【導入研修】
⽴入検査の対応に向けた医療機関におけるサイバーセキュリティ対策研修
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業（受託事業者︓⼀般社団法⼈ソフトウェア協会）

本研修の流れ⻑丁場になりますので、途中に休憩をはさみます。
第１部

第２部

チェックリスト導入の背景

チェックリスト対応（技術面）

チェックリストの概要
令和６年度対象項目の紹介と対応に向けて

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。

２ 医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。

（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。

（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を

３ インシデント発生に備えた対応

提出してもらう。

（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムの（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。

バックアップの実施と復旧⼿順を確認している。

（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。

（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。

（６）アクセスログを管理している。

チェックリスト（組織面）（７）セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。

１．体制構築（８）接続元制限を実施している。

（１）医療情報システム安全管理責任者を設置している。

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）のおわりに連絡体制図がある。

*医療機関におけるサイバーセキュリティ対策チェックリストをここでは「チェックリスト」と略します。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業2

本研修の流れ⻑丁場になりますので、途中に休憩をはさみます。
第１部

第２部

チェックリスト導入の背景

チェックリスト対応（技術面）

チェックリストの概要
令和６年度対象項目の紹介と対応に向けて

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。

２ 医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。

（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。

（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を

３ インシデント発生に備えた対応

提出してもらう。

（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムの（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。

バックアップの実施と復旧⼿順を確認している。

（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。

（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。

（６）アクセスログを管理している。

チェックリスト（組織面）（７）セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。

１．体制構築（８）接続元制限を実施している。

（１）医療情報システム安全管理責任者を設置している。

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）のおわりに連絡体制図がある。

*医療機関におけるサイバーセキュリティ対策チェックリストをここでは「チェックリスト」と略します。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

はじめに

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

3

https://www.gh.opho.jp/

はじめに「継続発生している医療機関でのインシデント」
2022年10月31日
⼤阪府⽴病院機構
⼤阪急性期・総合医療センター

https://www.handa-hospital.jp/

2021年10月31日
つるぎ町⽴半⽥病院

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

5

はじめに

「⼤阪急性期・総合医療センターのインシデント」

情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

6

はじめに

「医療機関で発生しているインシデントを受けて」
セキュリティ教育支援ポータルサイト
Medical Information Security
Training（MIST）
継続的なセキュリティ教育の実施
インシデントの通報と対応支援

https://mhlw-training.saj.or.jp/
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

7

はじめに

「医療情報システムの安全管理に関するガイドライン 第6.0版」（以下、ガイドライン）

https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

8

はじめに

「医療機関におけるサイバーセキュリティ対策チェックリストについて」
医療機関等におけるサイバーセキュリティ対策については、ガイドラインを参照の上、適切な対応を⾏うこととしているところ、このうちまずは医療機関が優先的に取り組むべき事項をチェックリストにまとめました。また、医療機関におけるチェックリストを⽤いた
確認の実効性を高めるために、チェックリストマニュ
アルを作成しました。 医療機関及び医療情報システ
ム・サービス事業者は、本マニュアルを参照しつつ
チェックリストを活⽤して、サイバーセキュリティ対策を⾏ってください。
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

9

はじめに

「医療機関におけるサイバーセキュリティ対策チェックリストマニュアル」
チェックリストに対応するためのマニュアルが⽤意されていますので、併せてご確認ください。

https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

10

はじめに

「チェックリストの準備対応について」• 医療機関は「医療機関確認⽤」を、事業者には「事業者確認⽤」を利⽤する。
用意• システムを提供している事業者ごとに確認する。なお、事業者と契約がない場合は事業者確認⽤を⽤いた確認は不要。
• 「はい」または「いいえ」に〇をつけて確認した日を記入する。なお、確認しきれなかった場合は「いいえ」を記入し、対応日記入を記入する。（※注）• 医療機関向け、事業者向けの全てのリストを確認記入内容に相違が無いか関係者で確認を⾏う。

確認送付• 記入内容に相違が無いか関係者で確認を⾏う。

• 事前送付など、保健所の指示に従い対応してください。

※注︓今年度の⽴入検査では「参考項目」については確認対象外ですが、R６年度中には参考項目を含め、全ての項目で「はい」に○がつくように取り組んでください。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

11

はじめに

保健所の検査前に確認を⾏い、「はい・いいえ」を選択「チェックリストの使い方」

確認した日を記入し、「いいえ」の場合は、目標日を記載する。

全ての項目を「はい」にするよう努める
各項目の対応状況を担当部門や事業者に
確認する。

*注
*注

*注

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

目標日の後、2回目のチェックを各自実施する。はい・いいえを確認し、チェック日を記入する。

*注︓⼀部参考項目

12

はじめに

「令和6年度対応を意識した対応の準備」

令和5年度に含まれていない項目
２ 医療情報システムの管理・運⽤（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。

３ インシデント発生に備えた対応（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバックアップの実施と復旧⼿順を確認している。
（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

13

２．医療情報システムの管理・運⽤（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。
＜実施背景＞

購入した端末PCでは、業務と関係ない
ソフトウェアが入っていたり、動作したりしている場合があり、中にはコンピュータウイルスに関連する動作の場
合もあります。
例︓業務端末でのゲームアプリなど

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

14

２．医療情報システムの管理・運⽤（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。
＜実施方法＞

Windowsの設定やタスクマネージャーなどから不要なソフトウェアが動いていないか確認し、不要なソフトウェアがあった場合は停⽌しましょう。
特に⼤規模な医療機関であれば、アプリ制御等を⾏い、情報部門で管理をしている場合があります。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

15

参考︓不要なアプリやプロセスどれが不要かは、環境にも依存するためにここでは⾔及することができません。
消去する内容によっては、コンピュータが動作しなくなる可能性があるため、インターネット等で検索を⾏いな
がら自⾝の環境を確認したり、販売店やシステムインテグレーター、メーカーなどに確認したりして対応を⾏いましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

16

３ インシデント発生に備えた対応（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバックアップの実施と復旧⼿順を確認している。

＜実施背景＞

https://www.gh.opho.jp/important/785.html
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

17

３ インシデント発生に備えた対応（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムのバックアップの実施と復旧⼿順を確認している。

＜実施方法＞

オンラインバックアップではサイバー攻撃によって被害が及ぶ可能性があるため、オフラ
イン等のバックアップを検討し、実施する。
重要な情報はUSBなどの別の媒体に格納したり、イミュータブルバックアップなどの変更ができないバックアップを検討、実施する。

バックアップたとえ、ランサムウェアに感染してもシステ
ムが早期に復旧できるよう復旧⼿順を確認。
事業者に対応方法を確認する。

復旧

復旧の優先順位付けを⾏う。
復旧⼿順の⽂書化。
システムやデータのバックアップとしてクラウドを活⽤する。（なお、接続方法やタイミ
ングには注意が必要）

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

18

３ インシデント発生に備えた対応（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。
＜実施背景＞
項目

つるぎ町⽴半⽥病院（半⽥病院）

⼤阪急性期・総合医療センター（⼤阪急性期C）

報告書

コンピュータウイルス感染事案有識者会議調査報告書

情報セキュリティインシデント調査委員会報告書

インシデント発生（復旧までの期間）

21年10月31日〜1月3日

22年10月31日〜1月10日

バックアップ

オンライン

オンライン・オフライン

事業継続計画

あり

あり

演習

あり

あり

https://www.handa-hospital.jp/topics/2022/0616/index.html

https://www.gh.opho.jp/important/785.html

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

19

３ インシデント発生に備えた対応（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。

＜実施方法＞

事業継続計画（Business Continuity Planning）とは︖
⼤規模災害等の発生時にも医療を継続的に提供できるようにするための計画です。
2つのランサムウェア事案の学びから、BCPにサイバー攻撃を鑑みる必要があります。

作成方法については、厚生労働省が⼿引きを公開しています。
医療施設の災害対応のための事業継続計画（BCP）
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/kenkou/kekkakukansenshou/infulenza/kenkyu_00001.html

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

20

１．体制構築（１）医療情報システム安全管理責任者を設置している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

１．体制構築（１）医療情報システム安全管理責任者を設置している。
＜実施背景＞

医療⾏為は機器やシステムの安全性

システムなしでは確保のための継続的提供が難しい現実

な活動

インシデント発生時の対応の中心

医療情報とは︖•医療に関する患者情報（個⼈識別情報）を含む情報。
医療情報システムとは︖•医療情報を保存するシステムだけではなく、医療情報を扱う情報システム全般（サーバ、端末PC（≒エンド
ポイント,医療機器）、ネットワーク機器）を対象。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

22

（参考）医療情報システムとは︖
医療情報を保存するシステムだけではなく、医療情報を扱う情報システム全般を想定する。
これには、医療情報システム・サービス事業者（※）により提供されるシステムだけでなく、医療機関等において自ら開発・構築されたシステムが含まれる。
なお、医療情報を含まない患者への費⽤請求に関する情報しか取り扱わない会計・経理システム等は医療情報システムには含まない。
（※）医療情報システムの製造、開発、販売及び保守を⾏う事業者や、医療情報システムを活⽤したサービスの提供、保守等を⾏う事業者など、医療機関等が医療情報システムを利⽤・管理する上で関係する事業者全般を想定。

医療情報システムの安全管理に関するガイドライン 第 6.0 版 概説編 [ Overview ]https://www.mhlw.go.jp/content/10808000/001102570.pdf

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

23

１．体制構築（１）医療情報システム安全管理責任者を設置している。
＜実施概要・ケーススタディ＞
項目

内容

どのような⼈が適任か︖

例えば、非常時に電⼦カルテシステムの停⽌や、ネット
ワークの遮断要否を判断できるような経営層が適任です。

責任者がシステムに関する知識を持っていない場合は︖

前提知識を有する担当者等に上記のような対応が⾏える権限を委譲するか、セキュリティ研修を活⽤してスキルアッ
プを図りましょう。

どのように決めたらよいですか︖

経営会議や幹部会等で議論し、経営者の承認を経て、決定
しましょう。

いつまでに設置したらよいですか︖

早急に検討し、今年度中に決定しましょう。

外部の事業者を責任者にしても良いですか︖

医療⾏為やシステムを理解し、病院経営を判断できるような外部事業者であれば適任ですが、相当する⼈物は稀だと思われます。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

24

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡体制図がある。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡体制図がある。
＜実施背景＞
患者
他の

有識者

医療機関

セキュリ

各診療科

医療

ティ事業者

機関
医療機器

厚⽣労働省

ベンダー

システムベ
ンダー

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

警察

インシデントが発生す
ると、連絡・連携する
ところがたくさん…
26

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡体制図がある。
＜実施方法＞

インシデントが発生すると、相当数の組織や⼈との連携が必要です。事前にどこに連絡をしたらいいのか連絡体制図（組織内外含む）を作っておきましょう。なお、体制図をきれいに作るよりも誰に連絡するのかを明確にして、連絡リストや院内の連絡網をきちんと整備しておきましょう。
【外部連絡リスト】
No

カテゴリ

組織名

1

公的機関

＊＊警察

2
3

電話番号

・
・
・

・
・
・

厚生労働省
事業者

4
・
・
・

担当者名

A社
B社

・
・
・

・
・
・

*Computer Security Incident Response Team
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

27

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）の連絡体制図がある。
＜参考＞【連絡方法】
A.厚生労働省への連絡
厚生労働省医政局特定医薬品開発⽀援・医療情報担当参事官室
03-6812-7837
B.「インシデントかも」からご連絡（https://mhlw-training.saj.or.jp/）
ご連絡頂ければ、現場対応の⽀援が可能です。連絡体制に組み込んでおきましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

28

第1部 終了

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

本研修の流れ
第１部

第２部

チェックリスト導入の背景

チェックリスト対応（技術面）

チェックリストの概要
令和６年度対象項目の紹介と対応に向けて

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。

２ 医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。

（９） バックグラウンドで動作している不要なソフトウェア及びサービスを停⽌している。

（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を

３ インシデント発生に備えた対応

提出してもらう。

（２）インシデント発生時に診療を継続するために必要な情報を検討し、データやシステムの（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。

バックアップの実施と復旧⼿順を確認している。

（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。

（３）サイバー攻撃を想定した事業継続計画（BCP）を策定、⼜は令和６年度中に策定予定である。

（６）アクセスログを管理している。

チェックリスト（組織面）（７）セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。

１．体制構築（８）接続元制限を実施している。

（１）医療情報システム安全管理責任者を設置している。

３ インシデント発生に備えた対応（１）インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）のおわりに連絡体制図がある。

*医療機関におけるサイバーセキュリティ対策チェックリストをここでは「チェックリスト」と略します。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

30

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。
＜実施背景＞

どの診療科で何を使っているかわからないのは病院としての管理ができていない

サポートが切れている
ソフトウェアや製品を使い続けている可能性

インシデントが起きても何が原因かわからない

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

閉域網だから安全ということは無い事業者の「保守」の範囲が
定まらない

32

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。
＜実施方法＞

医療情報システムで用いる情報機器等について機器台帳を作成して管理する• 医療情報システムで用いる情報機器とは︖• 院内にある情報システムや機器の全て。主に電子カルテシステムに関係するサーバやPC／外部接続を⾏うためルータなどのネットワーク機
器／医事会計システムのサーバや端末など• 機器台帳にはどのような情報が必要なのか︖• 機器メーカー、OS、使用しているソフトウェア（バージョン）、IPアドレス、コンピュータ名、設置場所、利用者など。
• 利用しているクラウドサービスがある場合はその情報も書きましょう。

経営層は定期的に管理状況に関する報告を受け、管理実態や責任の所在が明確になるよう、監督・管理する• 各医療機関における、経営会議、幹部会議、医療安全管理委員会等の経営者が集まる会議体の議題に加え、システムの稼働状況や対応状況などを確認、報告、共有を⾏う。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

33

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。
＜ケーススタディ①＞

⼀部のシステムで実施できている場合は︖• 「はい」は、医療情報システムの範囲において、機器台帳が網羅的に作られている状態を⽰します。そのため、⼀部のみの対応の場合は「いいえ」を選択し、対応するため期日を記載しましょう。
ソフトウェアのバージョン情報など詳細がわからない場合は︖• 基本的には上記と同様です。ソフトウェアも含み、機器の管理を⾏っていく必要があります。そのため、「いいえ」を選択し、対応するための期日を記載しましょう。対応は上記同様に早期対応に向けた取り組みをお願いします。（例︓OS ,Office ,Adobeなど）
全ての端末や機器の台帳は、どの範囲なのか︖• 医療情報システムの対象の端末や機器の全てです。特に優先的に対応すべき対象は、ネットワーク接続を⾏っているシステムや機器です。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

34

２．医療情報システムの管理・運⽤（１）サーバ、端末PC、ネットワーク機器の台帳管理を⾏っている。
＜ケーススタディ②＞

事務系のシステムなどは対象範囲ですか︖• 今回のチェックリストの範囲はあくまでも医療情報システムです。なお、医療情報システム以外のシ
ステムについては今回のチェック対象外ですが、ITガバナンス確⽴の観点から適切に管理・運用することが望ましいです。
令和５年度中の対応は難しいのですが︖• こちらは参考（⼀部参考）項目になっていないため、今年度中の対応をお願いします。
定期的に経営者が管理対応を⾏っていることを証明するには︖• 対象の会議の議事録や機器台帳に確認したことがわかるように証跡を残しましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

35

２．医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。
＜実施背景＞

リモートメンテナンスとは︖• 機器やシステムの保守や運⽤を⾏うにあたって、遠隔で医療情報システムに接続し、作業を⾏う仕組み全般のことです。

インターネット
電カル
事業者

部門システム
事業者

検査機器
事業者

閉域網

電カル

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業部門システム・検査機器
37

２．医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。
＜実施方法＞
項目

内容

何を確認するの︖

２（１）の機器管理において確認した、ネットワーク機器（ルーターやセキュリティ機器等）の接続ポイント（インターネット接続、閉域網での接続等）を⽤いて、事業者が外部から保守しているかどうかを確認しましょう。

閉域網やインターネット環境など、
外部との接続が確認できた場合は︖

リモートメンテナンスがどのように⾏われているか確認しましょう。
リモートメンテナンスしている端末は安全であるか（最新のパッチが適⽤され、サポート内のソフトウェアを使⽤し、マルウェア等の脅威検出が無いか等）、接続してくる端末を制限しているか（送信元IPア
ドレス制限）などを確認しましょう。

いつまでに確認したらよいですか︖

早急に確認しましょう。

確認したらどうしたらよいですか︖

２（１）の台帳にリモートメンテナンスの有無を明確にし、⽂書化しましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

38

２．医療情報システムの管理・運⽤（２）リモートメンテナンス（保守）を利⽤している機器の有無を事業者に確認した。
＜ケーススタディ＞

⼀部のシステムで実施できている場合は︖• 「はい」は、医療情報システムの範囲において、網羅的に確認ができた状態を⽰します。そのため、⼀部のみの対応の場合
は「いいえ」を選択し、対応するため期日を記載しましょう。なお、医療情報システム以外のシステムについては今回のチェック対象外ですが、ITガバナンス確⽴の観点から状況の把握を⾏い適切に管理・運用することが望ましいです。

リモートメンテンナンスの有無は確認したが、接続してくる環境が安全かわからない︖• まずはリモートメンテナンスの状況把握が最優先です。まずは、有無が確認でき文書化していれば「はい」として問題ありません。しかし、外部事業者を経由したインシデントが発⽣しており、安全確認は早急に⾏い、医療機関としての把握に努めましょう。

証跡は必要か︖• 対象の会議の議事録や機器台帳等に確認したことがわかるように記入し、事業者からの証跡もできる限り提出をしてもらいましょう。（例︓所定の申請書や接続端末のパッチ適用や検索結果画⾯のスクリーンショットなど）

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を提出してもらう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

39

２．医療情報システムの管理・運⽤（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を提出してもらう。
＜実施背景＞MDS/SDSとは• 製造業者による医療情報セキュリティ開示書（Manufacturer Disclosure Statement for medical information
security, MDS）、サービス事業者による医療情報セキュリティ開示書（Service provider Disclosure Statement
for medical information security, SDS）を意味し、各製造業者/サービス事業者の医療情報システムのセキュリ
ティ機能に関する標準的な記載方法を業界団体（JAHIS/JIRA）が定めたものです。

機器やサービスのセキュリティは⼤丈
夫︖ちゃんと証明してほしい

セキュリティはちゃんと考えて製品開発やサービス
提供しています製造やサービス提供している事業者が、適切にセキュリティを実装できているか、
ガイドラインに沿ったものになっているのかをまとめた⽂書です。
医療機関はリスクアセスメントやレビューを⾏いやすくすります。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

JAHIS「製造業者による医療情報セキュリティ開示書」
https://www.jahis.jp/standard/detail/id=565

41

２．医療情報システムの管理・運⽤（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を提出してもらう。
＜実施方法＞

医療情報システムについてセキュリティが適切に実装されているか、MDSやSDSの提出を求めましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

42

２．医療情報システムの管理・運⽤（３）事業者から製造業者/サービス事業者によるセキュリティ開示書（MDS/SDS）を提出してもらう。
＜ケーススタディ＞

全てのMDS/SDSは入⼿できていないのですが︖•「はい」は、全てのMDS/SDSが提出されている状態を⽰します。そのため、「いいえ」を選択し、提出を求めていきましょう。
提出はされているのですが、適切に記入されていない気がするのですが︖•なぜ記入が⾏えていないのか事業者に確認しましょう。特に空欄の場合はその理由を確認しましょう。なお、
医療機関での対応が難しい場合は、対象の事業者に限らず提供事業者側の団体などにも相談や共有をしま
しょう。
事業者に求めても提出してくれないのですが︖•継続的に提出を求めていきましょう。それでも提出されない場合は、提供事業者の団体などにも問い合わせをしてみましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

43

２．医療情報システムの管理・運⽤（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。
＜実施背景＞

誰でも医療情報や病院情報にアクセスできる環境だったら︖

事務

電カル

部門システム
・検査機器

システム利⽤で⼤切なことは、アクセス制御や権限管理、きちんとアクセス時に認証・認可する仕組みがあるか否か。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

45

２．医療情報システムの管理・運⽤（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。
＜実施方法＞

誰が、どの部署が、情報にアクセスする権限があるのかを確認、設定、規程化する• 例⽰︓安全管理責任者、管理者、⼀般使用者、参照者など

利用者台帳などを作成し、管理をする• 例⽰• Active Directoryなどの組織のシステム管理者が使用者を管理するためのシステムや技術を用いて設定する。
• 資産管理ツールなどを用いて管理を⾏う。
• マニュアルにある最低限の台帳を作る。
※令和5年度は端末PC（エンドポイント）は参考項目です。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

46

２．医療情報システムの管理・運⽤（４）利⽤者の職種・担当業務別の情報区分毎のアクセス利⽤権限を設定している。
＜ケーススタディ＞

システム上、管理者や使用者を分けているが規程がない• 規程が無い場合、適切に運用できているか判断基準がない状況です。そのため、誰にどのような権限を付与するのか。誰ならどの情報にアクセスすることができるのか。まずは簡易的でもいいので、規程を作成しましょう。そのため、「いいえ」を選択し、対応する期日を記載しましょう。
規程や設定はできているが、定期的な確認や棚卸、経営者への報告が⾏えていない• 定期的にアクセス状況や棚卸を⾏うようにしましょう。最初に導入したまま⾒直しや対応が⾏えていない場合は「いいえ」を選択し、現状確認から経営者への報告・承認までを期限を決めて実施しましょう。
事業者に委託しているため、管理状況がわかりません• 契約形態にもよりますが、基本的には医療機関が医療情報システムを使用していることに変わりはありません。⾃院の状況を事業者に確認し、対応状況を把握し、規程の作成やセキュリティ設定の強化などに努めましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

47

２．医療情報システムの管理・運⽤（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。
＜実施背景＞

アカウントが残っていると、別の病院に移ったのに、情報が⾒れてしまう︕︖

アカウントとは︖• システムやサービスを利用するために作成される個⼈識別に必要な権利です
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

49

２．医療情報システムの管理・運⽤（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。
＜実施方法＞

２（４）の情報を参考にし、使⽤していないアカウントと不要なアカウントを削除しましょう。
アカウント
中/⼤規模組織
小規模組織/個⼈

種類

概要

管理者

パソコンやシステムを管理する権限者（Administrator）

標準ユーザー

パソコンやシステムに影響しない範囲での変更や利⽤を⾏える利⽤者

Microsoftアカウント

インターネット接続を⾏ってサービスを利⽤する利⽤者

ローカルアカウント

パソコン上でアカウントを作成し、サービスを利⽤する利⽤者※令和5年度は端末PC（エンドポイント）は参考項目です。
つまり、特にサーバ側のアカウントやエンドポイントでも管理者として運用されていないか確認しましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

50

２．医療情報システムの管理・運⽤（５）退職者や使⽤していないアカウント等、不要なアカウントを削除している。
＜ケーススタディ＞

削除はできていないが、無効化はしているが︖• 無効化できていれば、「はい」を選択いただいて、問題ございません。
以前対応したが、最近は確認できていないのですが︖• 退職者などの組織に関係のないアカウントを残しておくことは健全ではありません。「いいえ」を選択し、定期的な確認及び体制確⽴に向けた対応を⾏いましょう。
退職者ではあるが、患者や業者の連絡や引継ぎの関係上、残しているが︖• 退職者のアカウントを残しておくことは組織としてはあまり健全ではありません。早期にアカウントを削除するための対応を⾏いましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（６）アクセスログを管理している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

51

２．医療情報システムの管理・運⽤（６）アクセスログを管理している。
＜実施背景＞

アクセスログとは︖• PCやサーバまたはアプリケーションやデータへの接続履歴のことをいう。Windowsのイベントログ
や端末の操作ログ、Active DirectoryサーバやWebサーバへの接続履歴なども含められる。

誰が何をしていたのか、どこを出入りしたのかなどを把握できないと、通常利⽤なのか、攻撃者による侵入なのか判断できません。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

53

２．医療情報システムの管理・運⽤（６）アクセスログを管理している。
＜実施方法＞•どのようなログが取得出来•いつ、誰が、どのような操ているか（ログリスト）、

作を、何の情報にアクセス

タイムスタンプ（時間）はしたのかなどをわかるようあっているか確認する。

にし、管理する。

定例会などで定期的に検出状況を確認し、アクセスログの「管理」をしましょう。

確認

保管

発⾒

運⽤

•ログの不当な削除や改ざん、•ログを定期的に確認し、正追加などが⾏われいるかを常時と異常時がわかるよう

確認し、攻撃を発⾒する。

にログの運⽤を⾏う。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

各機器でどのようなログがとれるか確認「ログリスト」↓
定常的に取得できるログによる報告（例︓FW、AD、資産管理ツールなど）

54

２．医療情報システムの管理・運⽤（６）アクセスログを管理している。
＜ケーススタディ＞

アクセスログと⾔っても様々あるが、どのレベルで管理できていれば良いのか︖•医療情報システムに不正なアクセスや操作が無いかログを確認し、追跡できる状況であれば、「はい」を選択して問題ありません。しかし、ログリストなどを作成し、どのようなログが取れているのかを整理し、組織としての管理体制の確⽴を目指しましょう。またログの保存期間についてはできる限り⻑く残すことを推奨します。
ログは取れているはずだが、⾒たことがない︖•アクセスログを管理できている状況とは⾔えません。適切な運⽤が⾏われているか事業者とも協議しながら確認し、何のログが取得できているのか、
どのような運⽤状況なのかなど確認し、ログの管理体制を確⽴しましょう。
全てのシステムでは実施てきていない︖•医療機関としてログが管理できる状態（＝サイバー攻撃の予兆や発生を検知できる状況）とは⾔えないため、その状態を目指し対応を⾏いましょう。
アクセスログはベンダーに依頼しないと解析できない︖•どのような契約になっているのか、ログを入⼿することができないのか改めて確認しましょう。万が⼀、ログをベンダーから取得し管理することができない場合は、どのようなログを取得し、インシデント発生時にどのような対応を⾏うのか。インシデントの予兆はどのように伝えてくれるのか。
ログ対応に生じる費⽤はいくらなのかなど、事前に確認しておきましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

２．医療情報システムの管理・運⽤（７） セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

55

２．医療情報システムの管理・運⽤（７） セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。
＜実施背景＞

常に変化や改修を繰り返すため、更新が⼤前提

脆弱性を突いた攻撃が⾏われる

ソフトウェアインターネッとは新が⾏われる＜閉域網神話が招いている現実＞
・ソフトウェアの更新が⾏われていない。
・セキュリティ対策ソフトのルールや定義ファイルが更新されていない。
・侵入されてしまったら攻撃が拡⼤しやすい。

ト経由での更

古いソフト
ウェアは欠陥が残っている

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

57

２．医療情報システムの管理・運⽤（７） セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。
＜実施方法＞

台帳を用いて、全ての端末やシステム、機器等のソフトウェアおよび
そのバージョン情報などを確認する。
サポート切れのソフトウェアを使用していないか、事業者に確認をする。
できる限り、最新のソフトウェア更新する。
サポート内ソフトウェアであることは必須。
規程を確認し、規程通りの運用が⾏えているか。
⾏えていない場合は、規程を作成または項目を追加しましょう。
※令和5年度は端末PC（エンドポイント）は参考項目です。
今年度は特にネットワーク機器やサーバの構成情報を確認しましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

58

２．医療情報システムの管理・運⽤（７） セキュリティパッチ（最新ファームウェアや更新プログラム）を適⽤している。
＜ケーススタディ＞

⼀部のシステムで実施できている場合は︖• 「はい」は、医療情報システムの範囲において、網羅的に確認ができた状態を⽰します。そのため、⼀部のみの対応の場合
は「いいえ」を選択し、対応するため期日を記載しましょう。なお、医療情報システム以外のシステムについては今回のチェック対象外ですが、ITガバナンス確⽴の観点から状況の把握を⾏い適切に管理・運用することが望ましいです。
セキュリティパッチが適用できないといわれたら︖• なぜ適用できないかを確認し、台帳や議事録等に理由や受容しているリスクを把握しましょう。また、契約⾯での課題も考えられるので、現状の運用・保守契約がどのようになっているのか確認し、運用・保守の理解を事業者と共通認識を持つようにしましょう。なお、厚⽣労働省からの通達やガイドラインの通り、ソフトウェア更新を⾏うよう促していますので、ガイドラインへの順守を含め事業者に対応を求めていきましょう。
どれくらいの頻度で更新を⾏っていたら適切なのか︖• 可能な限り、常に最新のものへの更新が必要です。参考として、主たる定義ファイルの更新はセキュリティメーカーは１日１回程度公開され、またパッチ対応はPCI DSS*を例とする1か月以内の適用とされています。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業*PCI DSSとは、クレジットカードのシステムを安全に運⽤するためのガイドラインです。

２．医療情報システムの管理・運⽤（８）接続元制限を実施している。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

59

２．医療情報システムの管理・運⽤（８）接続元制限を実施している。
＜実施背景＞

誰でもアクセスできる状況だと、攻撃者もアクセスできてしまう…

インターネット
電カル
事業者

部門システム
事業者

モダリティ
事業者

閉域網

電カル

部門システム・検査機器

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

61２．医療情報システムの管理・運⽤（８）接続元制限を実施している。
＜実施方法＞

ファイアウォールなどを用いて、接続できるIPアドレスを限定する。
（送信元アドレス制限）
特定の地域（国内）のアドレスからしかアクセスできないようにする。
（ジオブロック（地域制限））
無線LANのセキュリティ対策を⾏う。
（MACアドレス認証,IEEE802.1x認証など）

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

62

２．医療情報システムの管理・運⽤（８）接続元制限を実施している。
＜ケーススタディ＞

⼀部のシステムで実施できている場合は︖•「はい」は、医療情報システムの範囲において、網羅的に確認ができた状態を⽰します。そのため、⼀部のみの対応の場合は「いいえ」を選択し、対応するため期日を記載しましょう。なお、医療情報システム以外のシステムについては今回のチェック対象外ですが、ITガバナンス確⽴の観点から状況の把握を⾏い適切に管理・運用することが望ましいです。
制限を⾏うのにさらに費用が必要と⾔われた︖•運用・保守上の設定変更の範囲内と考えられるため、事業者と話をしましょう。
事業者から制限されると困るといわれた︖•なぜ困るのか確認した上で、病院としての方針を定め、伝えましょう。外部接続を許すことはそれだけリスクや管理が複雑化することになることを理解した上で対応しましょう。
令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

おわりに

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

63

医療機関等におけるサイバーセキュリティ対策の強化について（注意喚起）（令和４年11月10日）
医療機関のサイバーセキュリティ対策について、自治体を通じて医療機関等へ注意喚起しております。
１．サプライチェーンリスク全体の確認
２．リスク低減のための措置
３．インシデントの早期検知
４．インシデント発生時の適切な対処・回復
５．⾦銭の支払いに対する対応
６．ランサムウェア特設ページ
https://www.mhlw.go.jp/content/10808000/001079508.pdf

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

65

医療機関向けサイバーセキュリティ対策研修等について
2023年９月の⽴入検査対策⽤のセキュリティ研修を⽪切りに、経営者、システ
ム・セキュリティ管理者、初学者等を対象にした研修。
加えて、導入研修では⼤阪急性期Cのインシデントに関する事例勉強会を実施。
経営者やシステム・セキュリティ管理者向けには、⼤阪急性期Cの現地視察会を実施。
e-learningによる継続的な教育、アーカイブ配信等による振り返り等が可能。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

66

最後に
クラウド環境を利用している場合は︖• クラウド環境利用にあたっても「使用許諾」などの契約が存在します。ログ管理やインシデント発⽣時の対応など、使用許諾の確
認とサービス事業者にチェックリストに基づく確認を⾏いましょう。

サプライチェーンの情報資産も対応しないといけないの︖• 現時点では医療機関のシステムが対象です。しかしながら、サプライチェーン経由での攻撃も発⽣しているため、取引のある事業者がどのようなセキュリティ対応を⾏っているのかは定期的に確認するようにしましょう。

現状のセキュリティ対策が⾏き届いていない︖• これまでの「閉域網だから⼤丈夫」という考え方を⾒直し、セキュリティの強化に努めましょう。

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

67

ありがとうございます

令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業

68