「セキュリティ対策はやらなければいけないとわかっているが、何から手をつければいいかわからない」
そう感じている医療機関の院長・管理者の方は多いはずです。実は、国が具体的な指針を提供しています。厚生労働省の「医療情報システムの安全管理に関するガイドライン」です。
本記事では、このガイドラインのポイントをクリニック・診療所の視点でわかりやすく解説し、今すぐ実施できるチェックリストとして整理します。
厚生労働省ガイドラインとは
正式名称： 医療情報システムの安全管理に関するガイドライン 第6.0版（2023年5月）
医療機関が電子カルテ・レセコン・Webシステムなどの医療情報システムを安全に運用するための基準を定めたものです。対象は「病院に限らず、すべての医療機関」であり、個人クリニックも対象に含まれます。
法的位置づけ： このガイドラインは「努力義務」に位置づけられていますが、2022年の個人情報保護法改正により、医療機関における情報漏洩への対応は事実上の法的義務となっています。ガイドライン未整備の医療機関が被害を受けた場合、過失を問われるリスクがあります。
クリニックが特に注意すべき5つの要件
要件1：アクセス管理（第6章）
ガイドラインは「正当なアクセス権を持つ者だけがシステムにアクセスできる体制」を求めています。
クリニックで確認すべき点：
- スタッフごとに個別のIDとパスワードを設定しているか
- 退職・異動したスタッフのアカウントを即日削除しているか
- 電子カルテへのアクセス権を「必要な人だけ」に限定しているか
実際の被害事例（2026年8月・Medi Face）： 当社が受けた攻撃では、Webサーバーへの不正アクセス後に管理者権限が奪われました。複数のユーザーが管理者権限を持つ設定が、被害拡大の一因でした。
要件2：外部委託管理（第7章）
Webサイト・電子カルテ・レセコンを外部ベンダーに委託している場合、委託先のセキュリティ対応も医療機関の責任とされます。
確認すべき点：
- ホスティング会社・システム会社との契約にセキュリティ条項が含まれているか
- 委託先がインシデント発生時に速やかに報告する義務を負っているか
- 委託先のセキュリティ資格・認証（ISMS等）を確認したことがあるか
要件3：バックアップと復旧（第8章）
ガイドラインはデータのバックアップと、インシデント発生後の復旧計画（BCP）の整備を求めています。
推奨されるバックアップ体制：
| 区分 | 最低基準 | 推奨 |
|---|---|---|
| 電子カルテデータ | 毎日・オフサイト保存 | リアルタイム同期＋週次オフライン |
| Webサイト | 月1回 | 週1回・サーバー外保存 |
| 設定ファイル | 変更の都度 | 変更の都度＋バージョン管理 |
要件4：インシデント対応（第9章）
攻撃を受けた場合の対応手順（インシデントレスポンス）をあらかじめ定めておくことが求められています。
最低限整備すべき手順：
- 異常検知の担当者と連絡体制
- 初動（証拠保全・業務継続の判断）
- 関係機関への報告（個人情報保護委員会・JPCERT/CC）
- 患者への通知基準
- 再発防止策の記録
要件5：物理的セキュリティ（第5章）
デジタルだけでなく、物理的なアクセス管理も重要です。
確認すべき点：
- サーバー室・ネットワーク機器の設置場所に施錠があるか
- 端末の画面ロックが設定されているか（離席時の自動ロックを含む）
- 廃棄する記録媒体（HDD・USBメモリ）を適切に破棄しているか
ガイドライン準拠チェックリスト
以下の項目を確認してください。「×」または「未確認」の項目が優先対応事項です。
システム管理
- [ ] WordPressを含むCMSを最新バージョンに保っている
- [ ] 使用していないプラグイン・テーマを削除している
- [ ] 管理画面のパスワードが12文字以上の複雑なものになっている
- [ ] 管理画面へのアクセスをIPアドレスで制限している
- [ ] 多要素認証（MFA）を管理者アカウントに設定している
アクセス管理
- [ ] スタッフごとに個別のIDを付与している
- [ ] 退職者のアカウントを即日無効化している
- [ ] 管理者権限を持つアカウントが最小限になっている
- [ ] Googleサーチコンソールのユーザーを定期確認している
バックアップ
- [ ] Webサイトの定期バックアップを取得している
- [ ] バックアップをサーバー外（クラウド等）に保存している
- [ ] バックアップからの復元テストを実施したことがある
監視・検知
- [ ] Googleサーチコンソールの「セキュリティの問題」を定期確認している
- [ ] サーバーのアクセスログを保存・確認できる状態にある
- [ ] 異常検知時の連絡先（担当エンジニア・ホスティング会社）をすぐ確認できる
教育・体制
- [ ] スタッフにフィッシングメールへの注意を周知している
- [ ] インシデント発生時の初動手順を文書化している
- [ ] ガイドラインの最新版を確認した日付を記録している
「うちは小さいクリニックだから」は通じない
2022年の個人情報保護法改正により、漏洩件数が1件でも個人情報保護委員会への報告義務が生じる場合があります（要配慮個人情報を含む場合）。医療情報は「要配慮個人情報」に該当します。
「規模が小さいから対象外」という考え方は、現行法のもとでは成り立ちません。
相談・報告先
| 機関 | 役割 | 連絡先 |
|---|---|---|
| 厚生労働省 | ガイドライン・政策情報 | https://www.mhlw.go.jp/ |
| 個人情報保護委員会 | 漏洩報告の受付 | https://www.ppc.go.jp/ |
| JPCERT/CC | サイバー攻撃対応支援 | https://www.jpcert.or.jp/form/ |
| 警察庁サイバー犯罪相談 | 被害届・相談 | #9110 |
まとめ
厚生労働省のガイドラインは、「何をすべきか」を明確に示しています。完璧な対策を一度に揃える必要はありません。チェックリストで現状を把握し、優先度の高い項目から順に対応することが重要です。
当社の被害事例と詳細な技術解析：MF-2026-0812（GitHub）
株式会社Medi Face お問い合わせ：info@medi-face.co.jp