全日本病院協会 医療行政情報
https://www.ajha.or.jp/topics/admininfo/

事務連

絡

令和６年２月 26 日

公益社団法人

全日本病院協会

御中厚生
労働省
医政局
参事官（特定医薬品開発支援・医療情報担当）付医療情報室「医療機関におけるサイバーセキュリティ確保事業」の実施に係る支援対象病院の選定について（依頼）

日頃より厚生労働行政に対しご協力を賜り、厚く御礼申し上げます。
医療機関におけるサイバーセキュリティ確保事業の実施については、令和６年２月 16 日
付事務連絡「「医療機関におけるサイバーセキュリティ確保事業」の実施に係る支援対象病院の選定について（依頼）」において、周知をお願いしているところです。
都道府県宛事務連絡及び参考資料を一部加筆修正しておりますので、貴会会員への周知に改めてご協力いただきますようよろしくお願いいたします。

（照会先）
厚生労働省医政局参事官（特定医薬品開発支援・医療情報担当）付医療情報室室長補佐 松田、管理係 篤田
０３－５２５３－１１１１（内線：8835）

事務連

絡令和６年２月 26 日

各都道府県 衛生主管部（局）

御中

厚生
労働省
医政局
参事官（特定医薬品開発支援・医療情報担当）付医療情報室「医療機関におけるサイバーセキュリティ確保事業」の実施に係る支援対象病院の選定について（依頼）

日頃より厚生労働行政に対しご協力を賜り、厚く御礼申し上げます。
医療機関におけるサイバーセキュリティ確保事業の実施については、令和６年２月 15 日付事務連絡「「医療機関におけるサイバーセキュリティ確保事業」の実施に係る支援対象病院の選定について（依頼）」において、支援対象病院の選定をお願いしているところです。
事業の実施に先立ち、令和６年２月 19 日に開催いたしました当該事業の趣旨や対象病院選定にあたっての考え方等に関する説明会においていただいたご意見を踏まえ、別記及び参考資料を修正いたしましたので、支援対象病院の選定にご協力いただきますようよろし
くお願いいたします。
なお、各都道府県からの質問等をＱＡとしてとりまとめたものを、別途、参考までに各都道府県担当者に情報提供させていただきます。

（照会先）
厚生労働省医政局参事官（特定医薬品開発支援・医療情報担当）付医療情報室室長補佐 松田、管理係 篤田
０３－５２５３－１１１１（内線：8835）

（別記）

１

支援対象の医療機関
当該事業における支援の対象は、電子カルテシステムを導入している病院※令和５年度補正予算の当該事業では、令和６年度に約 2,000 病院の支援を行うこととしており、２か年で全ての電子カルテシステム導入済みの病院の支援を目指しています。
２

支援対象病院の選定方法○

支援対象病院の選定は、各都道府県別病床規模別に示す数（支援枠）の病院を過不足なく選定してください。
なお、支援枠の調整が必要な場合は、事前にご相談いただくようお願いいたします。

○

支援対象病院の選定方法は、基本的には、各都道府県の判断に委ねることとします。

（選定に当たっての考え方の例）
・地域における救急等の主要な診療機能を担っており、サイバー攻撃の影響により診療停止等となった場合に地域医療に与える影響が大きいと思われる病院
・立入検査等においてセキュリティー対策が不十分と思われる病院
３

提出期限等
提出期限：令和６年３月１５日（金）まで（目処）なお、期限までの提出が困難な場合は、個別対応を検討いたしますので、照会先までご相談ください。
提出方法：別紙様式により提出

４

その他

○

選定された支援対象病院への支援に関しては、当該事業の受託企業から直接支援対象病院に連絡等行い進めることとなります。（特に都道府県で対応していただくことはありません。
）○

支援した病院の調査結果については、必要とする各都道府県には情報提供ことも可能ですので、予めご相談ください。

医療機関におけるサイバーセキュリティ確保事業について① 施策の目的

令和５年度第一次補正予算額

36億円

医療機関の医療情報システムがランサムウェアに感染すると、診療の一部を長時間休止せざるを得なくなることから、医療機関等におけるサイバーセキュリティ対策の充実は喫緊の課題となっている。
• そのため、医療機関におけるサイバーセキュリティの更なる確保を行う。
•② 施策の概要
厚生労働省では、全ての外部ネットワーク接続点を確認することを求めているが、中・大規模病院は多数の部門システムで構成されているため、各システムを提供する事業者と個別に連携しても、全てのネットワーク接続を俯瞰的に把握することは困難である可能性がある。
•
また、ランサムウェア対策にはオフライン・バックアップが有効であることを踏まえ、厚生労働省ではオフライン・バックアップ整備を求めている。
•医療機関におけるサイバーセキュリティの更なる確保のため、外部ネットワークとの接続の安全性の検証・検査や、オフライン・バックアップ体制の整備を支援する。
•④ 施策のスキーム図1

① 外部ネットワークとの接続の安全性の検証・検査（作業イメージＰ）• 自組織の医療情報システム一覧・ネットワーク構成図等のご提出①各種資料 • 事前質問票へのご回答
ご提出
事前質問票

ネットワーク構成図• 医療機関情報システム担当者等へのヒアリング（病院内の外部接続点を洗い出す（特に病院内の部門②ヒアリンが独自に外部サービスを導入しているケースもあることから、その把握を重点的に行うこと）

グ• 調査員による医療情報機器及びネットワーク機器等の調査設置場所及び機器情報（設定情報を含む）に関する確認
③現地調査
端末ＰＣ

④調査結果

• 調査結果報告書のご確認
調査結果報告書

報告書ご確
認

業務用DB

◆（想定）作業時間※ 1日8時間

調査員は２または３人（１病院あたり）

・小規模病院（20~199床）⓶ヒアリング・③現地調査あわせて

1.6 ～2.5 日・中規模病院（200~399床）⓶ヒアリング・③現地調査あわせて

3.3 ～ 5 日

・大規模病院（400床以上）⓶ヒアリング・③現地調査あわせて

2
6.6 ～ 10 日

② オフライン・バックアップ体制の整備（作業イメージＰ）①打ち合わせ• 医療機関情報システム担当者等と作業内容の確認

作業時間（想定）
５～８時間• 医療機関でのオフラインバックアップの実施②現地作業

作業時間（想定）※バックアップ媒体（クラウドサービスを含む）
ソフトウェア等は事前に医療機関で準備

５～８時間• 実施報告書のご確認③実施報告書
ご確認

実施結果報告書※ 保守管理、データ復旧作業は作業対象外3

医療機関におけるサイバーセキュリティ確保
事業の概要について
事業概要と主な利点

外部
接続先

院内構成図

構成名

予防

第19回健康・医療・介護情報利活用検討会
医療等情報利活用ＷＧ 資料2-2
一部改変

病院情報システムの各構成①外部NWとの接続の安全性の検証・検査（外部接続点等を把握することで、効果的な機器の設置等が可能になる）
1.受付部門

外来受付・案内

2.医事・会計部門

初動

資格確認端末

医事会計システム

閉域IP
網オンライン請求端
末

審査支払い
基金国保中
央会

電子カルテ・オーダーエントリー②オフラインバックアップ体制の整備（ランサムウェア等による被害を最小限に抑えることができる）

復旧

3.電子カルテシス
テムとオーダーエ
ントリーシステム・オフラインバックアップ体制の整備
4. 各種部門システ
ム（検体検査等）

部門･病棟システム

イン
ター
ネッ
ト

データ
登録端末

※
病院

検査企業/
メンテナン
スサーバ

システム構成の一例

4

事業概要の詳細①※入札仕様書（案）の抜粋①病院の外部ネットワーク接続の俯瞰的把握、安全性の検証・調査
病院の医療情報システムに接続する外部ネットワーク接続点を俯瞰的に把握した上、そのネットワークに係るセキュリティ対策状況を調査する。
その方法については、最低限以下の項目をあげるが、受託事業者は自身の専門的見地から有効と考えられる方法については、以下の項目以外についても積極的に提案すること。最終的な実施方法と調査対象については、当室と相談の上決定すること。また調査対象の業務に支障を来すことのない範囲の調査とすること。
ア 事前に病院に提出してもらう医療情報システムに関する資料（ネットワーク構成図・システム構図）や実施してもらう作業（病院の各部門への周知文書の作成等）に関する調査
イ アの調査結果をもとに病院が保有する医療情報システムに関する全体構成図（ネットワーク構成図・システ
ム構成図）等情報の収集した上で、医療情報システム担当者やシステムベンダーのヒアリングを行い、病院内の外部接続点を洗い出す。特に病院内の部門が独自に外部サービスを導入しているケースもあることから、その把握を重点的に行うこと。
ウ 病院外との接続部分及び病院内の外部接続端末について、ネットワーク況等セキュリティ対策状況調査を行う。

上からの不正アクセスへの対策状

エ イ及びウの結果をとりまとめ、ネットワーク接続点の管理方法や脆弱性 対策の提案等を含めた調査報告書を作成し、調査対象医療機関に報告する。当室へは、業務報告書等内にて報告すること。
5

事業概要の詳細②※入札仕様書（案）の抜粋②病院のオフラインバックアップ体制の整備支援
病院の医療情報システムを対象としたオフラインバックアップ実施に係る支援を行う。その方法については、最低限以下の項目をあげるが、受託事業者は自身の専門的見地から有効と考えられる方法については、以下の項目以外についても積極的に提案すること。
最終的な実施方法と支援対象については、当室と相談の上決定すること。オフラインバックアップ実施に向け、支援対象が準備すべき物品、病院負担部分を明確にして提案すること。
また、オフラインバックアップ計画については、本事業終了以降も病院が継続して有効なオフラインバックアップ体制維持が可能な内容とすること。
１ オフラインバックアップ計画書の策定

２ オフラインバックアップの実施
３ １、２の結果をとりまとめ、実施報告書を策定し、支援対象医療機関に報告すること。当室へは、業務報告書等内にて報告すること。
※バックアップ媒体（クラウドサービスを含む）・ソフトウェアの購入、保守管理、データ復旧作業については、本事業支援の対象外とする。

6