大阪急性期・総合医療センターのランサムウェア被害から学ぶ医療DXのサイバー対策
大阪急性期・総合医療センターのランサムウェア被害は、医療DXでは自院のシステムだけでなく、委託先、保守経路、VPN、RDP、薬局連携、配送、決済まで含めて守る必要があることを示しました。
Target Reader / 対象読者
医療機関経営者、薬局経営者、介護施設運営者、医療DX担当者、医療情報システムベンダー
結論
大阪急性期・総合医療センターのランサムウェア被害から学ぶべきことは、医療DXでは「自院のサーバーだけを守ればよい」という考え方では足りないという点です。
医療機関、薬局、介護施設、配送事業者、決済事業者、保守ベンダーは、業務上どこかでつながっています。便利につながるほど、委託先や保守経路が攻撃経路になる可能性も高まります。
これからの医療DXでは、外部接続の棚卸し、委託先との責任分界、認証・権限・ログ、バックアップ、障害時の代替運用まで含めて設計することが重要です。
何が起きたのか
大阪急性期・総合医療センターでは、2022年10月31日早朝に発生したサイバー攻撃により、電子カルテを含む総合情報システムが利用できなくなりました。救急診療、外来診療、予定手術などの診療機能に大きな支障が生じたことが公表されています。
同センターは、電子カルテを含む基幹システムを約6週間後に再稼働し、通常診療に係る部門システムは2023年1月11日に再開したと説明しています。これは、情報漏えいだけでなく、診療継続そのものに関わるリスクです。
サイバー攻撃は、IT部門だけの問題ではありません。医療機関では、電子カルテ、医事会計、検査、画像、処方、入退院管理が止まると、患者対応と医療提供に直接影響します。
侵入経路は、医療を支える周辺業務にあった
この事案は、病院の正面玄関から直接攻撃されたという単純な話ではありません。報告書では、患者給食業務の委託先、給食システムの保守事業者、リモート保守に使われる機器や認証情報、病院との接続経路が重なり、診療基盤へ到達した構造が整理されています。
医療DXが進むほど、電子カルテ、レセコン、オンライン資格確認、電子処方箋、薬局システム、配送システム、決済、予約、問診、リモート保守、クラウドバックアップなどの接続点は増えます。接続点が増えるほど、どこが誰の責任で守られているかを明確にする必要があります。
| 段階 | 起きたこと |
|---|---|
| 1 | 委託先や保守経路側の機器・認証情報が侵入口になり得る状態だった |
| 2 | 委託先側のシステムや認証情報が探索された |
| 3 | 病院と委託先を結ぶ通信経路を通じて病院側へ侵入した |
| 4 | 病院内の他サーバーや基幹システムへ横展開した |
| 5 | 電子カルテ、医事会計、部門システムなどがランサムウェア被害を受けた |
なぜ被害が大きくなったのか
報告書では、組織的、人的、技術的な要因が整理されています。特に重要なのは、医療機関とベンダー、委託先との責任分界点が曖昧になりやすいことです。
外部接続の方針、情報資産の棚卸し、委託先のセキュリティ状況、インシデント対応体制、バックアップの復元性が見えていないと、攻撃を受けたときに影響範囲の把握と復旧判断が遅れます。
また、閉域網だから安全という思い込みも危険です。現在の医療現場は、リモート保守、クラウド、外部委託、薬局連携、配送、決済、行政基盤などとつながっており、完全に閉じた環境とは言い切れません。
- RDPやリモート保守経路が常時接続に近い状態になっている
- VPN、ファイアウォール、ルーターの更新責任者が曖昧になっている
- 管理者IDやパスワードが共通化されている
- 外部ベンダーや再委託先のセキュリティ状況を確認していない
- バックアップはあるが復元テストや復旧優先順位が決まっていない
小規模医療機関や薬局も他人事ではない理由
大病院の事例だから、自院には関係ないと考えるのは危険です。規模が小さい医療機関や薬局でも、外部ベンダー、クラウド、予約、問診、薬局連携、配送、決済、バックアップなど、複数の接続点を持つことが増えています。
厚生労働省は、医療情報システムの安全管理に関するガイドラインを令和8年6月に第7.0版へ見直し、医療機関・薬局におけるサイバーセキュリティ対策チェックリストも示しています。セキュリティは、専門担当者だけではなく、経営と運用の課題として扱う必要があります。
| 現場でよくある状態 | リスク |
|---|---|
| 電子カルテやレセコンを外部ベンダーがリモート保守している | 保守経路が侵入口になる |
| VPN機器やルーターの管理者が不明確 | 脆弱性対応やログ確認が放置される |
| 薬局、配送、決済、受付システムと連携している | 連携先から横展開される可能性がある |
| 委託先のセキュリティ状況を確認していない | 自院ではなく委託先から侵入される |
| 管理者IDやパスワードが共通化されている | ひとつ漏れると複数システムへ影響する |
| バックアップはあるが復元テストをしていない | 攻撃後に復旧できない |
まず確認すべきこと
最初に行うべきことは、高価なセキュリティ製品を入れることではありません。どこにつながっているか、誰が管理しているか、止まったときにどう戻すかを把握することです。
医療DXでは、電子カルテやレセコンだけでなく、薬局、配送、決済、予約、問診、プリンタ、NAS、クラウドストレージ、バックアップ、外部ベンダーの保守用アカウントまで確認対象になります。
- VPN、RDP、SSH、リモートデスクトップなど外部接続の一覧
- 外部ベンダーの保守用アカウントと接続ルール
- 薬局、配送、決済、予約、問診、会計との連携経路
- 接続元IP、接続時間、承認者、ログ取得のルール
- 委託先、再委託先、保守事業者との責任分界点
- バックアップの保存先、復元手順、復旧優先順位
委託先との責任分界を契約で明確にする
医療DXでは、システムを自院だけで完結させることはほとんどありません。だからこそ、契約時にどこまでが医療機関側の責任で、どこからが委託先・保守事業者側の責任かを文書化する必要があります。
経済産業省・総務省の医療情報システム・サービス提供事業者向けガイドラインでも、2025年3月の改定で、対象事業者の明確化、医療機関等との合意内容の明確化、リスクコミュニケーションの実効化が示されています。
| 項目 | 明文化したい内容 |
|---|---|
| 脆弱性管理 | VPN、ファイアウォール、OS、ミドルウェアの更新責任者 |
| リモート保守 | 接続方法、接続時間、承認手順、ログ取得 |
| 認証 | MFA、個人別アカウント、共有ID禁止 |
| 監視 | 誰がどのログを見るか、異常時に誰へ通知するか |
| インシデント対応 | 初動、連絡先、証跡保全、復旧優先順位 |
| BCP | システム停止時の代替運用、紙運用、患者対応 |
| 再委託 | 再委託先の管理、セキュリティ基準、通知義務 |
医療DXサービス側に必要な設計思想
医療機関や薬局だけでなく、医療DXサービスを提供する側にも責任があります。重要なのは、機能が便利であることだけではありません。障害が起きても状態が壊れないこと、後から説明できること、例外を人が復旧できることです。
NEURONLABでは、完全防御を約束するのではなく、被害最小化、早期検知、説明可能性、手動復旧導線を前提に、運用に耐える設計を重視します。
| 設計 | 目的 |
|---|---|
| サーバ側を状態の正とする | UIの誤操作や通信断で業務状態が壊れないようにする |
| RBAC・最小権限 | 医師、薬剤師、施設スタッフ、本部管理者の操作範囲を分ける |
| 監査ログ | 誰が、いつ、何をしたかを追えるようにする |
| Outbox / Worker | 外部連携をAPI処理から分離し、再送できるようにする |
| Retry / DLQ | 失敗した連携を消さず、復旧対象として残す |
| WorkItem化 | 例外を誰かの作業として可視化する |
| Idempotency | 二重決済、二重発送、二重状態遷移を防ぐ |
| BCP前提の運用 | 完全停止ではなく縮退運用できるようにする |
今週確認したいチェックリスト
医療機関、薬局、介護施設、医療DX事業者が、まず確認したい項目を整理します。
- 外部から接続できる経路を一覧化しているか
- VPN、RDP、SSH、リモート保守の利用状況を把握しているか
- ベンダーとの責任分界点が契約に明記されているか
- 管理者IDを共有せず、MFAや個人別アカウントを使っているか
- VPN、ファイアウォール、サーバー、クラウド、アプリのログを保存しているか
- 異常ログを誰が確認するか決まっているか
- バックアップがネットワークから切り離され、復元テスト済みか
- 電子カルテ、薬局、配送、決済が止まった場合の代替導線があるか
- 行政、委託先、患者への連絡順と告知文テンプレートがあるか
参考にした公的資料・公開資料
大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会 調査報告書」 https://www.gh.opho.jp/pdf/report_v01.pdf
大阪急性期・総合医療センター「インシデント調査報告書について」 https://www.gh.opho.jp/incident/1.html
厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」 https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
厚生労働省「医療機関等におけるサイバーセキュリティ対策チェックリストマニュアル」 https://www.mhlw.go.jp/content/10808000/001705960.pdf
経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」 https://www.meti.go.jp/policy/mono_info_service/healthcare/teikyoujigyousyagl.html
FAQ
大阪急性期・総合医療センターの事案から何を学ぶべきですか。
医療DXでは、自院の基幹システムだけでなく、委託先、保守経路、VPN、RDP、外部連携まで含めて守る必要があるという点です。
小規模クリニックや薬局でも関係がありますか。
関係があります。規模にかかわらず、予約、会計、薬局連携、決済、リモート保守、クラウドなどの接続点があれば、外部接続と委託先管理の確認が必要です。
最初に何を確認すべきですか。
まず、外部接続、保守用アカウント、委託先、バックアップ、障害時の代替運用を一覧化することです。高価な製品導入より先に、現状把握が重要です。
NEURONLABはどのように設計しますか。
サーバ側の状態管理、RBAC、監査ログ、外部連携の再送設計、例外のWorkItem化、BCPを前提に、便利さだけでなく復旧しやすさと説明可能性を重視して設計します。
Consultation
個別相談が必要な論点は、現場の状況に合わせて整理できます。
現場ごとの導入相談、既存システムを活かした設計相談、配送やラストワンマイルを含む相談まで、 実運用を前提に整理します。