セキュリティ / ニュース

「出入りの業者さん経由」で入られる。10月9日の国の注意喚起が、医療機関にも回ってきました。

掲載 2026.10.14情報確認 2026.10.14出来事・発表 2026.10.09

内閣官房国家サイバー統括室が令和8年10月9日に出した「不正アクセスによる漏えい等の事案を踏まえた対応について」が、同じ日付の厚生労働省の事務連絡で都道府県と関係団体に回され、医療機関向けの周知が依頼されました。当サイトでは10月11日に、同じ流れで出たIPAの呼びかけからアカウントの棚卸しを取り上げました。今回の文書でもう一つ大きく扱われているのが、委託先を足がかりにした侵入への備えです。契約と連絡のしかたの話なので、院内の機器をさわらずに着手できます。

どこから出て、どう回ってきたか

出どころは内閣官房国家サイバー統括室で、日付は2026年10月9日です。ウェブシステムの脆弱性の悪用、委託先を通じた侵害、堅牢さを欠くデータ管理によって、大量の個人情報を扱う事業者のシステムが侵入され、データを盗まれる事案を複数確認した、というのが背景として書かれています。同じ10月9日付で、厚生労働省政策統括官付医療情報連携担当参事官室が各都道府県衛生主管部局と関係団体あてに事務連絡を出し、関係団体や医療機関への周知徹底を依頼しました。日本病院会はこれを10月13日に会員向けに掲載しています。総務省も同日付で所管の事業者・団体に同じ内容の注意喚起を出しました。特定の製品名を挙げた緊急の脆弱性情報ではなく、対策の要点を並べた文書だ、という点は押さえておいてください。

医院に効くのは「委託先」の章

文書は三つの柱で書かれています。ウェブシステムの管理、サプライチェーンを通じた侵害への対策、データの適切な管理です。このうち二つ目に、攻撃者は比較的防御が弱い委託先企業等を足掛かりとして侵入し、その後、標的となる企業へアクセスを拡大する手口を用いることがある、と明記されています。求められているのは、委託先の管理体制や役割分担・責任分界を確認すること、再委託先を含む管理状況を把握すること、契約締結時だけでなく継続的に確認すること。契約面では、情報の取扱方法、アクセス権とログの管理、漏えいが発生した場合の報告義務、発生時の連携体制を明確にすること。そして、委託先へ渡す情報を必要最小限にし、業務終了後のデータ削除を徹底し、付与したアクセス権を適切に管理することです。

クリニックに置き換えると、確認は3つ

医院にとっての委託先は、電子カルテやレセコンの保守業者、ホームページの制作会社、予約システムの提供元、会計ソフト、機器やカルテの廃棄を頼んでいる業者あたりです。確認することは三つに絞れます。第一に、リモート保守で院内の機器に入れるのは今どこの誰か。第二に、契約が終わった業者や担当者のアカウントが、機器やクラウドのサービスに残っていないか。第三に、患者さんの情報を含むデータを作業のために渡したことがあるなら、作業後に消してもらったか。いずれも設定を変える作業ではなく、契約書を開いて確認し、業者さんに書面で聞けば済む話です。逆に、電子カルテ・レセコン・資格確認端末の設定やアカウントを院内の判断で変えるのは避けてください。動作が確認された組み合わせが崩れると、翌日の受付が止まります。

あわせて出し直された、医療機関向けの文書

今回の厚生労働省の事務連絡は、令和8年5月27日付の「高性能AIの悪用リスクを踏まえたサイバーセキュリティ対策の強化について（医療機関等向け注意喚起）」の改めての周知も求めています。こちらは医療機関向けに重点事項を8項目へ整理したもので、7番目が「サプライチェーン・医療機器対策」です。医療機器メーカーやベンダとの連携によるセキュリティ情報の共有、調達段階からのセキュリティ要件の確認、機器の更新・保守におけるセキュリティ対応の徹底が挙げられています。つまり今回の注意喚起は、医療機関にとってまったく新しい宿題ではなく、5月に示された項目の念押しという位置づけです。被害が疑われる場合に厚生労働省医政局医療情報担当参事官室へ連絡する窓口も、同じ文書に記載されています。どこまでを自院で確認し、どこから先を業者さんに聞くかの線引きでお困りでしたら、アイジェイネットでもご相談を承っています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る