証を突破できなければ不正ログインを防げます。電子カルテやクラウドサービス、リモート接続環境など、患者情報へアクセスできる重要なシステムから優先的に導入しましょう。

ただし、認証に使用するスマートフォンやカードを紛失した場合の手続きも決める必要があります。緊急時の診療を妨げないよう、代替認証の方法や一時的な権限付与のルールも用意しておくことが大切です。

UTMやファイアウォールで院内ネットワークを保護する

UTMは、不正アクセスの遮断、ウイルスや迷惑メールの検知、有害サイトへのアクセス制限など、複数のセキュリティ機能をまとめて提供する機器です。インターネットと院内ネットワークの境界に設置することで、外部からの攻撃や端末から発生した不審な通信を検知しやすくなります。

ただし、UTMを設置するだけですべての攻撃を防げるわけではありません。初期設定のまま放置せず、ファームウェアや検知ルールを更新し、アラートが発生したときの確認方法を決めておく必要があります。専任担当者がいないクリニックでは、通信監視や異常発生時の連絡、復旧支援まで含まれるサービスを選ぶと運用しやすいでしょう。

OS・ソフトウェア・ネットワーク機器を最新の状態に保つ

パソコンのOSやソフトウェア、ルーター、VPN機器などに脆弱性が残っていると、攻撃者に侵入経路として悪用される可能性があります。メーカーや保守事業者から更新プログラムが提供された場合は、影響を確認したうえで速やかに適用しましょう。サポートが終了したOSやネットワーク機器は、新たな脆弱性が発見されても修正されないため、計画的な交換が必要です。

医療機器は一般的なパソコンのように自由に更新できない場合があるため、製造販売業者や保守会社へ対応方法を確認します。更新による診療への影響に備え、作業時間や復旧手順を事前に決めておくことも重要です。

ウイルス対策ソフトやEDRを導入して端末を監視する

院内で使用するパソコンやサーバーには、ウイルス対策ソフトを導入し、不正プログラムの侵入や実行を検知できる状態にしましょう。より高度な対策が必要な場合は、端末上の挙動を継続的に監視するEDRの導入も選択肢です。EDRは、通常とは異なるファイル操作や通信を検知し、感染した端末の隔離や原因調査を支援します。

ただし、導入後にアラートを確認する担当者がいなければ、検知した攻撃を見逃す可能性があります。院内に専門人材がいない場合は、セキュリティ事業者が監視や分析、初動対応を行うマネージドサービスを検討するとよいでしょう。

電子カルテ・医療機器・事務端末のネットワークを分離する

院内のすべての機器を同じネットワークへ接続していると、一台のパソコンがマルウェアに感染した際に、電子カルテや医療機器まで被害が広がる可能性があります。電子カルテ、医療機器、受付・事務用端末、職員用Wi-Fi、患者向けフリーWi-Fiなどは、用途に応じてネットワークを分離しましょう。分離したネットワーク間の通信は、業務上必要なものだけに限定します。

特に患者向けWi-Fiから院内システムへアクセスできない設計が必要です。実際の分離方法はシステム構成によって異なるため、電子カルテや医療機器の保守事業者と相談し、診療に影響を与えない構成を検討してください。

USBメモリや外部記録媒体の利用を制限する

USBメモリや外付けハードディスクは便利ですが、マルウェアの持ち込みや患者情報の持ち出しにつながるリスクがあります。原則として個人所有の記録媒体は使用禁止とし、業務上必要な場合だけ院内で管理する媒体を貸し出す運用にしましょう。利用者、使用日時、目的、保存した情報を記録し、使用後はデータを安全に削除します。

患者情報を保存する場合は暗号化し、紛失しても第三者が内容を確認できない状態にすることが必要です。パソコン側の設定によって未許可のUSBメモリを認識させない方法もあります。CDやDVD、SDカード、個人所有のスマートフォンについても、同様に接続ルールを定めましょう。

バックアップを院内システムから切り離して複数保存する

ランサムウェアに備えるには、電子カルテやレセコンなど、診療継続に必要なデータを定期的にバックアップすることが重要です。ただし、バックアップ装置を常に院内ネットワークへ接続していると、本体と同時に暗号化される可能性があります。院内の保存先に加え、取り外し可能な媒体や安全性を確認したクラウドなど、異なる場所へ複数保存しましょう。

バックアップを取得するだけでなく、実際にデータを復元できるか定期的にテストする必要があります。障害発生時にどのデータを優先的に戻すのか、復旧作業を誰が担当するのか、復旧まで紙で診療を続ける方法もBCPに定めておきましょう。

入退室管理・防犯カメラ・非常通報装置を導入する

施設内の安全を守るには、職員専用エリアや薬品庫、サーバールームなどへの入室を制限する必要があります。ICカードや暗証番号、生体認証を利用した入退室管理を導入すれば、鍵の複製や紛失によるリスクを軽減できます。出入口や受付、廊下には防犯カメラを設置し、不審者の侵入や患者とのトラブルを記録できるようにしましょう。

職員へ危害が及ぶ可能性がある場合は、受付や診察室から警備会社へ通報できる非常ボタンも有効です。防犯カメラは撮影目的や保存期間を明確にし、映像を閲覧できる担当者を限定するなど、患者のプライバシーにも配慮してください。

自動精算機や自動釣銭機を導入する

受付で現金を手作業で管理していると、釣銭の渡し間違い、現金の数え間違い、盗難、不正な持ち出しなどが発生する可能性があります。自動精算機や自動釣銭機を導入すれば、投入された現金を機械内で管理でき、職員が直接現金へ触れる機会を減らせます。会計履歴とレジ内の現金を照合しやすくなるため、過不足が発生した場合の原因も確認しやすくなります。

ただし、自動精算機はサイバー攻撃や不審者対策を代替する製品ではありません。電子カルテやレセコンとの接続方法、端末のアクセス権限、機器内の現金回収ルール、防犯カメラの設置などを組み合わせることが重要です。

病院・クリニック向けセキュリティ対策サービスおすすめ9選

病院・クリニック向けのセキュリティサービスには、サイバー攻撃を防ぐ製品、認証を強化するサービス、現金管理を効率化する自動精算機、施設を守る警備・防犯カメラなどがあります。解決したい課題に合わせて選びましょう。

スマレジforMedical｜自動精算機・POSシステム

スマレジは、iPadを利用して会計や売上管理を行えるクラウド型POSレジです。

医療機関向けの運用では、電子カルテやレセコンから患者名や請求金額を取り込み、窓口での金額入力を減らせます。自動釣銭機と連携すれば、職員が現金へ直接触れる機会を減らし、釣銭ミスやレジ内現金の過不足を防ぎやすくなります。

キャッシュレス決済にも対応できるため、院内に保管する現金を減らしたいクリニックにも適しています。ただし、スマレジは会計管理を効率化する製品であり、電子カルテを守るサイバーセキュリティ製品ではありません。UTMや多要素認証、防犯カメラなどと組み合わせて導入しましょう。

価格
要問い合わせ

Clinic KIOSK｜自動精算機・POSシステム

Clinic KIOSKは、クリニックや診療所向けに開発された自動精算機です。

医事会計システムから会計情報を取得し、患者が画面の案内に沿って診療費を支払える環境を構築できます。窓口で職員と患者が現金を受け渡す回数を減らせるため、釣銭ミスや現金の不正な持ち出し、会計ごとの現金露出を抑えたい医療機関に適しています。

受付で会計を行いたい場合は、医事会計データ連動型のClinic POSも選択肢です。導入前には、使用中の電子カルテやレセコンとの連携方法、現金回収時の権限、設置場所の防犯カメラや施錠方法まで確認しましょう。

価格
要問い合わせ

トレンドマイクロ｜ヘルスケア業界・医療機関向けサイバーセキュリティ

トレンドマイクロは、パソコンやサーバー、ネットワーク、クラウドなどを保護する法人向けセキュリティ製品を提供しています。

医療機関向けの情報やソリューションも用意されており、院内に存在する端末の把握、リスク評価、不審な挙動の検知などを組み合わせた対策を検討できます。セキュリティ担当者が常駐していない医療機関では、専門家が攻撃やインシデントを監視するMDRなども選択肢です。

一方で、必要な製品は院内ネットワークの規模やクラウド利用状況によって異なります。電子カルテや医療機器への影響を確認し、販売会社や保守事業者と相談しながら構成を決めましょう。

価格
要問い合わせ（導入規模・ライセンス数により変動） 

キヤノンITSメディカル｜病院向けトータルセキュリティソリューション

キヤノンITSメディカルは、病院向け電子カルテをはじめ、医療情報システムの導入や保守を手掛ける事業者です。

病院向けトータルセキュリティソリューションでは、医療機関が抱える課題や既存のシステム構成を確認し、必要な製品や運用方法を組み合わせて提案します。複数メーカーの電子カルテや部門システム、ネットワーク機器が混在する病院では、個別の製品を導入するだけでなく、施設全体の構成を整理できる点がメリットです。

ただし、必要な機能や費用は病院の規模によって異なります。小規模クリニックの場合は、対象施設や対応範囲を確認したうえで相談しましょう。

価格
要問い合わせ

NTT東日本｜おまかせサイバーみまもりセキュリティパッケージ

おまかせサイバーみまもりは、UTMによる通信の検査と、ネットワークの監視、ウイルス感染時の駆除・復旧支援を組み合わせたサービスです。

パソコンやスマートフォンが100台以下の事業所向けとされており、専任の情報システム担当者を配置することが難しいクリニックでも検討しやすいでしょう。不正な通信が検知された場合にサポートデスクから連絡を受けられるほか、不審なメールを開いたときなどの相談にも対応しています。

ただし、電子カルテや医療機器の動作保証を行うサービスとは限りません。院内システムの保守事業者と連携し、導入可能な構成を確認する必要があります。

価格
20,350円～／月（Standardプラン） 

GMOトラスト・ログイン｜医療機関認証強化プラン

GMOトラスト・ログインの医療機関認証強化プランは、病院、診療所、薬局などを対象としたID管理・認証サービスです。

シングルサインオン、多要素認証、IPアクセス制限などを利用し、クラウドサービスへの不正ログインを防ぎます。職員の入職や退職に合わせて利用できるサービスを一元的に管理しやすく、使用されていないアカウントの放置防止にも役立ちます。

また、漏えいしたパスワードのリストと照合し、危険性を管理者へ知らせる機能も提供されています。導入前には、電子カルテや予約システムなど、院内で使用しているサービスが連携対象か確認しましょう。

価格
550円～／ID・月 

ALSOK｜病院・クリニック向けセキュリティ

ALSOKは、病院・クリニック向けに機械警備、防犯カメラ、入退室管理、非常通報などを提供しています。

不審者の侵入や院内暴力、乳幼児の連れ去り、医薬品や現金の盗難など、医療施設特有のリスクを踏まえた警備診断を依頼できます。センサーが異常を検知したときにガードセンターへ通報し、必要に応じて警備員が駆けつける体制を構築できる点も特徴です。

受付、診察室、薬品庫、職員用出入口など、場所ごとにリスクが異なるため、施設全体を同じ設備で守るのではなく、重要度に合わせてカメラや入退室管理、非常ボタンを配置しましょう。

価格
要問い合わせ

セコム｜病院・クリニック・薬局向けセキュリティ

セコムは、病院・クリニック・薬局向けに、機械警備、監視カメラ、入退室管理、非常通報などのサービスを提供しています。

不審者や暴漢への対策だけでなく、薬品庫への入室制限、患者情報の保管、夜間の侵入防止など、施設内のリスクに合わせて対策を組み合わせられます。社員証や生体認証を使用した入退室管理を導入すれば、鍵の貸し借りを減らし、誰が重要エリアへ入ったか記録できます。

また、監視カメラと入退室管理を連動させることで、異常発生時の状況を確認しやすくなります。導入時には警備範囲と駆けつけ条件、映像の保存期間も確認しましょう。

価格
要問い合わせ

Safie｜クリニック向けクラウド防犯カメラ

Safieは、防犯カメラの映像をクラウドへ録画し、パソコンやスマートフォンから確認できるサービスです。

クリニックでは、受付での金銭トラブル、不審者の侵入、患者同士や職員とのトラブルが発生した際の事実確認に活用できます。院内に録画機器を設置しない構成であれば、録画機器そのものを盗難・破壊されるリスクも抑えられます。

ただし、診察室や処置室など、患者の身体や診療内容が映る場所への設置は慎重な判断が必要です。撮影目的を明確にし、必要な場所だけを撮影するとともに、映像を閲覧できる担当者や保存期間を定めましょう。

価格
1,320円～／カメラ・月（クラウド録画利用時の目安。機器代別）

病院・クリニック向けセキュリティサービスの選び方

セキュリティサービスは、知名度や料金だけで選ぶのではなく、現在抱えているリスクに合うか確認することが重要です。既存システムへの影響や導入後の運用、障害発生時の支援まで比較して選びましょう。

サイバー対策と施設の防犯対策のどちらが必要か整理する

まずは、院内で優先的に解決すべきリスクを整理しましょう。電子カルテやレセコンへの攻撃が不安な場合は、UTM、ウイルス対策、EDR、多要素認証、バックアップなどのサイバー対策が必要です。不審者、盗難、職員への暴力が課題であれば、防犯カメラ、入退室管理、非常通報、機械警備を優先します。

現金管理のミスや不正を防ぎたい場合は、自動精算機や自動釣銭機が適しています。ただし、一つの製品ですべてのリスクを解決することはできません。情報、施設、現金、人の安全という複数の観点から現状を確認し、必要なサービスを組み合わせましょう。

医療機関への導入実績とガイドラインへの対応状況を確認する

医療機関では、一般企業と異なるシステムや運用が採用されているため、病院・クリニックへの導入経験がある事業者を選ぶことが重要です。厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年6月に第7.0版が公表されています。サービスを比較するときは、最新ガイドラインの内容を踏まえた提案を受けられるか確認しましょう。

ただし、製品を導入するだけでガイドラインへの対応が完了するわけではありません。院内の規程、職員教育、バックアップ、委託事業者との責任分界など、運用面を含めた支援を受けられるか確認する必要があります。

電子カルテ・レセコン・医療機器と併用できるか確認する

新しいセキュリティ製品や自動精算機を導入するときは、既存の電子カルテ、レセコン、予約システム、医療機器への影響を確認しましょう。セキュリティソフトやネットワーク設定を変更したことで、医療機器との通信が遮断されたり、電子カルテの動作が遅くなったりする可能性があります。

自動精算機の場合は、レセコンから会計情報を取得する方法や、患者を識別する方法も製品ごとに異なります。導入前にシステム名やバージョンを事業者へ伝え、動作確認や連携実績の有無を確認してください。電子カルテ事業者、セキュリティ事業者、院内担当者の責任範囲も明確にしましょう。

導入費用だけでなく監視・復旧・保守サポートまで比較する

セキュリティサービスの費用を比較するときは、機器代や初期設定費用だけでなく、月額利用料、監視費用、保守費用、更新費用まで確認しましょう。サイバー攻撃を検知した場合に連絡を受けられるか、感染した端末の隔離や復旧を支援してもらえるかも重要です。

防犯サービスでは、異常発生時に警備員が駆けつける条件、対応時間、追加料金を確認します。自動精算機は、紙幣詰まりや通信障害が起きた場合の連絡先、訪問修理までの時間、代替運用の方法を確認しておきましょう。料金が安くても、障害発生後の対応が限定されている場合は診療停止が長引く可能性があります。

病院・クリニックがセキュリティ対策を導入する流れ

セキュリティ対策は、製品を選ぶ前に院内のリスクを把握することが重要です。情報資産や施設の状況を整理し、優先順位を決めて導入した後も、職員教育や定期点検を継続しましょう。

サイバー攻撃や情報漏えいが発生した場合の対応

被害が疑われる場合は、職員だけで原因を調べようとせず、院内の責任者やシステム事業者へ速やかに連絡します。被害の拡大を防ぎながら証拠を保全し、診療継続とシステム復旧を並行して進めましょう。

感染が疑われる端末やネットワークを速やかに切り離す

ランサムウェア感染や不正アクセスが疑われる場合は、被害端末を院内ネットワークから速やかに切り離します。有線LANを外す、Wi-Fiを無効にするなど、ほかの端末やサーバーへの感染拡大を防ぐ措置を行いましょう。

ただし、原因調査に必要な情報が失われる可能性があるため、自己判断で端末を初期化したり、ファイルを削除したりしないことが重要です。電子カルテや医療機器の停止が患者の安全へ影響する場合は、担当医やシステム事業者と連携して対応します。院内で事前に決めた連絡網を使用し、経営者、セキュリティ責任者、保守事業者へ状況を共有してください。

システム事業者・保守会社・関係機関へ連絡して証拠を保全する

被害端末を隔離した後は、電子カルテやネットワーク機器の保守事業者、契約しているセキュリティ会社へ連絡します。画面に表示された内容、異常が始まった時間、直前に行った操作、不審なメールの有無などを記録してください。

ログやメール、端末を保存し、原因調査に必要な証拠を不用意に消さないようにします。医療情報システムに障害が発生し、個人情報の漏えいや医療提供体制への支障が生じた場合などは、厚生労働省をはじめとする関係機関への報告が必要になる可能性があります。個人情報保護委員会への報告や本人通知の要否についても、専門家へ確認しましょう。

バックアップから復旧して原因調査と再発防止策を実施する

感染範囲と原因を確認し、安全性を確保した後でバックアップからデータを復旧します。感染前の状態へ戻すだけでは、侵入経路が残っている可能性があるため、脆弱性の修正、パスワードの変更、アカウントの停止、ネットワーク設定の見直しを行いましょう。

バックアップ自体にマルウェアが含まれていないことも確認する必要があります。復旧後は、なぜ攻撃を防げなかったのか、検知や報告に時間がかかった原因は何かを調査し、再発防止策を作成します。対応記録を残し、運用ルールやBCP、職員研修へ反映することで、次回の被害を抑えられる体制を整えましょう。 

病院・クリニックのセキュリティ対策に関するよくある質問

病院・クリニックのセキュリティ対策については、法律上の位置づけや、小規模施設で実施すべき対策などに疑問を持つ方も多いでしょう。ここでは、導入前によくある質問へ回答します。

病院・クリニックのサイバーセキュリティ対策は義務ですか？

病院、診療所、助産所の管理者には、サイバーセキュリティを確保するために必要な措置を講じることが求められています。2023年4月1日に施行された改正医療法施行規則では、管理者が遵守すべき事項としてサイバーセキュリティの確保が追加されました。具体的には、厚生労働省の最新ガイドラインを参照し、院内の体制やシステム構成に応じた対策を行う必要があります。

ただし、特定メーカーの製品を導入することが一律に義務付けられているわけではありません。責任者の設置、機器の把握、アカウント管理、バックアップ、緊急連絡体制などを整備し、対策状況を説明できる状態にすることが重要です。

小規模クリニックが最低限実施すべき対策は何ですか？

小規模クリニックでは、まずセキュリティ責任者を決め、院内のパソコン、電子カルテ、レセコン、ルーターなどを一覧化しましょう。職員ごとのアカウント発行、不要なアカウントの削除、推測されにくいパスワード、多要素認証、OSや機器の更新も重要です。また、診療データを定期的にバックアップし、院内ネットワークから切り離した場所にも保存します。

不審なメールを開いた場合やシステムが停止した場合の連絡先を紙でも保管してください。まず厚生労働省のサイバーセキュリティ対策チェックリストを確認し、「いいえ」となっている項目から優先的に改善すると進めやすいでしょう。

クラウド型電子カルテを導入すればセキュリティ対策は不要ですか？

クラウド型電子カルテを導入しても、医療機関側のセキュリティ対策は必要です。クラウド事業者がサーバーやデータセンターを保護していても、院内パソコンのマルウェア感染、職員のパスワード漏えい、誤操作、不適切なアクセス権限までは完全に防げません。医療機関は、多要素認証、職員ごとのアカウント管理、端末の更新、ウイルス対策、退職者アカウントの削除などを行う必要があります。

また、障害や通信断が発生した場合に診療を続けられるよう、閲覧可能なバックアップや紙運用の手順も準備しましょう。事業者と医療機関のどちらが何を管理するか、契約時に責任分界を確認することが重要です。

病院・クリニックに防犯カメラを設置する際の注意点はありますか？

防犯カメラを設置する際は、撮影目的と撮影範囲を明確にする必要があります。出入口、受付、待合室、廊下などは防犯やトラブル確認に役立ちますが、診察室、処置室、更衣室など、患者の身体や診療内容が映る場所への設置は慎重に判断しなければなりません。

カメラを設置していることを院内掲示などで知らせ、映像を閲覧できる職員を限定しましょう。保存期間を必要以上に長くせず、期間終了後は適切に削除します。クラウド型カメラを利用する場合は、通信の暗号化、アカウントの多要素認証、事業者の管理体制も確認し、映像の不正閲覧や漏えいを防いでください。

 

レジの導入ならレジコンシェルジュへ！

これからレジの導入をお考えの方は、レジコンシェルジュへご相談ください。

レジコンシェルジュでは、複数メーカーへの一括資料請求やお見積もりなどについて完全無料で行っております。

どの製品を選べば良いか分からない方も、以下のリンクよりご相談いただければすぐさまぴったりのサービスが見つかります。

まずはお気軽にご相談ください。