中小病院向け電子カルテのセキュリティは何から？少人数で守る順番

ITトレンドがおすすめする製品・サービス

■障害時の備え別

• バックアップサーバーを標準構成に含む：ウェブカルテⅡ
• サーバー故障などの障害に24時間対応：DS KARTE

■認証・データ保管の方式別

• 二要素認証でログインできる：ウェブカルテⅡ
• 安全対策の適合証明を取得したデータセンターで管理：HOPECloudChartⅡ

中小病院の電子カルテに想定される侵入経路

セキュリティ対策を効率よく進めるには、電子カルテへの攻撃がどのような経路で及ぶ可能性があるかを、まず把握しておきましょう。中小病院の電子カルテで想定される主な経路を3つ紹介します。

VPN装置などリモート保守の接続口

電子カルテや部門システムのベンダーが院外から保守作業を行うために、VPN装置などの接続口を設けている病院があります。この装置の脆弱性が修正されないままだったり、推測されやすいパスワードが使われていたりすると、不正アクセスの入口になるおそれがあります。

国内の病院でも、こうした接続口から侵入されたとみられるランサムウェアの被害が報告されています。接続口が院内に何か所あり、どの事業者が管理しているかを把握することが、対策の第一歩です。

USBメモリなどの外部媒体

検査データの受け渡しや、紹介状に添付された画像の取り込みなどで、USBメモリやCDなどの外部媒体を使う場面があります。外部媒体にマルウェアが含まれていた場合、電子カルテのネットワークに持ち込まれるおそれがあります。

外部媒体を使える端末を限定する、取り込む前にウイルス対策ソフトで検査するといったルールを定めておきましょう。外部媒体の利用を記録しておくと、問題が起きた際の原因の確認にも役立ちます。

事務用パソコンやメールとのつながり

電子カルテと事務用のパソコンが同じネットワークにつながっている構成には注意が必要です。メールの添付ファイルや不正なWebサイトから事務用パソコンが感染した場合に、電子カルテへ被害が広がるおそれがあります。

電子カルテのネットワークとインターネットにつながるネットワークを分け、両者の間の通信を必要なものに限ることが基本です。ネットワークの構成図を作り、どの端末がどちらにつながっているかを確認しておきましょう。

中小病院の電子カルテに関わる法令とガイドライン

医療機関のサイバーセキュリティ対策は、病院の努力目標というだけでなく、法令やガイドラインで求められる取り組みです。中小病院が押さえておきたい3つの位置づけを整理します。

医療法施行規則によるサイバーセキュリティの確保

2023年4月に施行された医療法施行規則の改正により、病院などの管理者は、サイバーセキュリティを確保するために必要な措置を講じることが求められています。規模の大小にかかわらず、中小病院も対象です。

この措置の内容を考える際の拠り所となるのが、厚生労働省の「医療情報システムの安全管理に関するガイドライン」です。経営層を含めて、セキュリティ対策が病院の管理者の責任であることを共有しておきましょう。

安全管理ガイドライン第7.0版の位置づけ

「医療情報システムの安全管理に関するガイドライン」は、2026年6月に第7.0版が公表されました。概説編、経営管理編、企画管理編、システム運用編に加えて、保守を委託する事業者の役割を扱う保守委託機関編が新たに設けられています。

中小病院では、セキュリティ修正の適用やサーバーの管理を保守事業者に委託しているケースがあります。委託している範囲と院内で行う範囲を、新しいガイドラインの内容にそって見直すことが大切です。詳しい内容は厚生労働省の公式情報で確認しましょう。

サイバーセキュリティ対策チェックリスト

厚生労働省は、医療機関が優先して取り組むべき項目をまとめたサイバーセキュリティ対策チェックリストと、その記入方法を説明するマニュアルを公表しています。チェックリストは年度ごとに更新されており、令和8年度版が示されています。

チェックリストは、保健所などによる医療機関への立入検査で確認される資料としても使われています。まずは現在の対応状況をチェックリストで確認し、できていない項目に優先順位をつけて計画に組み込みましょう。

限られた人員で優先する電子カルテの対策

中小病院では、専任の情報担当者がいない中でセキュリティ対策を進めることもあります。侵入を防ぐ対策と、被害を受けた後の回復に直結する対策から、順に取り組んでいきましょう。

アカウントの管理と二要素認証

電子カルテや院内のサーバーにログインするアカウントは、職員ごとに発行し、共用のアカウントは使わないことが基本です。初期設定のままのパスワードや、他のシステムと同じパスワードの使い回しも避けます。

管理者の権限を持つアカウントや、院外から接続するアカウントには、パスワードに加えて別の要素で本人確認を行う二要素認証の導入を検討しましょう。退職者のアカウントが残っていないかを、定期的に確認することも大切です。

脆弱性への対応と保守事業者との分担

VPN装置やサーバー、端末のOSで見つかった脆弱性には、修正プログラムを適用する必要があります。ただし、電子カルテの動作に影響しないかを確認してから適用するため、院内だけで判断するのは難しい場合があります。

どの機器の修正を、誰が、どのくらいの期間内に適用するかを保守事業者と取り決めておきましょう。適用した日付と内容を記録に残すと、チェックリストでの確認や点検の際にも状況を示しやすくなります。

ネットワークから切り離したバックアップ

ランサムウェアは、ネットワークでつながったバックアップまで暗号化してしまう場合があります。そのため、電子カルテのバックアップは、ネットワークから切り離した媒体や、書き換えができない形式で保管することが重要です。

複数の時点のデータを世代として残しておくと、感染前の状態に戻せる可能性が高まります。バックアップから実際にデータを戻せるか、どのくらいの時間がかかるかを、保守事業者と一緒に確かめておきましょう。

被害を受けたときに入院診療を続ける備え

対策を重ねても、被害を完全に防げるとは限りません。中小病院では入院患者がいるため、電子カルテが使えない間も診療を続けられるよう、事前の計画と訓練が欠かせません。

サイバー攻撃を想定したBCPの策定

BCP（事業継続計画）とは、災害や攻撃で業務が止まった際に、重要な業務を続け、早く復旧するための計画です。厚生労働省は、医療機関がサイバー攻撃を想定したBCPを作るための手引きやひな形を公開しています。

BCPには、紙の記録への切り替え手順、優先して続ける診療、外来の受付を制限するかどうかの判断基準などを盛り込みます。病棟ごとに必要な紙の書式を用意し、保管場所を職員に周知しておきましょう。

初動対応の連絡体制

不審な画面が表示された、ファイルが開けなくなったといった異常に気づいた場合に、職員が誰に連絡するかを決めておきます。感染が疑われる端末はネットワークから切り離すなど、最初に取る行動も周知しておくことが大切です。

院内の連絡先に加え、保守事業者、警察、厚生労働省などの関係機関への連絡先を一覧にしておきましょう。夜間や休日に異常が起きた場合の連絡の流れも、あわせて決めておく必要があります。

開示資料と保守接続で見る中小病院向け電子カルテ

電子カルテの導入や更新の際は、製品や事業者のセキュリティへの対応状況も比較の材料です。中小病院が少ない人員で運用できるかという観点から、確認しておきたい項目を紹介します。

事業者のセキュリティ情報の開示

医療情報システムの事業者が、自社製品のセキュリティ対策の状況を示す資料があります。MDS（製造業者による医療情報セキュリティ開示書）やSDS（サービス事業者による医療情報セキュリティ開示書）と呼ばれるものです。

こうした資料を提出できるかを各社に確認すると、ガイドラインへの対応状況を同じ形式で比べやすくなります。資料の内容で分からない点は、院内で判断せずに事業者へ説明を求めましょう。導入後も、製品の更新にあわせて最新の資料を受け取れるかを確認しておくと安心です。

リモート保守の接続方式とログ

リモート保守を受ける場合は、接続の方式と、接続を常に開けておくのか必要な時だけ開けるのかを確認します。保守作業の内容が記録として残り、病院側で確認できるかも重要な確認項目です。

あわせて、電子カルテの操作ログを検索したり出力したりできるかも比べておきましょう。不審な操作の有無を確認する際や、被害の範囲を調べる際に、ログを確認できるかどうかで対応のしやすさが変わります。

セキュリティ面で比べる中小病院向け電子カルテ一覧

認証の仕組みやデータの保管先、障害時の備えを比べやすいよう、この記事で紹介する中小病院向けの電子カルテを一覧にまとめました。

少人数の病院で比べたい中小病院向け電子カルテ

ログイン時の認証やデータの保管先、障害時の対応体制に特徴がある製品を紹介します。事業者の開示資料とあわせて、自院で担う範囲と任せられる範囲を確認してみてください。

Medicom-CKⅡ

ウィーメックス株式会社

資料請求リストに追加

製品詳細ページへ ＞

《Medicom-CKⅡ》のPOINT

1. シンプルで使いやすい操作性。中小規模病院に特化した機能性
2. チーム医療に必要な機能を搭載！環境に合わせた使い方を実現
3. Web型電子カルテなので、離れた場所でも情報共有が可能

まとめ

中小病院向け電子カルテのセキュリティ対策は、リモート保守の接続口や外部媒体、事務用ネットワークといった侵入経路の把握から始まります。そのうえで、アカウント管理と二要素認証、脆弱性への対応、切り離したバックアップから優先して進めることが大切です。ガイドライン第7.0版やチェックリストで現状を確認し、BCPと連絡体制も整えましょう。事業者のセキュリティ情報の開示や保守の接続方式を比べながら、電子カルテを検討してください。