医療機関を狙うサイバー攻撃は、ランサムウェアやフィッシングにとどまらず、委託先や周辺システムを起点とした侵入、さらに不安をあおる「悪徳業者」の不適切営業まで、複合的なリスクとして顕在化している。診療の継続性と患者情報の保護を両立するには、機器更新や製品導入だけでなく、院内の運用と判断基準を整えることが重要だ。本稿では、医療現場向けの安全講習で扱われた実務的な論点を踏まえ、歯科を含む中小医療機関でも実装できるサイバーセキュリティ対策を、実践手順として整理する。
医療機関が狙われる理由と被害の本質
医療機関は、氏名・住所・保険情報・病歴など高価値の個人情報を大量に保有し、加えて診療停止が直接的な損失につながるため、攻撃者にとって「支払われやすい」標的になりやすい。被害の本質はデータ漏えいだけではない。電子カルテやレセプト、画像管理などが停止すれば、診療制限、予約崩壊、返金対応、信用失墜、復旧費用の増大へ連鎖する。よって対策の目的は、侵入を防ぐことだけでなく、侵入されても止まらない・早く戻せる体制を作ることにある。
まず整えるべき基本：資産の見える化と最小権限
対策の出発点は「何を守るか」を明確にすることだ。院内にあるPC、レセコン、画像端末、受付端末、Wi-Fi機器、NAS、バックアップ装置、ルータ、複合機まで含めて資産台帳を作る。加えて、OSと主要ソフトのバージョン、保守期限、管理者アカウントの有無、外部接続の有無を記録する。ここが曖昧だと、脆弱な端末が放置され、攻撃の足場になる。
次に重要なのがアカウント管理である。共有IDや「受付/1234」のような弱い認証は、侵入後の横展開を容易にする。職種・役割ごとに権限を分け、不要な管理者権限を外す。退職・異動時のアカウント停止、パスワードの再設定も定期運用としてルール化する。
感染経路の主役はメールとWeb：現場での防御設計
多くのインシデントは、フィッシングメールの添付やURLを起点に始まる。現場で効くポイントは「個人の注意」に依存しすぎない仕組み化だ。
具体的には、端末側ではOSとソフトの自動更新を有効化し、ウイルス対策（EDRを含む）を統一運用する。ブラウザやPDF閲覧ソフトの更新遅れは典型的な穴となる。メールについては、怪しい添付ファイルを開けない教育に加え、危険な拡張子のブロック、URLの自動検査、なりすまし対策（送信ドメイン認証の活用）などを、可能な範囲で導入する。
ネットワーク分離とリモート接続の統制
歯科・医科を問わず、画像機器や予約システム、会計端末など多様な機器が同一ネットワークに混在しがちだ。だが、1台が侵害されると全体へ波及する。現実的な対策は「用途別に分ける」ことである。診療系（カルテ・レセコン・画像）、事務系（総務・広報）、来院者向けWi-Fiは、可能なら別セグメントに分け、相互通信を最小限に制限する。
また、ベンダー保守のためのリモート接続は高リスクになりやすい。許可する場合は、接続元・接続時間・作業内容を事前に申請させ、院側の監督下で実施する。常時開放のリモートデスクトップや、共通IDでのVPN運用は避けたい。多要素認証の必須化、接続ログの保存、不要時の遮断が現場の基本となる。
バックアップは「取る」より「戻せる」ことが価値
ランサムウェア対策の要はバックアップだが、取得していても復元できなければ意味がない。ポイントは三つある。第一に、世代管理（複数世代保持）を行い、暗号化済みデータで上書きされないようにする。第二に、オフラインまたは論理的に隔離されたバックアップを用意し、院内感染の影響を受けにくくする。第三に、復元テストを実施し、どの端末を何時間で戻せるかを把握する。ここまでやって初めて、診療継続計画として機能する。
インシデント対応：初動の型を院内で共有する
被害が疑われたとき、現場は混乱しやすい。初動で重要なのは「拡大防止」「証跡保全」「連絡統制」だ。端末の異常（身代金要求、突然の暗号化、管理者権限の奪取が疑われる挙動）を確認したら、当該端末をネットワークから切り離す。むやみに再起動や初期化を行うと証跡が失われ、復旧・調査が難航するため、判断者と手順を事前に決める。
また、患者対応や予約変更などの対外説明は、一本化しなければ情報が錯綜する。院内連絡網、委託先連絡先、保険・法務・広報の窓口を整理し、紙でも保管しておくことが有効だ。災害時のBCPと同様、サイバーのBCPも「紙で動ける」状態を残す。
悪徳業者への対応：不安をあおる提案に流されないために
サイバー被害の報道が増えるほど、「今すぐ対策しないと危険」「補助金で実質無料」など、不安をあおって高額契約へ誘導する営業も出やすい。ここで重要なのは、院内に判断基準を持つことだ。対策は本来、資産・リスク・運用能力に合わせて段階的に設計されるべきで、即決を迫る提案は警戒したい。
具体的な実務対応としては、次を徹底する。
第一に、口頭説明だけで契約しない。提案内容、対象範囲、運用負荷、ログの保管場所、障害時の責任分界、解約条件、費用内訳を文書で求める。第二に、複数社比較を前提にし、相見積もりで単価と作業内容を可視化する。第三に、「診療報酬に影響」「法令で必須」などの断定には根拠の提示を求め、提示できない場合は保留する。第四に、現状調査（スキャン）を無料で行うと言われても、院内ネットワークへの接続や機器情報の提出には慎重を期し、必要なら守秘義務契約と作業範囲の合意を先に行う。
さらに、導入後の運用まで含めた提案かを確認することが肝心だ。高機能な製品でも、アラートを誰が見て、どう判断し、どうベンダーへ連絡するかが決まっていなければ実効性は低い。現場で回る運用設計が伴うかどうかが、良い業者の見分けになる。
中小医療機関でも進められる優先順位
予算と人員に制約がある場合、優先順位は明確にしたい。推奨される順は、(1)資産台帳とアカウント棚卸し、(2)更新とマルウェア対策の統一、(3)バックアップの隔離と復元テスト、(4)ネットワーク分離とリモート接続統制、(5)インシデント初動手順の整備、である。これらは大規模投資がなくても着手でき、被害の確率と影響を現実的に下げられる。
まとめ：製品導入より「診療を止めない設計」へ
医療機関のサイバーセキュリティは、最新ツールを入れることがゴールではない。診療の現場が日々回る中で、侵入を減らし、侵入されても被害を局所化し、早期復旧できる体制を作ることが本質である。加えて、悪徳業者の不適切提案に対しては、判断基準と契約プロセスを院内で標準化し、焦らず比較・検証する姿勢が重要だ。サイバー対策は「一度やって終わり」ではなく、運用として積み上げることで、患者と医療の信頼を守る力になる。