2023/2/15
医療機関におけるサイバーセキュリティ対策セミナー

2021年4月1日

厚⽣労働省における医療機関のサイバーセキュリティ対策にかかる取組について

厚⽣労働省医政局
特定医薬品開発⽀援・医療情報担当参事官室室⻑補佐岡本潤

医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

目次
１，令和３年度までの医療機関におけるサイバー攻撃への対応策
２，医療機関のサイバーセキュリティ対策の現状・課題
３，医療機関におけるサイバーセキュリティ対策の更なる強化策

医療情報セキュリティ研修及びサイバーセキュリティインシデント発生時初期対応支援・調査事業

1令和３年度までの医療機関におけるサイバー攻撃への対応策
医療機関からの報告について○ 平成19年３月から、「医療情報システムの安全管理に関するガイドライン」に基づき、医療機関等においてサイバー攻撃等のインシデント事案が発生した場合は、当該医療機関等から厚生労働省等の所管官庁へ報告することを求めている。
○ また、都道府県等に対しては、平成30年10月に通知（「医療機関等におけるサイバーセキュリティ対策の強化について」（医政総発1029 第１号 医政地発1029 第３号 医政研発1029 第１号 平成30年10月29日））を発出し、必要に応じて管内の医療機関等における被害状況、対応状況等に係る調査及び指導を行うとともに、厚生労働省へ報告することを求めている。

GL5.2版への改定について○ 厚生労働省においては、「医療情報システムの安全管理に関するガイドライン」を定め、医療機関等に対し、技術的・運用管理上の観点から必要な対策を求めている。（R4.3月末の改定で医療機関へのサイバー攻撃の多様化・巧妙化への対策等を追加）

サイバー攻撃への具体的対策について【令和３年度の取組】○病院へのサイバー攻撃により、診療が長期にわたって制限された事例（※）があったことから、令和３年11月、全国の医療機関に対し脆弱性が指摘されている機器の点検、バックアップの作成等について注意喚起を発出。
〇令和４年１月21日に各都道府県・関係団体宛に通知し、全国の病院における、ランサムウェアを想定したリスクを把握するための実態調査を実施。
〇 許可病床400床以上の保険医療機関について、①専任の医療情報システム安全管理責任者を配置すること、②当該責任者は、職員を対象として、少なくとも年１回程度、定期的に必要な情報セキュリティ研修を実施していること、③医療情報システムのバックアップ体制の確保状況を届け出ることを診療録体制加算の要件として追加。
医療情報セキュリティ研修及びサイバーセ（※）徳島県つるぎ町立半田病院において、電子カルテシステムがランサムウェアに感染し、長期に渡り一部診療が停キュリティインシデント発生時初期対応支止した事案（R3.10）
2
援・調査事業

医療機関がサイバー攻撃（疑い含む）を受けた場合の対応

医療情報セキュリティ研修及びサイバーセ
キュリティインシデント発生時初期対応支援・調査事業

3令和４年３月２５日集計
第10回 健康・医療・介護情報利活用検討会（令和４年３月30日）資料２

調査結果について

調査対象医療機関数︓8,252施設
有効回答数︓6,216施設（回答率︓75.3％）
0%

10%

20%

30%

セキュリティ責任者を設置し40%

50%

60%

70%

80%

安全管理GLを活用しているか

47.8%

52.2%

定期的な緊急対応手順を訓練

71.6%

28.4%

しているか

100%

32.5%

67.5%ているか

90%

はい

いいえ
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期
対応⽀援・調査事業

4

令和４年３月２５日集計

調査結果について（電子カルテシステムのバックアップについて）
0%

10%

20%

30%

電子カルテを使用しているか

40%

50%

60%

第10回 健康・医療・介護情報利活用検討会（令和４年３月30日）資料２

70%

80%

64.7%

90%

35.3%

電子カルテのバックアップデータは作95.9%成しているかバックアップデータは世代管理してい

4.1%

80.7%

るか

100%

19.3%

バックアップデータは「サイバー攻撃と自然災害等」といった同時被災を回

47.5%

52.5%

避する方法で保管しているか
バックアップデータの漏洩対策を講じているか

52.4%

はい

47.6%

いいえ

※バックアップデータ作成に関する質問（2項目）以降ついては、電子カルテを導⼊している64.7%（4,020施設）が⺟数となっている。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期
対応⽀援・調査事業

5令和４年３月２５日集計
第10回 健康・医療・介護情報利活用検討会（令和４年３月30日）資料２

調査結果について（リモートゲートウェイ装置について）
0%

10%

20%

VPN装置が存在しているか

30%

40%

50%

60%

70%

66.3%

80%

90%

100%

33.7%

NISCや厚労省の注意喚起を基に適61.3%

切にアップデートを⾏っているか

38.6%

VPN装置へのアクセス元IPアドレ
83.6%

スを制限しているか

16.3%

VPN装置へのアクセス記録は定期的に検査しているか

41.8%

58.2%

はいいいえ※VPN装置のアップデートに関する質問（2項目）以降については、VPN装置が存在する66.3%（4,120施設）が⺟数となっている。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期
対応⽀援・調査事業

6

今年の調査について

技術的な質問・用語等については、院内担当者だけでなく、システム設置事業者や保守ベンダーへ照会等を行い、質問内容を理解した上で、回答してください。

○主な調査項目・バックアップデータの作成方法等詳細に関して
・VPN機器の詳細に関して
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業・事業継続計画（BCP）に関して（サイバー攻撃等によるシステム障害発生時に備えた）

7

第12回健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ（令和４年５月27日）資料１抜粋

医療機関のサイバーセキュリティ対策の現状・課題
現状・課題

医療機関のセキュリティ対策は、「医療情報システムの安全管理に関するガイドライン」に基づき、各医療機関が自主的に取組を進めてきたところ。昨今のサイバー攻撃の増加やサイバー攻撃により⻑期に診療が停⽌する事案が発⽣したことから実施した緊急的な病院への調査では、自主的な取組だけでは不⼗分と考えられる結果であった。
診療に及ぼす影響について
1. 一般に、ランサムウェアによるサイバー攻撃は情報の暗号化、情報の詐取と⾦銭の要求がセットとなっていることが多いが、情報の詐取が確認された場合には個⼈情報漏洩事案となる。
※ 令和２年改正個⼈情報保護法において、不正アクセス等による個⼈情報の漏えい（疑いを含む）については、件数に関わりなく個⼈情報保護委員会への報告を義務付け（令和４年４月施⾏）。 また、法⼈に対する罰⾦を最⼤1億円に引き上げ。

2. 保存すべき診療録等が滅失・毀損する。また、患者の病歴等について再度の聴取等が必要となることによる患者側も負担増加。
※ ランサムウェアによって、診療録をはじめとする診療に関する諸記録が暗号化され、バックアップファイルも含めて、完全には復号化できないことが判明した場合には、医療法第21 条等に抵触する恐れがある。

3. 過去の患者カルテと、来院した患者の氏名等といった基礎情報が電子的に突合できず、対面での指差し確認等の手作業で本⼈確認が必要。医療従事者が慣れない紙カルテでの運用に追われることになる医療者側の負担増加。
4. 被害の状況により、診療報酬の請求事務に影響を及ぼすことがあるほか、診療データの継続的な提出を評価する「データ提出加算」の算定や、「データ提出加算」を前提とする⼊院料の届出に影響が⽣じる場合がある。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期
対応⽀援・調査事業

医療機関におけるサイバーセキュリティ対策の更なる強化策－

今後の医療機関におけるサイバーセキュリティ対策の基本⽅針－

第12回 健康・医療・介護情報利活用検討会医療等情報利活用
ワーキンググループ（令和４年９月５日）資料２-２（１）短期的な医療機関におけるサイバーセキュリティ対策
１．平時の予防対応①医療機関向けサイバーセキュリティ対策研修の充実②脆弱性が指摘されている機器の確実なアップデートの実施③医療分野におけるサイバーセキュリティに関する情報共有体制（ISAC）の構築④検知機能の強化⑤G-MIS用いた医療機関への調査実施

２．インシデント発⽣後の初動対応①インシデント発⽣時の駆けつけ機能の確保②⾏政機関等への報告の徹底

３．⽇常診療を取り戻すための復旧対応①バックアップの作成・管理の徹底②緊急対応手順の作成と訓練の実施（２）中・⻑期的な医療機関におけるサイバーセキュリティ対策
１．バックアップデータの暗号化・秘匿化
２．保健医療分野におけるSOCの構築
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期
対応⽀援・調査事業

第12回 健康・医療・介護情報利活用検討会
医療等情報利活用ワーキンググループ（令和４年９月５日）資料２-２より一部改変

医療分野におけるサイバーセキュリティ対策

予防対応① 医療機関向けサイバーセキュリティ対策研修の充実－ 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初動対応⽀援・調査事業一式」において、医療従事者や経営層等へ階層別のサイバーセキュリティ対策に関する研修の実施や、本事業において作成されるポータルサイトを通じた研修資材の提供により、医療従事者や経営層等のサイバーセキュリティ対策の意識の涵養を図る。

② 脆弱性が指摘されている機器・ソフトウェアの確実なアップデートの実施－ 医療法第25条第１項の規定に基づく⽴⼊検査の実施により確認を⾏う。また、例年発出している「医療法第25条第１項の規定に基づく⽴⼊検査の実施について」（医政局⻑通知）において、令和４年度はサイバーセキュリティ対策の強化に関する事項について記載した。
令和４年度中に医療機関等の管理者が遵守すべき事項に位置付けるための省令改正を⾏う。
－ NISCより情報提供のあった脆弱性情報について、医療セプターを通じた情報提供を引き続き⾏う。

③ 医療分野におけるサイバーセキュリティに関する情報共有体制（ISAC）の構築－ 他分野のISAC関係者の協⼒を得つつ、医療関係者数名のコアメンバーによる検討を⾏う。

④ 検知機能の強化－ 不正侵⼊検知・防⽌システム（IPS／IDS）の設置・活用を進めるよう、医療情報システムの安全管理に関するガイドライン改定の検討を⾏う。

⑤ G-MISを用いた医療機関への定期調査の実施－ 医療機関に対するサイバーセキュリティ対策の実態調査を実施する。（令和５年１⽉27⽇より調査開始）【質問項目（例⽰）】
・医療法に基づく⽴⼊検査の留意事項を認識し、必要な措置を講じているか。
・（許可病床数が400床以上の保険医療機関に対して）診療録管理体制加算の⾒直しを受けて、専任の医療情報システム安全管理責
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣任者を配置しているか。
10時初期対応⽀援・調査事業

厚⽣労働省におけるセキュリティ研修の強化と提供について

今年度のセキュリティ研修事業者（(一社)ソフトウェア協会）に委託【令和４年度の医療機関向けサイバーセキュリティ研修】

出典元：第12回健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ資料より抜粋

ポータルサイトを設置し、医療機関向けの研修実施内容や予定に関してお知らせ
12月から順次サイバーセキュリティ研修を開始• 経営者、システム・セキュリティ管理者・初学者のそれぞれの立場にあった３階層の教育コンテンツを提供• オンライン型の研修実施による遠隔地で参加可能な体制• e-learningでのセキュリティ基礎研修の提供
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期※詳細は受託事業者でポータルサイトを作成し、Webページの新規作成や更新を行います。
対応⽀援・調査事業

11厚⽣労働省におけるセキュリティ研修の強化と提供について

https://mhlw-training.saj.or.jp/
研修名

研修参加者数

経営者向け

約500名

システム・セキュリティ管理者向け（計4回）

1回目 約700名
2回目 約600名

第1回 初学者・医療従事者向け

約400名

第２回 初学者・医療従事者向け

約600名（2月14日時点）対応⽀援・調査事業

医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期医療法第25条第１項の規定に基づく⽴⼊検査にかかる省令改正施⾏に関して経緯・概要○ 医療機関のセキュリティ対策は、「医療情報システムの安全管理に関するガイドライン」に基づき、各医療機関が自主的に取組を進めてきたところ。昨今のサイバー攻撃の増加やサイバー攻撃により⻑期に診療が停⽌する事案が発⽣したことから実施した緊急的な病院への調査では、自主的な取組だけでは不⼗分と考えられる結果であった。平時の予防対応として、脆弱性が指摘されている機器の確実なアップデートの実施が必要。（第12回健康・医療・介護情報利活用検討会医療等情報利活用ワーキンググループ（令和４年５月27日））○ 病院、診療所⼜は助産所の管理者が遵守すべき事項として、サイバーセキュリティの確保について必要な措置を講じることを追加する。（令和５年４⽉１⽇施⾏予定）◎医療法施⾏規則（昭和⼆⼗三年厚⽣省令第五⼗号）
第⼗四条 （略）２ 病院、診療所⼜は助産所の管理者は、医療の提供に著しい⽀障を及ぼすおそれがな
いよう、サイバーセキュリティ（サイバーセキュリティ基本法（平成⼆⼗六年法律第百四号）第⼆条に規定するサイバーセキュリティをいう。）の確保のために必要※ 下線部を新設する。
な措置を講じなければならない。
（参照条文）◎医療法（昭和⼆⼗三年法律第⼆百五号）
第⼗七条 第六条の⼗から第六条の⼗⼆まで及び第⼗三条から前条までに定めるもののほか、病院、診療所⼜は助産所の管理者が、その構造設備、医薬品その他の物品の管理並びに患者、妊婦、産婦及びじよく婦の⼊院
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣
⼜は⼊所につき遵守すべき事項については、厚⽣労働省令で定める。
時初期対応⽀援・調査事業

12医療分野におけるサイバーセキュリティ対策

初動対応

第12回 健康・医療・介護情報利活用検討会
医療等情報利活用ワーキンググループ（令和４年９月５日）資料２-２① インシデント発⽣時の駆けつけ機能の確保－ 200床以下の医療機関に対し、サイバーセキュリティお助け隊の活用を促進するための周知・広報を⾏う－ 200床以上の医療機関に対し、 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初動対応⽀援・調査事業一式」において、サイバーセキュリティインシデントが発⽣した医療機関の初動対応⽀援を⾏う。
② ⾏政機関等への報告の徹底－ 医療情報セキュリティ研修およびG-MIS調査を通じ、医療情報システムの安全管理に関するガイドラインに基づいた厚⽣労働省への報告の徹底や、個⼈情報保護法改正に伴う個⼈情報保護委員会への報告義務化の周知を図る。
－ 厚⽣労働省より、医療情報システムの安全管理に関するガイドラインに基づいて医療機関より報告のあったサイバーインシデント事案について、攻撃先が同定されない程度に報告内容を適時情報提供し、攻撃手法や脅威について分析を⾏い、全国の医療機関へ情報発信・注意喚起を⾏う。

① バックアップの作成・管理の徹底
旧対応 － 医療情報セキュリティ研修およびG-MIS調査を通じ、バックアップの具体的な作成が明記された医療情報システムの安全管理に関するガイドライン（５．２版）の周知を⾏う。
－ 令和３年６月28日発出「医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)」の記載事項に留意し、データ・システムのバックアップを⾏う。
－ 令和4年度診療報酬改定における診療録管理体制加算に係る報告書（７月報告）により、バックアップ保管に係る体制等の確認を⾏う。
② 緊急対応手順の作成と訓練の実施－ 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初動対応⽀援・調査事業一式」において、サイバーセキュリティインシデントが発⽣した際の対応手順の調査を⾏い、適切な対応フローの整理を⾏う。また、整理した対応フローをもとにサイバーセキュリティインシデントに備えたBCPの提案を⾏う。

復医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

14

医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時
初動対応⽀援･調査事業(令和４年度)
第13回健康・医療・介護情報利活用検討会医療等情報利活用WG（令和４年12月15日）資料３（一部改変）

背景
医療分野のサイバーセキュリティについては、近年その脅威が⾼まっていることから、令和４年度厚⽣労働省事業において、医療機関向け研修やサイバーセキュリティインシデント発⽣時の初動対応の⽀援等を⾏う。

事業概要（１）サイバーセキュリティ対策にかかる医療機関向け研修の実施
︓医療機関職員の階層（初学者、経営層、システム･セキュリティ管理者等）に応じた研修の実施（２）継続的な教育⽀援
︓医療情報システム安全管理者が研修に活用できる教育コンテンツ作成･収集と公開（３）平時のサイバーセキュリティインシデント対応手順の調査および既存BCPの⾒直し提案
︓サイバーセキュリティインシデント発⽣時の適切な対応フローの整理、BCP（Business Continuity Plan）の提案（４）サイバーセキュリティインシデントが発⽣した医療機関の初動対応⽀援
︓サイバーセキュリティインシデントが発⽣した医療機関の原因究明や早期診療復帰を目的に、初動対応⽀援を実施

受託者
一般社団法⼈ ソフトウェア協会
︓約700社のソフトウェア製品に係わる企業が集まり、ソフトウェア産業の発展に係わる事業を通じて、我が国産業の健全な発展と国⺠⽣活の向上に寄与することを目的とした一般社団法⼈（サイバーセキュリティに関する主な活動内容）
・ソフトウェアやサイバーセキュリティに関連したセミナー、研修の実施
・サイバーセキュリティに関する情報交換・周知
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣
・サイバーセキュリティボランティア制度の創設・運用時初期対応⽀援・調査事業

15

医療機関における情報セキュリティインシデント発⽣時の対応
内閣官房内閣サイバーセキュリティセンター（NISC）
・サイバーセキュリティ基本法
・サイバーセキュリティ戦略（閣議決定）
・重要インフラの情報セキュリティ対策に係る第４次⾏動計画
連携

他の医療機関等に展開

医療セプター

厚⽣労働省
連携報

報

告報

技術的助言

医政局特定医薬品開発⽀援・
医療情報担当参事官室

関係課

告・医療情報システムの安全管理に関するガイドライン第5.2版

報・医療機関等におけるサイバーセキュリティ対策の強化について（平成30年10月29日通知）

告調査・
指導

告都道府県

連携

（注）当該サイバー攻撃により 医療情報システムに障害が発生し 、 個人情報の漏洩や医療（注）提供体制に支障が生じる 又はそのおそれが医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣ある 事案である と判断された 場合時初期対応⽀援・調査事業

情報セキュリティインシデント発⽣の医療機関

情報共有の仕組み（セプターの概要）
名

称

医療CEPTOAR

事 務 局 公益社団法人 日本医師会 情報システム課
１．機能ＩＴ障害の未然防⽌、ＩＴ障害の拡⼤防⽌・迅速な復旧、ＩＴ障害の要因等の分析・検証による再発防⽌を図り、医療事業者のサービスの維持・復旧能⼒の向上に資するため、政府等から提供される情報を適切に医療事業者等の間で共有・分析することを目的に、医療分野の「情報共有・分析機能（セプター）」として、「医療CEPTOAR」を設置。
以下(1)〜(3)の情報連絡体制等については現状の枠組みをもとに引き続き改善に向けて調整していく。
(1) 医療事業におけるＩＴ障害の未然防⽌、ＩＴ障害の拡⼤防⽌・迅速な復旧、ＩＴ障害の要因等の分析・検証による再発防⽌のための情報共有及び連携(2) 政府、他のセプター等から提供される情報の構成員への連絡(3) 政府、他のセプター等から提供される情報に関連する事項の情報共有

概要 ２．構成 ⽇本医師会、⽇本⻭科医師会、⽇本薬剤師会、⽇本看護協会（情報共有機能）
 ⽇本医療法⼈協会、⽇本精神科病院協会、⽇本病院会、全⽇本病院協会（情報共有機能）
 全国自治体病院協議会、⽇本私⽴医科⼤学協会、⽇本慢性期医療協会、労働者健康安全機構、⽇本社会医療法⼈協議会、国⽴病院機構、地域医療機能推進機構、⽇本リハビリテーション病院・施設協会、地域包括ケア病棟協会、⼤学病院⻑会議（情報共有機能）
 オブザーバー（情報分析機能）として保健医療福祉情報システム⼯業会

３．特色・特徴 これまでの活動・現⾏組織を基盤にした実効性のある体制。
 医療分野の特性として、医療提供体制の構築・維持は都道府県との情報共有体制が不可⽋であることから、他の分野ではみられない都道府県との連携が必要。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

16⼤阪府⽴病院機構 ⼤阪急性期・総合医療センターのランサムウェア感染事案に関して

第13回健康・医療・介護情報利活用検討会医療等情報利活用
WG（令和４年12月15日）
資料3一部抜粋

事案概要
2022年10月31日(月) 早朝、地方独⽴⾏政法⼈⼤阪府⽴病院機構 ⼤阪急性期・総合医療センター（以下、⼤阪急性期・総合医療センター）において、ランサムウェアを用いたサイバー攻撃によりファイルが暗号化され、電子カルテが使用不能となる事案が発⽣した。厚⽣労働省から派遣した初動対応⽀援チーム（一般社団法⼈ソフトウェア協会）の調査によると、感染経路は、院外の調理を委託していた給⾷事業者のシステムを経由したものである可能性が⾼いことが判った。
新規外来患者の受⼊は引き続き停⽌しているが、緊急度の⾼い処置、手術は⼤阪急性期・総合医療センターにおいて継続して対応している。緊急度の低い患者については、一度自宅退院、周辺病院への転院を進めたので、患者の⽣命等への影響はなかった。また、個⼈情報の漏洩も確認されていない。
(参考)地方独⽴⾏政法⼈⼤阪府⽴病院機構 ⼤阪急性期・総合医療センター
病床数︓865床（一般病床831床、精神病床34床）
病院機能︓基幹災害拠点病院、⾼度救命救急センター、地域周産期⺟子医療センター、⼩児地域医療センター、地域医療⽀援病院、地域がん診療連携拠点病院 他
延べ⼊院患者数︓22.3万⼈（646⼈/日）
延べ外来患者数︓29.5万⼈（1,268⼈/日）

経過
10月31日(月)︓インシデント発⽣。⼤阪急性期・総合医療センターからの初動対応⽀援の要請を受け、厚⽣労働省より初動対応⽀援チームを派遣
同日夜、記者会⾒により当該事案を公表。
11月４日(⾦)︓予定手術を一部再開。
11月７日(月)︓発⽣後一週間経過。当該事案の現状と今後の復旧計画について記者会⾒を実施。感染経路は、給⾷事業者に設置されたVPN装置を経由した可能性が⾼いことを公表。
11月10日(木)︓電子カルテの一部が仮設環境により参照可能となり、三次救急患者の受け⼊れと⼩児救急診療の一部を再開。
11月17日(木)︓仮設環境による参照が救急外来において可能となり、一般救急患者の受け⼊れが再開。
12月12日(月)︓電子カルテ再構築を完了させ本環境で順次稼働開始。各種オーダも順次再開予定。
来年１月︓システム全面復旧予定

厚⽣労働省の対応
１．医療機関から要請を受けて、厚⽣労働省から専門家を派遣し、感染原因の特定や対応の指⽰等といった初動対応の⽀援を⾏った。

医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣

２．11月10日に全国の医療機関に対して、サイバーセキュリティ対策の強化にかかる注意喚起を⾏った。
時初期対応⽀援・調査事業

令和４年11⽉10⽇事務連絡
医療機関等におけるサイバーセキュリティ対策の強化について(注意喚起）(抜粋)
１ サプライチェーンリスク全体の確認

関係事業者のセキュリティ管理体制を確認した上で、関係事業者とのネットワーク接続点（特にインターネットとの接続点）をすべて管理下におき、脆弱性対策を実施する。

２ リスク低減のための措置

・パスワードを複雑なものに変更し、使い回しをしない。不要なアカウントを削除しアクセス権限を確認する。多要素認証を利用し本⼈認証を強化する。
・IoT 機器を含む情報資産の保有状況を把握する。
・VPN 装置を含むインターネットとの接続を制御するゲートウェイ装置の脆弱性は、攻撃に悪用される可能性があるので、セキュリティパッチ（最新のファームウェアや更新プログラム等）を迅速に適用する。
・悪用が既に報告されている脆弱性については、ログの確認やパスワードの変更など、開発元が推奨する対策が全て⾏われていることを確認する。
・VPN 機器に対する管理インターフェースのインターネット上の適切なアクセス制限を実施する。
・メールの添付ファイルを不用意に開かない、URL を不用意にクリックしないこと。不審メールは、連絡・相談を迅速に⾏い組織内に周知する。

３ インシデントの早期検知

・サーバ等における各種ログを確認する。（例︓⼤量のログイン失敗の形跡の有無）
・通信の監視・分析やアクセスコントロールを再点検する。（例︓不審なサイトへのアクセスの有無）

４ インシデント発⽣時の適切な対処・回復・サイバー攻撃を受け、システムに重⼤な障害が発⽣したことを想定した事業継続計画が策定する。
・データ消失等に備えて、データのバックアップの実施及び復旧手順を確認する。
・インシデント発⽣時に備えて、インシデントを認知した際の対処手順を確認し、外部関係機関への連絡体制や組織内連絡体制等を準備する。
・インシデント発⽣時及びそのおそれがある場合には、速やかに厚⽣労働省等の関係機関に対し連絡する。

５ ⾦銭の⽀払いに対する対応

サイバー攻撃をしてきた者の要求に応じて⾦銭を⽀払うことは、犯罪組織に対して⽀援を⾏うことと同義と認識しており、以下の観点により⾦銭の⽀払いは厳に慎むべきである。
・⾦銭を⽀払ったからと⾔って、不正に抜き取られたデータの公開や販売を⽌めることができたり、暗号化されたデータが必ず復元されたりする保証がないこと。
・一度、⾦銭を⽀払うと、再度、別の攻撃を受け、⽀払い要求を受ける可能性が増えること。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

医療分野におけるサイバーセキュリティ対策

第12回 健康・医療・介護情報利活用検討会
医療等情報利活用ワーキンググループ（令和４年９月５日）資料２-２

復旧対応 ① バックアップの作成・管理の徹底－ 医療情報セキュリティ研修およびG-MIS調査を通じ、バックアップの具体的な作成が明記された医療情報システムの安全管理に関するガイドライン（５．
２版）の周知を⾏う。
－ 令和３年６月28日発出「医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)」の記載事項に留意し、データ・システムのバックアップを⾏う。
－ 令和4年度診療報酬改定における診療録管理体制加算に係る報告書（７月報告）により、バックアップ保管に係る体制等の確認を⾏う。
② 緊急対応手順の作成と訓練の実施－ 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時
初動対応⽀援・調査事業一式」において、サイバーセキュリティインシデントが発⽣した際の対応手順の調査を⾏い、適切な対応フローの整理を⾏う。また、整理した対応フローをもとにサイバーセキュリティインシデントに備えたBCPの提案を⾏う。

医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

20中・⻑期的な医療分野におけるサイバーセキュリティ対策
第12回 健康・医療・介護情報利活用検討会
医療等情報利活用ワーキンググループ（令和４年９月５日）資料２-２【今後の検討事項】

バックアップデータの暗号化・秘匿化
・最新技術を利用したバックアップの検討－医療情報のよりセキュアなバックアップを⾏うため、バックアップデータの暗号化・秘匿化に向けた検討を進める。

保健医療分野におけるSOC（Security Operation Center）の構築の検討※ SOCとは、セキュリティ・サービス及びセキュリティ監視を提供するセンターのこと。（引用元︓サイバーセキュリティ2022）

・ 24時間365⽇体制で、プロキシサーバーを経由した医療機関に対する不審な通信やウェブサイトの稼働状況を監視することで、サイバー攻撃の早期発⾒が可能となる。
・保健医療分野を横断的に監視することで、医療機関に対して多く使われる攻撃手法・昨今のサイバー攻撃の傾向を観測することができ、その観測データを医療機関内のCSIRTや情報共有体制（ISAC）へ提供することにより、分析および対策に資することが可能となる。ただし、セキュリティ対策にかける費用と損害のバランスには留意が必要。
・厚⽣労働省において、令和４年度事業として「保険医療機関等へのセキュリティ監視環境検証事業」を実施予定。医療機関へ情報資産の実地調査等を⾏い、セキュリティ監視システムの全体構成の検討や保健医療分野において望ましいSOC構築に向けた検討を⾏っていく。

その他
・｢医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン｣の対象事業者と医療機関等の合意形成の項目及び、
HELICS協議会において医療情報化指針として採択した（令和4年8月）｢製造業者/サービス事業者による医療情報セキュリティ開⽰書｣（MDS/SDS）の遵守を業界団体及び医療機関に徹底する。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

21

医療分野のサイバーセキュリティに関する検討状況

第7回サイバーセキュリティ研究会（令和４年４⽉11⽇）資料３より抜粋• 医療機関における外部ネットワーク接続の拡⼤等を踏まえ、厚⽣労働省において、サイバーセキュリティ対策の在り方を検討中。

医療機関等のサイバーセキュリティ対策
厚⽣労働省において、医療機関における外部ネットワーク接続の拡⼤や、国内の医療機関を標的にしたサイバー攻撃の増加を踏まえ、医療機関等におけるサイバーセキュリティ対策のあり⽅に関する調査研究を実施。
本調査研究事業では、
 国内外における医療情報セキュリティ動向調査
 医療情報システムのクラウド化における現状調査
 よりわかりやすいチェックリストの提案
 有効なモデルセキュリティポリシー案の策定
 医療機関における「サイバーセキュリティお助け隊」の活⽤可能性・追加すべきオプション等の検討を実施予定。

医療機関の規模やネットワーク構成等により、お助け隊をそのまま活⽤できるもの、特殊事情に合わせたオプションを必要とするものなどが存在する可能性。これらを経済産業省と厚⽣労働省とで連携し、精査・検討していく。
医療情報セキュリティ研修及びサイバーセキュリティインシデント発⽣時初期対応⽀援・調査事業

皆様へのお願い・G-MIS調査に関するご協力のお願い
・サイバーインシデント（疑い）事案時の厚生労働省等へのご報告
・医療機関等に求めているサイバーセキュリティ対策の徹底22