病院ランサムウェア攻撃と診療停止リスク

医療機関を狙ったランサムウェア攻撃が、世界的にも国内でも増加しています。電子カルテが暗号化されれば診療が即座に止まり、救急患者の受け入れができなくなる、手術の延期を余儀なくされるなど、人命に直結する業務影響が発生します。攻撃者の側から見れば、病院は「身代金を払ってでも復旧したい」という強い動機を持っているため、業種の中でも標的としての優先度が高い存在です。

国内のある中規模病院がランサムウェアに遭って電子カルテが全て見えなくなった事例があります。この病院ではサイバー保険に加入し、初動対応のマニュアルも事前に整備していたため、比較的早期に復旧でき、人命に関わる事態にはなりませんでした。海外ではイランのハッカー集団Handalaを名乗る攻撃者がアメリカの医療機器大手Stryker（ストライカー）を標的にした事件も報じられています。同グループは「約50テラバイトのデータを窃取し、79カ国のオフィスを閉鎖に追い込んだ」と主張していますが、報道によれば実態はデータを窃取する攻撃ではなく破壊（消去）する「ワイパー型」攻撃であり、被害規模の数値は攻撃者側の主張にとどまります（CNN報道）。地政学的な動機を背景にした攻撃が、サプライチェーン経由で医療業界に波及する時代に入っています。

病院は運営が止まると人の命に関わるため、身代金を払ってしまう可能性が高い業種です。攻撃者にとっては成功確率が高い標的であり、業種特有のリスクとして対策の優先度を上げる必要があります

この記事では、サイバーリスクの法人コンサルティングを担当する平涼太へのインタビューをもとに、病院がランサムウェア攻撃を受けた際の被害像、国内の中規模病院での事例から学べる教訓、医療機関向けサイバー保険の活用ポイントを解説します。事務長・院長・情報システム責任者が、自院の体制を点検する際の指針として活用いただける構成にしています。

病院がランサムウェア攻撃の標的になりやすい構造

医療機関がサイバー攻撃の標的として選ばれやすい背景には、業種特有の事情があります。攻撃者の意思決定プロセスを推測すると、「身代金支払いの可能性が高い」「診療停止の社会的圧力が強い」「IT人材が他業種より少ない」という3点が、病院を狙う動機になっていると考えられます。

特に大きいのが「身代金支払いの可能性が高い」という点です。病院は診療が止まると、外来・入院・救急の各業務に影響が及び、患者の生命に関わるリスクが目に見える形で発生します。経営判断として「払ってでも復旧する」という意思決定に向かいやすい構造があり、攻撃者から見れば成功確率が高い標的になります。

加えて、医療機関は患者の個人情報・診療データという質の高い情報資産を保有しています。氏名・住所・社会保障番号・病歴の組み合わせは、フィッシング詐欺や医療詐欺で悪用される可能性が高く、暗号化による身代金要求と並行して情報を盗み出して二重の脅迫を行う「二重恐喝型」の攻撃も増えています。攻撃者にとって、暗号化と情報窃取の両面で利益を得られる業種は限られており、医療業界はそのなかでも代表的な存在です。

世界的に見ると、イランのハッカー集団Handalaを名乗る攻撃者がアメリカの医療機器大手Stryker（ストライカー）を標的にした事案も報じられています。同グループは政治的報復目的で「約50テラバイトのデータを窃取し、79カ国のオフィスを閉鎖に追い込んだ」と主張していますが、実態はデータを破壊する「ワイパー型」攻撃とされ、被害規模の数値は攻撃者側の主張にとどまります（CNN報道）。地政学的な動機を背景にした攻撃が、医療業界に波及する時代に入っており、国家支援型の攻撃の影響を中小医療機関も間接的に受ける構図が生まれつつあります。

電子カルテが止まると診療現場で何が起きるのか

ランサムウェアによる被害の典型は「電子カルテシステムの暗号化」です。電子カルテが使えなくなると、現場では即座にいくつもの業務影響が発生します。具体的にどのような流れで業務が停止するのかを把握しておくことで、平時の備えの優先度を判断しやすくなります。

電子カルテ停止時に発生する主な業務影響は次のとおりです。

• 外来診療: 過去の診療履歴・処方歴を参照できず、新規問診からの診療になる
• 入院管理: 病床管理・申し送り・看護記録のシステムが連動して停止する
• 救急: 救急患者の受け入れ判断が困難になり、近隣病院への搬送依頼が必要になる
• 検査: 検査オーダーや結果参照がオフライン運用になり、検査時間が大幅に伸びる
• 会計: 診療報酬の計算・請求業務が紙運用になり、レセプト処理が遅れる

電子カルテが止まった病院では、紙運用への切り替えが行われます。ただし、長期間にわたって電子カルテで管理してきた病院ほど、紙のフォーマットや手書きの運用ノウハウが現場から失われており、いざ切り替えると記録の抜け漏れや判読困難な記載が増えやすいといわれています。職員教育の観点からも、定期的に紙運用の訓練をしておくことが、有事の対応力を維持する上で重要になります。

検査機器との連携も大きな課題になります。CT・MRI・超音波・血液検査などの機器は電子カルテと連携してオーダーや結果を管理しているため、システム停止時には検査結果の紙出力・手動転記が必要になります。検査の優先度判定も電子カルテに依存している病院では、優先度を電話やホワイトボードで管理する原始的な運用に戻ることになります。

会計業務への影響も無視できません。診療報酬請求はレセプトコンピュータ（ORCA等）やオンライン請求システムと連動しており、電子カルテ停止が続けば請求業務全体が滞ります。診療報酬は月次の請求サイクルで支払われる仕組みのため、復旧が長引けばキャッシュフローへの影響も発生します。

業務領域	即時影響	復旧後の継続課題
外来・入院診療	紙運用への切り替え、診療数制限	紙記録のシステム再入力
検査・画像	結果の手動転記	機器連携の再構築
会計・レセプト	請求業務の停滞	請求漏れの確認・査定対応

国内の中規模病院事例から学べる早期復旧のポイント

国内のランサムウェア被害で参考になるのが、国内の中規模病院での事例です。電子カルテが暗号化された状況からどのように立て直したのか、平時にどんな準備をしていたのかを整理すると、医療機関の備えの方向性が見えてきます。

事例から抽出できる平時の備えのポイントは次のとおりです。

• サイバー保険への加入と、付帯する事故対応サービスの活用準備
• インシデント対応マニュアルの整備と、責任者・連絡網の明確化
• バックアップの取得方針と、ネットワーク分離による保全
• 職員のセキュリティ教育と、定期的な訓練

サイバー保険には、保険金の支払い機能だけでなく、有事の事故対応サービスが付帯している商品が多くあります。フォレンジック調査、セキュリティコンサルタントの派遣、広報対応支援、被害者通知のコールセンター開設など、医療機関が単独で確保するのが難しい専門リソースを、保険会社経由で迅速に動員できる仕組みです。前述の中規模病院でも、こうした事故対応サービスが復旧スピードに寄与したと考えられます。

インシデント対応マニュアルの整備は、平時に時間をかけて作っておく価値があります。攻撃を受けた直後の混乱した状況では、誰が何をするのかを即座に判断するのが難しいため、フローチャート化された手順書が役に立ちます。最低限、次のような項目を網羅したマニュアルが望まれます。

• 異常検知時の初動連絡フロー（IT責任者・事務長・院長・サイバー保険会社）
• 感染拡大防止のためのネットワーク隔離手順
• 患者・職員への情報共有のタイミングと内容
• 紙運用への切り替え判断基準と、職員配置の変更
• 報道対応・近隣医療機関への連絡フロー

加えて、被害を受けた中規模病院の院長先生はその後、サイバー対策の重要性を各地で講演されています。被害を経験した医療機関の発信は、同業者にとって貴重な知見であり、業界全体のリテラシー底上げに貢献します。同様に、被害事例の共有を業界団体や近隣医療機関と進めることで、地域医療全体の防御力を高められる側面もあります。

医療機関向けサイバー保険の活用ポイント

サイバー保険は一般企業向けと医療機関向けで、補償範囲や引受条件に違いがある場合があります。医療機関の業務特性に合わせた補償設計を選ぶことで、有事の対応スピードと経済的損失の双方を抑えやすくなります。

医療機関向けにサイバー保険を検討する際の主な確認ポイントは次のとおりです。

• 診療停止に伴う収益損失（事業中断補償）の対象範囲と支払い限度額
• 電子カルテ・医療システムのフォレンジック調査費用の補償可否
• 患者への通知費用、コールセンター開設費用の補償有無
• 関連法令対応費用（個人情報保護法、医療情報システム関連ガイドライン等）
• 医療機器メーカー経由でのサプライチェーン攻撃の取扱い

サイバー保険の補償内容で特に医療機関にとって重要なのが、事業中断（診療停止）に伴う収益損失の補償です。一般的な企業の事業中断補償と比べて、医療機関の場合は診療報酬の支払いサイクルや、患者の他院転送による減収などを正確に把握する必要があり、商品設計の細かさが補償の実効性に影響します。

医療機関固有の論点として、医療情報システムガイドライン（厚生労働省）や、個人情報保護法（要配慮個人情報の取扱い）への対応費用が補償対象に含まれるかを確認しておく必要があります。情報漏洩が発生した場合、医療機関には特に厳格な対応が求められるため、関連法令対応費用が補償対象に含まれている保険商品を選ぶと、有事の自己負担を抑えやすくなります。

加えて、医療機器メーカー経由のサプライチェーン攻撃への対応も論点になります。医療機関単体ではなく、システムベンダーや機器メーカーが感染した影響を受けるケースもあるため、サプライチェーン由来のリスクを保険商品でどこまでカバーできるかを事前に確認しておくと安心です。

中小医療機関がいま着手すべきサイバー対策

大病院と比べて、中小規模の医療機関やクリニックでは、専任のIT部門を置く余裕がなく、セキュリティ対策が後手に回りがちです。それでも、限られたリソースの中で取り組める対策はあり、優先順位を整理して着手することで、現実的なレベルまで防御力を高められます。

中小医療機関が優先的に着手したい対策は次のとおりです。

• 電子カルテ・診療データのバックアップを物理隔離した状態で定期取得する
• バックアップが暗号化攻撃の影響を受けないよう、ネットワーク分離やオフライン保管を行う
• 多要素認証（MFA）を電子カルテ・グループウェア・遠隔操作用アカウントに導入する
• 職員のフィッシング対策教育を年1回以上実施する
• インシデント対応の連絡網と初動マニュアルを準備する

バックアップの物理隔離は、ランサムウェア対策の中でも実効性が高い施策の一つです。ネットワーク接続されたバックアップは、感染源と一緒に暗号化されてしまう可能性があるため、外付けディスクや別環境のクラウドストレージなど、ネットワーク経路が分離された保管先を併用する運用が有効です。1日1回の差分バックアップと週1回のフルバックアップを物理隔離した媒体で取得しておくと、攻撃を受けても直近のデータから復旧できる確率が高まります。

職員教育も中小医療機関にとって優先度の高い投資です。ランサムウェアの侵入経路の多くはフィッシングメールや不審な添付ファイルであり、職員の判断ミスを起点に感染が広がるパターンが多くあります。年1回でも全職員向けにフィッシングメールの見分け方や、不審な事象の通報窓口を周知することで、感染の入口を減らせます。限られたリソースで優先すべき対策の考え方は中小企業が今すぐやるべきランサムウェア対策5選も参考になります。

加えて、外部委託先・医療システムベンダーとのやり取りで使うアカウントの管理も重要です。電子カルテのリモート保守用アカウントが侵入経路になるケースもあるため、ベンダー側のアクセス権限・利用ログ・パスワード変更頻度を契約条件に明記しておくと、サプライチェーン経由のリスクを抑えやすくなります。サプライチェーン全般のリスク管理はサイバー保険における取引先評価のポイントも参考になります。

サイバー攻撃を受けた直後にやるべき初動対応

実際にランサムウェアの被害に気付いた瞬間から、初動の数時間で取るべき判断が、その後の復旧スピードと被害規模を大きく左右します。混乱の中でも判断を誤らないためには、平時に流れを整理しておくことが大切です。

初動対応の基本的な流れは次のようになります。

• 異常検知（職員からの報告、システムアラートなど）
• 該当端末・サーバーのネットワーク隔離
• 院内連絡網による幹部への報告と緊急体制の立ち上げ
• サイバー保険会社・取引先ITベンダーへの連絡
• 感染範囲の特定と、診療継続可否の判断
• 外部公表・患者通知の判断と準備
• 警察・関連省庁への報告

ランサムウェア被害時に陥りがちなNG行動も把握しておきたいところです。慌てて感染端末を再起動したり、ファイルを削除したりすると、調査の手がかりが失われ、原因特定や被害範囲の確認が困難になります。同様に、感染端末をネットワークから切断する前にバックアップ取得や調査を試みると、感染がさらに広がるリスクがあります。

状況	やるべきこと	避けるべきこと
異常検知	端末のネットワーク隔離	慌てて再起動・電源断
感染確認	サイバー保険会社へ連絡	自己判断での復旧操作
復旧開始	専門家の指示に基づく対応	身代金の即時支払い判断

サイバー保険に付帯する事故対応サービスの中身はサイバー保険のインシデント対応サービスを徹底解説で詳しく紹介しています。

公的機関への報告も重要なステップです。個人情報の漏洩が発生した場合、個人情報保護委員会への報告と本人通知が法律上求められる場合があります。医療機関の場合は要配慮個人情報の取扱いとなるため、より厳格な対応が必要です。サイバー保険の事故対応サービスには、こうした公的機関対応のサポートが含まれているケースが多く、有事の負担軽減に役立ちます。

加えて、地域医療への影響を抑えるためにも、近隣の医療機関との連携が重要になります。診療制限を行わざるを得ない場合、患者を受け入れてもらう先の確保や、救急受入の調整が必要です。平時から近隣医療機関と連携の枠組みを作っておくと、有事の調整負担を軽減できます。

医療業界に求められるサイバーセキュリティ投資のバランス

医療機関の経営において、サイバーセキュリティへの投資は人件費・医療機器更新・建物維持と並ぶ経常コストとして位置付ける必要が出てきています。診療継続性を脅かすリスクが現実化している以上、「予算の余裕で取り組む追加投資」ではなく「経営の必須コスト」として組み込む段階に入っています。

セキュリティ投資の主な選択肢は次のように整理できます。

• 内製セキュリティ人材の採用・育成
• 外部のセキュリティ監視サービス（MSS、SOC）への委託
• セキュリティベンダー製品（EDR、メールフィルタリング等）の導入
• サイバー保険による事故対応サービスの確保
• 医療情報システムベンダー側でのセキュリティ強化要請

サイバー保険の保険料は、自院のセキュリティ対策レベルに応じて変動する傾向があります。多要素認証の導入、定期的なバックアップ、職員教育の実施、インシデント対応マニュアルの整備など、平時の対策が進んでいる医療機関ほど、保険料が抑えられたり、補償条件が好ましくなったりするケースがあります。投資と保険を組み合わせて全体コストを最適化する視点が重要です。

医療情報を扱う情報システムの安全管理に関するガイドラインでは、医療情報の機密性・完全性・可用性を確保するための具体的な対策が示されており、ランサムウェア対策やバックアップ運用に関する規定も含まれています。

医療情報システムの安全管理に関するガイドライン 第6.0版（厚生労働省）

医療情報システムの安全管理に関するガイドラインは、医療機関に求められるセキュリティ対策の考え方を示す公的指針です。ランサムウェア対策やバックアップ運用を含む内容が網羅されており、自院の対策レベルを評価する基準として活用できます。サイバー保険を検討する際にも、ガイドライン準拠状況を整理しておくことで、引受審査がスムーズに進みやすくなります。

医療機関のIT統制で見落とされがちな盲点

医療機関のサイバー対策で、現場で見落とされやすい盲点がいくつかあります。基本的な対策は進めていても、ここに穴があると一気に被害が広がるため、改めて点検しておきたいポイントです。

見落とされやすい盲点として、次のような項目が挙げられます。

• 委託先の清掃業者・常駐ベンダーが使う共用端末・USB機器の管理
• 退職者の電子カルテ・グループウェアアカウントの停止漏れ
• 院内ネットワークと医療機器ネットワークの分離不足
• 職員のスマホ・タブレットからの院内システムアクセス管理
• 医療機関向け遠隔操作ツール（RMM）の不正利用リスク

退職者のアカウント管理は医療業界でも重要な論点です。看護師・医師の入退職が頻繁な医療機関ほど、電子カルテ・グループウェア・遠隔操作ツールのアカウントが残ったままになる傾向があります。退職者アカウントの放置リスクは退職者アカウント放置のサイバーリスクでも解説していますので、合わせて確認しておくと役立ちます。

医療機器ネットワークの分離も見落とされがちです。近年の医療機器はネットワーク接続が前提となっており、CT・MRI・人工呼吸器・輸液ポンプなどがLANに接続された状態で運用されています。これらの機器が院内の業務系ネットワークと同じセグメントに置かれていると、業務系の感染が医療機器に波及する可能性があります。医療機器メーカーや情報システムベンダーと相談しながら、ネットワークセグメンテーションを進めることが大切です。

加えて、職員が私物のスマホ・タブレットから院内システムにアクセスする運用（BYOD）にもリスクがあります。私物端末は院内のセキュリティポリシーが適用されていないことが多く、感染しているデバイスからログインされるとシステム全体に影響が及ぶ可能性があります。BYODを許容する場合は、MDMでの管理や認証強化、業務専用領域の隔離などをセットで設計することが望ましいです。

院内体制を継続的に強化するための運用設計

医療機関のサイバーセキュリティは、一度整備すれば終わりではなく、継続的な運用が前提となる領域です。職員の入れ替わり、新しいシステムの導入、新たな攻撃手法の登場に応じて、体制を更新していく必要があります。継続運用を実現するには、責任者・運用ルール・定期点検の3点を整備することが鍵になります。

継続運用のための主な要素は次のとおりです。

• セキュリティ責任者（CISO相当）の任命と、経営層との定期コミュニケーション
• 月次・四半期・年次の点検サイクルの設計
• 新規システム導入時のセキュリティ審査プロセスの整備
• インシデント対応訓練の年次実施
• 業界団体・近隣医療機関とのリスク情報の共有

定期点検サイクルとしては、毎月のバックアップ取得状況の確認、四半期ごとのアカウント棚卸し、年次のインシデント対応訓練が一般的な目安になります。点検サイクルを業務カレンダーに組み込んでおくことで、運用が形骸化しにくくなります。

加えて、医療業界団体（日本医師会、地域医師会、病院団体など）が提供する情報を活用することも有効です。最新の攻撃手法、業界向けのインシデント事例、推奨される対策などが共有される機会があり、これらをキャッチアップする仕組みを院内に作っておくと、対策の優先度判断に役立ちます。

サイバー攻撃のリスク管理は、医療機関のBCP（事業継続計画）の中で重要な位置を占めるようになっています。地震・台風などの自然災害と並べて、サイバー攻撃を想定した事業継続シナリオを準備し、診療継続のための代替手段や、関係機関との連携プロトコルを整備しておくことが大切です。BCPの観点からのサイバー対策はBCPにサイバー攻撃を組み込む考え方でも解説しています。

よくある質問