長野県立こども病院で発生した深刻な情報漏洩事件
2025年8月5日、長野県立病院機構から衝撃的な発表がありました。長野県立こども病院の看護師が、電子カルテの画面をスマートフォンで撮影し、その画像を知人にLINEで送信していたのです。
この事件は、医療機関における情報セキュリティの脆弱性を如実に示しており、私たちフォレンジックアナリストとしても見過ごすことのできない重大な案件です。
事件の詳細と被害の実態
流出した画像には以下の情報が含まれていました：
– 診療科名
– 患者氏名（黒塗り処理済み）
– 病棟名（黒塗り処理済み）
– 24名分の患者一覧画面
看護師は「自分の職場のことを知ってもらい、看護師としての苦労を分かってもらいたかった」と動機を語っていますが、これは典型的な内部不正による情報漏洩パターンです。
医療機関で頻発する内部不正の実態
私がCSIRTとして対応してきた医療機関の情報漏洩事件では、実に80%以上が内部関係者による不正行為でした。特に以下のパターンが多発しています：
1. SNSでの情報共有による漏洩
– 今回の事件のように、LINEやFacebookでの情報共有
– 患者の状況を同僚や友人に相談する際の不注意な投稿
– 医療従事者同士の専門的な議論での患者情報の取り扱い
2. スマートフォン撮影による記録保存
– 申し送り用のメモとして画面撮影
– 研修や勉強会での資料作成目的
– 業務効率化を図った結果の規則違反
この事件が示すセキュリティリスクの深刻さ
個人特定のリスク
氏名が黒塗りされていても、以下の情報から個人が特定される可能性があります：
– 診療科名と日時の組み合わせ
– 病院の規模と地域性
– SNSでの関連投稿との照合
実際、過去の事例では、このような部分的な情報からでも患者が特定されたケースが複数あります。
二次流布の危険性
LINEで送信された画像は：
– 受信者のスマートフォンに保存
– クラウドバックアップサービスに自動アップロード
– LINEサーバーに一定期間保管
– さらなる転送や拡散の可能性
個人ができるセキュリティ対策
医療機関利用者として、私たち個人ができる対策があります。
1. 個人情報保護への意識向上
医療機関での診察時には、周囲の状況にも注意を払い、不審な撮影行為があれば即座に報告しましょう。
2. デジタルセキュリティの強化
自分自身のデジタル環境も見直すことが重要です。アンチウイルスソフト
を導入することで、万が一医療情報が含まれたファイルがマルウェアによって流出することを防げます。
また、医療機関のオンライン予約システムや患者ポータルサイトを利用する際は、VPN
を使用して通信を暗号化することをお勧めします。
医療機関・企業が取るべき対策
技術的対策
– 電子カルテシステムへのアクセス制御強化
– スマートフォンやUSBデバイスの持ち込み制限
– 画面撮影を検知するソフトウェアの導入
– ネットワーク監視システムの構築
組織的対策
– 情報セキュリティ教育の徹底
– 内部監査体制の強化
– 懲戒規定の明確化と周知
– 定期的なセキュリティ意識調査
企業や医療機関では、Webサイト脆弱性診断サービス
を定期的に実施することで、システムの脆弱性を早期発見し、攻撃者に悪用される前に対策を講じることが可能です。
事件の時系列と処分内容
事件の経緯
– 2025年4月4日：看護師がLINEで画像を知人へ送信
– 2025年7月22日：県担当課が通報文書を受理
– 2025年7月31日：病院機構が調査開始
– 2025年8月1日：漏洩事実を確認
– 2025年8月5日：機構がプレスリリースを発出
– 2025年9月4日：看護師に停職1か月の処分
処分の妥当性
停職1か月という処分は、情報の機微性を考慮すると軽いと言わざるを得ません。過去の類似事例では、懲戒解雇に至ったケースも多数あります。
今後予想される影響と対策
医療機関への信頼失墜
この事件により、患者の医療機関への信頼は大きく損なわれました。特に小児医療という繊細な分野での情報漏洩は、保護者の不安を増大させます。
法的責任の可能性
– 個人情報保護法違反
– 医療法上の守秘義務違反
– 患者からの損害賠償請求
フォレンジック調査で明らかになること
このような事件では、デジタルフォレンジック調査により以下が明らかになります：
調査対象
– 看護師のスマートフォン内のデータ
– LINEの送受信履歴
– クラウドサービスへのアップロード状況
– 電子カルテシステムのアクセスログ
証拠保全の重要性
適切な証拠保全により、情報の流出範囲や影響度を正確に把握し、被害の最小化を図ることができます。
まとめ：医療機関情報漏洩から学ぶべき教訓
今回の長野県立こども病院の事件は、医療機関における情報セキュリティの重要性を改めて浮き彫りにしました。技術的な対策だけでなく、職員の意識改革と組織的な取り組みが不可欠です。
個人レベルでも、アンチウイルスソフト
やVPN
を活用してデジタル環境を保護し、企業ではWebサイト脆弱性診断サービス
により継続的なセキュリティ強化を図ることが重要です。
医療情報の保護は、患者の人権と尊厳に直結する問題です。すべての関係者が当事者意識を持って取り組む必要があります。
