2023.09.16 医用画像情報研修会

サイバーセキュリティ対策に関する施設アンケート調査の結果報告
公益社団法人

秋田県診療放射線技師会
調査企画委員会
学術委員会（医療画像情報研修会担当委員）

背景
2021年10月 徳島県つるぎ町立半田病院 ランサムウェア攻撃により一部診療停止
2022年12月 大阪急性期・総合医療センター ランサムウェア攻撃により一部診療停止

医療機関に対するランサムウェア攻撃が問題となり、医療法施行規則等の一部改正およびガイドラインの改訂が行われた。
2023年4月

医療法施行規則第14条第2項に「サイバーセキュリティ確保に必要な措置を講じる」条項を追加
医療法第25条第1項の規程に基づく立入検査に「サイバーセキュリティ確保のための取組状況」を追加

同 年5月

医療情報システムの安全管理に関するガイドライン 第6.0版 発出

目的【医療情報システムの安全管理に関するガイドライン】の発出により「サイバーセキュリティ確保」のための取り組みが求められている。

このような状況から「サイバーセキュリティ対策」の現状を把握することを目的に秋田県内各施設を対象にしたアンケート調査を行った。

アンケート方法• 記入方法• 配布方法• 設問数• 回答期間• 回答対象者• 得られた回答数：Googleフォーム：秋田県診療放射線技師会HP、会員メーリングリストおよび施設メーリングリスト：18：令和５年 7月25日～ 8月25日：１施設につき１回答：14

Q1 ご施設の病院区分は

Q2 ご施設の病床数は
5

n = 14
33

2
1

各種診療所

国公立病院

14%

（国立・県立・市立等）

n = 1436%

診療所（無床）100～199床

300～499床

500床以上Q3 ご施設の診療放射線技師は延べ人数は
4

公的病院

200～299床

4

3

n = 142（労災・日赤・厚生連等）

1

50%

4名以下

5~9名

10~19名20~24名

25名以上

Q4 令和5年4月1日付で医療法施行規則の一部が改正され、サイバーセキュリティ確保のための措置が義務化されたことは知っていましたか

Q4-1 この医療法施行規則一部改正について、所属部署での認知度はいいえ

半数が知っている

14%

14%
ほとんど知らない36%

n = 14n = 14

はい一部が知っている86%50%

Q5-2 このガイドラインに
Q5 医療情報システムの安全管理に Q5-1 医療情報システムの安全関するガイドラインが第６．０版に 管理には、情報セキュリティ方針 ついて所属部署での認知度は改正されたことを知っていましたか と個人情報保護に関する方針があることを知っていますか
半数が知っている

いいえ

7%

21%

はい
いいえ n = 14
57%

43%

n = 14n = 14はいほとんど知らない79%

57%

一部が知っている36%

Q6 医療情報システムを導入・運用していますか

いいえ

カルテ等の医療情報を紙媒体で運用し、情報システム上では医療情報を扱わない業務のみを行っている場合でも、医療機関等以外の医療情報へのアクセスが発生する場合は、ガイドラインを参照すべきことを知っていますか
Q6-1

0%

n = 14はい100%

Q6でいいえ0％のため回答無し

Q7 医療情報システム安全管理責任者を設置していますか

Q7-1 医 療 情 報 シ ス テ ム を 管 理する担当者を選任していますか

施設全体のことなのでわからない

いいえ

7%

（設置していない）

いいえ

21%

（設置していない）
21%

n = 14n = 14はい（設置している）

はい

72%（設置している）
79%

Q8

医療情報システム（サーバ、端末PC、ネットワーク機器）に関する台帳管理を行っていますか

今年度中に行う予定
7%

いいえ（未定を含む）43%

n = 14はい50%

Q9 医療情報システムや医療機器でリモートメンテナンス(保守)を導入している機器はありますかQ9-1 Q9“はい”のうち、リモートメンテナンスを行っている事業者から製造業者／サービス業者による医療情報セキュリティ開示書（MDS/ SDS）を受け取っていますかn = 12
いいえ

確認していない

7%

7%

はい17％

確認していないのでわからない
83％

n = 14はい86%

Q9-2 Q9“確認していない”のうち、医療情報システムや医療機器でリモートメンテナンス(保守)を導入している機器を確認する予定ですかはい100％

n=1

Q10 利用者の職種・担当業務別の Q11 退職者や使用していない
情報区分ごとにアクセス権限をアカウント等、不要なアカ設定していますか
ウントを削除していますか

いいえ

わからない

7%

（確認していない）
7%

Q12 アクセスログは管理していますかわからない

していない（確認していない）

7%

14%
わからない

していない

n = 1414%（確認していない）

n = 1429%

n = 14
している

している
はい
86%

72%

64%

Q13 安全管理のために訓練（メールによる攻撃等）・教育が行われていますか

Q14

医療情報の管理において機器やデータの持ち出し時の手順書を策定していますか

いいえ
14%

行わない
29%

している

n = 14行う予定でいる14%

いいえn = 14

行っている（持出厳禁としている）

57%

29%
策定中・予定14%

43%

Q15 ご施設又は所属部署では Q16 サイバー攻撃のインシデン
ト発生時に、組織内と外部関サイバー攻撃等を想定した事係者（事業者、厚労省、警察業継続計画（BCP）を策定し等）への連絡体制図はありまていますか
すか

Q17 組織内（保守ベンダーや外注事業者が設置した機器を含む）のVPN機器の設置場所を把握していますか＊VPN：仮想専用線

はいない

14%
いいえ

43%

ある

28%

はい36%

n = 14n = 14いいえ57%

策定中・予定43%

作成中・予定36%

n = 1443%

Q18 サイバーセキュリティ対策として、特別対策されていることや、疑問や不安な点がございましたらご自由にご入力ください• 病診連携における画像ネットワークのセキュリティ対策について、確認しておくべき重要事項は何でしょうか？
• 今後の対策にゼロトラストを導入することが予想されますが、従来のオンプレミスよりも導入、維持費が大きくかかると言われています。思想は大切ですが、現実予算の無い施設において、今後どのような工夫や助成を利用して導入されていくものか不明です。

まとめ• 各施設における医療情報システムのサイバーセキュリティ対策についてアンケート調査を行い、14施設から回答を得た。
• サイバーセキュリティに関する情報として、医療法の改正については86％の施設が、また64％の部署構成員が認知していた。一方でガイドラインの改正については、43％と認知度が低かった。
• 医療情報システムの安全管理の運用体制について、72％の施設で安全管理者を設置し、部署内担当者の選任も79％とこの対策に関わることが業務の一環である事が伺われた。
• 医療情報システムや医療機器の保守管理は、施設の86％でリモートメンテナンスを導入していたが、事業者等によるセキュリティ開示書を受け取っている施設はその内17％と少なかった。
• 医療情報システムの運用上、アカウント・アクセス権限・ログの管理を行っている施設はそれぞれ72％、86％、64％となっていた。
• 安全管理の教育・訓練については、行っている或いは予定しているを含めて71％であった。
• 部署内における医療情報の持ち出しについて、手順書を策定し管理しているが43％、策定予定が14％、持出厳禁が29％と8割を超えるものの、管理していない施設も14％あった。
• 事業継続計画（BCP）の策定は14％に留まり予定を含めて57％、インシデント発生する時の連絡体制図は36％で予定を含めて72％と言う状況であった。

結語• 県内の医療機関数に対して回答された14施設は極限られた施設であるが、そのほとんどの施設が積極的に医療情報管理を進めている施設であることがうかがえた。
• 今年度、医療法の改正・ガイドラインの改訂により、各施設で医療情報システムのサイバーセキュリティ対策が求められるようになった。先ずはこのことを認識した上で、この事は施設として取組む問題ではあるが、常に医療情報に触れ業務に活用している職種として知っておくべき知識も多く、一読する事を薦める。
• 今回のアンケートをきっかけに対応を検討している施設の会員は、事業者や他職種とのコミニュケーションを活性化し、危機管理を前提にした安全管理が行なえるよう、マニュアル等の策定を是非とも進めていただきたい。
• 県内にはこの取組を認識していない施設も多数あると思われるので、啓蒙する企画を継続することが必要と思われる。

ご協力ありがとうございました