脅威に感じていたサイバーセキュリティ攻撃

2006年に開業した網本内科消化器科医院。肝臓・消化器病・総合内科専門医の網本達也先生は、20年にわたり地域住民の医療・健康を支えてきました。C型肝炎などの肝臓疾患が減少してきた現在、上部・下部内視鏡検査をはじめとする消化器内科や生活習慣病を中心とした一般内科に注力した診療を行っています。「検査結果に基づいた治療方針を丁寧に説明し、患者さんの納得のうえで治療に臨んでいます」（網本先生）と診療方針を説明しています。

同医院は以前からメディコムの電子カルテを利用しており、各種検査機器をはじめオンライン資格確認システムや機器のリモート保守回線などネットを介して院外に接続される環境があります。昨今の医療機関におけるランサムウェア（身代金要求型ウイルス）などによるサイバーセキュリティ被害に対して網本先生は、脅威を感じつつも報道される被害は大・中規模病院が中心であり、クリニックはまだ標的になりにくいのではと考えていたといいます。

とはいえ、先生個人が利用しているパソコンには毎日のようにフィッシングメールなどが届いており、「常にセキュリティソフトを更新は確実に実施することはもちろん、セキュリティに対する意識もあると認識しています」と網本先生。しかしながらクリニックのシステムは幸い何らかのサイバー攻撃を受けたことはなく、特に自らセキュリティ対策には取り組んでいなかったといいます。

自院のシステム環境を熟知するベンダーに任せられる安心

一方、2021年以降、医療機関のサイバーセキュリティインシデントは、ニュースで大きく報道された病院に留まらずクリニックや薬局も標的になってきたことを受け、厚生労働省は2023年4月の医療法施行規則改正でサイバーセキュリティ対策を義務化しました。「数々の医療機関が被害を受け、診療停止を余儀なくされたうえに復旧に大きな課題を抱えたことを見聞きしていたので、セキュリティ対策の義務化は当然の成り行きでしょうし、私たちクリニックを含め対策していく必要があります」。網本先生はこう受け止めつつも、セキュリティ対策義務化の対応にはクリニックにおいては大きな課題があると指摘します。

「セキュリティの知識もなく、義務化への対応も何からどう手をつけるべきかわからないのが実状。日々の診療業務に追われている状況下ではベンダーにお任せするしかないのが現状です」（網本先生）。おそらく多くのクリニックの院長が抱える課題ではないでしょうか。そうした中、2025年10月の電子カルテシステム更新時にベンダーであるウィーメックスから紹介・提案があったのが、「サイバーセキュリティ レポートサービス」でした。

セキュリティ対策に取り組まなければと思いつつ、何から始めていいかわからなかったという網本先生は同サービスの説明を受け、「電子カルテを中心とした院内ネットワーク全般をチェックし、対策の指南をしてもらえればセキュリティを強化できるのではないかと思いました」とし、導入に踏み切りました。

特に使用している電子カルテシステムのベンダーが提供するサービスである点を高く評価しており、導入の決め手を次のように話しています。「自院の機器・ネットワーク環境はもとより、設定や運用状況もすべて理解してもらっているので、安心して任せられます」（網本先生）

導入の検討では他社サービスを調査・比較はしなかったものの、ネットワーク環境やセキュリティ状況の調査に基づくレポート、利用者ID管理や実際的な連絡体制図の提案など各種のセキュリティアドバイスといったサイバーセキュリティ レポートサービスの内容から見て、「サービス価格は妥当」（網本先生）だと評価しました。

スタッフのセキュリティ教育やBCP策定にも活用

サイバーセキュリティ レポートサービスには、（1）医療情報システム一覧・機器管理台帳、ネットワーク構成図、利用者ID台帳、セキュリティインシデント発生時の連絡体制図テンプレートなどのレポート、（2）厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版」やIPA（情報処理推進機構）の情報セキュリティ診断などをベースにしたリスク診断チャート、（3）クリニックと患者を守るための各種セキュリティアドバイスという3つの特徴があります。こうしたレポートやアドバイスを基にしたサイバーセキュリティ対策チェックリスト作成ナビもあることから、「自分で一から対策チェックリストを作成するとなると時間も知識もなく大変ですが、これらを活用すれば何とか作成できるのではと思っています」（網本先生）としています。

また、従業員のセキュリティ教育などもこれまで特に取り組んできていないとしていますが、同レポートには「今日からできるセキュリティ対策チェックポイント」や20本を超える教育動画などのコンテンツも付属しており、「有効なコンテンツが揃っているので、ぜひ活用して私自身を含めスタッフのセキュリティ意識を高めていくために活用していきたいと考えています」（網本先生）と述べています。

医療機関におけるサイバーセキュリティ対策チェックリストにも項目があるように、医療機関に対して事業継続計画（BCP）の策定も求めています。同レポートにはサイバー攻撃や災害発生時に、例えば電子カルテが使用できない場合などを想定したBCP策定のサンプルフォーマットも付属。「サイバー攻撃も災害もいつ何時発生するかわからないわけですから、診療を継続可能にする対策手順は考えておく必要があると思いますが、私たちでは策定する術がありません。具体的な策定支援サービスもあるので、ぜひ活用していきたいと思います。それによってスタッフの対応意識も高まるのではと考えています」（網本先生）

サイバーセキュリティ レポートサービスの「本格的な活用はこれから」とする網本先生ですが、同サービスの導入を検討するクリニックに対して次のように話しています。「小規模なクリニックといえども、サイバーセキュリティ対策は必須になっています。日々の繁忙な診療業務の中、自分自身で対策していくのは知識不足もあって困難なのが現状と思います。ベンダーの支援は必須であり、特にメディコムの電子カルテを使用しているクリニックにとっては導入すべきサービスだと思います」（網本先生）