2026年10月9日、独立行政法人情報処理推進機構（IPA）は、国内の金融機関や通信事業者などで不正アクセスによる情報漏洩事案の公表が相次いでいるとして、経営者のリーダーシップによる対策を呼びかけました。医療機関にとっても、情報漏洩はシステム担当者だけの問題ではありません。患者情報、職員情報、会員情報、契約書類など、日々扱う情報の流れそのものを管理する必要があります。
また、厚生労働省は2026年6月に「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」と、医療情報システムの安全管理に関するガイドライン第7.0版を公開しています。ここで求められているの
情報漏洩は「高度な攻撃」だけで起きるわけではない
情報漏洩というと、ランサムウェアや大規模な不正アクセスを思い浮かべるかもしれません。しかし実際の業務では、退職者のアカウントが残っている、共有フォルダの権限が広すぎる、宛先を間違えてメールを送る、古いVPN機器を使い続けるといった、日常の管理上の隙が被害につながることもあります。
セキュリティ対策を「詳しい人に任せるもの」と考えると、現場で使っているクラウドサービスや共有方法が管理から抜け落ちます。まずはシステムの名前を覚えるより、情報がどこから入り、誰が見て、どこへ渡り、いつ消えるのかを業務単位で整理することが出発点です。
1 使われていないアカウントを確認する
最初に、電子カルテや予約システムだけでなく、メール、ファイル共有、ホームページ、オンライン会議、チャット、採用サービスなどのアカウントを一覧にします。アカウントごとに、利用者、管理者、権限、二要素認証の有無、退職・異動時の停止方法を確認します。
個人のメールアドレスで契約したサービスや、担当者しか管理画面に入れないサービスがある場合は注意が必要です。担当者が不在になったときに止められない、契約更新や請求に気づけない、退職後もアクセスできるといった問題が起こりやすくなります。
すぐに全サービスを入れ替える必要はありません。まずは「誰が管理者か分からない」「使っているか分からない」「二要素認証を設定できていない」ものを洗い出し、優先順位を付けます。
2 外部接続とVPNの管理者を明確にする
医療機関では、電子カルテ、画像管理、保守業者との接続、オンライン資格確認など、院内外をつなぐ経路が複数存在します。厚生労働省の資料でも、医療機関に多くの外部接続点が存在し、管理が難しくなっている状況が示されています。
ここで確認したいのは、接続の技術的な詳細だけではありません。どの業者が、何の目的で、いつ接続するのか。接続に使う機器の更新期限はいつか。契約終了時に接続を停止する手順があるか。障害や不正アクセスが疑われたとき、誰が接続を止めるのか。これらを担当者と業者の両方が説明できる状態にします。
「業者に任せている」場合でも、院内側の責任者は必要です。契約書、保守範囲、連絡先、緊急時の連絡手順を一つの場所にまとめるだけでも、初動の遅れを減らせます。
3 ファイル共有とメール送信の流れを見直す
個人情報は、システムへの不正侵入だけでなく、誤送信や共有設定の間違いでも漏洩します。院内の共有フォルダ、クラウドストレージ、メール添付、外部業者とのファイル受け渡しについて、誰がどの方法を使っているかを確認します。
特に確認したいのは、次のような状態です。
- 共有リンクを「リンクを知っている全員が閲覧可能」にしている
- 退職者や異動者が共有フォルダに残っている
- 個人の無料サービスを業務で使っている
- メール添付の宛先と内容を別の人が確認していない
- 送付後に誤送信へ気づいた場合の連絡先が決まっていない
利便性を下げれば安全になるとは限りません。現場が使いにくい方法を押し付けると、別の非公式な共有方法が生まれることがあります。正式な共有手段を一つか二つに絞り、利用方法と困ったときの相談先を簡単に示すことが大切です。
4 生成AIに入力してよい情報を決める
生成AIは、院内文書の下書き、案内文の整理、会議メモの要約などに役立ちます。一方で、患者情報、症例の組み合わせ、職員の評価、未公開の経営情報を一般的なサービスへ入力すると、情報の取扱いを把握できなくなるおそれがあります。
「個人情報を入力しない」という一文だけでは、現場の判断が分かれます。たとえば、公開済みの診療案内を読みやすくする作業は対象にできても、実在する患者の経過を含む退院説明を作る作業は対象外にする、といった具体例を用意します。入力してよい情報、使ってよいサービス、確認する担当者、記録する内容を院内ルールにします。
AIの出力は、自然な文章であっても正しいとは限りません。医療、法令、診療報酬、労務など判断の影響が大きい内容では、元資料と照合し、人が確認してから利用します。
5 漏洩が疑われたときの初動を決めておく
被害が起きたときに最初に必要なのは、原因を完璧に説明することではありません。被害を広げないために、誰へ連絡し、どの端末やアカウントをどう扱い、何を記録するかを決めておくことです。
最低限、次の項目を一枚にまとめておきます。
- 院内の責任者、システム担当者、経営者への連絡順
- 保守業者、セキュリティ会社、クラウドサービスの緊急連絡先
- 不審なメールや画面を見つけた職員が取る行動
- 端末の電源、ネットワーク、アカウントをどう扱うか
- 患者、職員、会員への連絡を判断する責任者
- 個人情報保護委員会などへの報告を確認する担当者
医療機関で患者の個人情報を含む個人データの漏洩等が発生した場合は、関係機関への報告が必要になることがあります。報告の要否や内容は事案によって変わるため、平時から個人情報保護委員会、厚生労働省、契約している業者の案内を確認し、院内の連絡体制に反映します。
セキュリティ対策は、業務を止めないための準備
セキュリティ対策は、職員の行動を細かく制限するためだけのものではありません。誰が何を管理しているかを明確にし、迷ったときに相談でき、問題が起きたときに業務と患者への影響を抑えるための準備です。
最初から完璧なチェックリストを作る必要はありません。まずは、アカウント、外部接続、ファイル共有、生成AI、緊急連絡の5項目について、担当者と現状を確認します。そのうえで、今月直すもの、次の更新時に見直すもの、専門家へ相談するものに分けると、実行しやすくなります。
RYOZENPROでは、医療団体・クリニックの業務整理、情報共有、院内ルール、職員向け研修、AI/DXの導入後の運用改善までを一つの流れで支援します。何から確認すべきか決まっていない場合も、初回相談・DX診断で現在の情報の流れと優先順位を整理するところから始められます。