2025年11月7日、高市首相が経済安全保障推進会議で重要な発表を行いました。電気やガスなどの基幹インフラに「医療分野」を新たに追加し、サイバー攻撃対策を大幅に強化するというのです。この決定は、病院や医療機関を狙ったサイバー攻撃が急増している現状を受けての緊急措置と言えるでしょう。
なぜ今、医療機関のサイバーセキュリティが重要なのか
医療機関は、患者の生命に直結する重要なインフラです。しかし近年、世界中で病院を標的としたサイバー攻撃が激増しています。私がフォレンジック調査で実際に対応した事例では、地方の総合病院がランサムウェア攻撃を受け、電子カルテシステムが完全に停止。緊急手術の延期や患者の転院を余儀なくされ、復旧まで3週間を要したケースがありました。
攻撃者にとって医療機関は「絶対に業務を止められない」という弱点があるため、身代金を支払いやすい標的として狙われやすいのが現実です。実際、米国では医療機関の約80%が何らかのサイバー攻撃を受けた経験があると報告されています。
経済安全保障推進法改正で何が変わるのか
今回の法改正により、医療機関は以下の義務が新たに課せられる可能性があります：
- 重要な医療機器やシステムの調達先について国への事前報告
- 保守管理委託先のセキュリティ体制の審査強化
- サイバーセキュリティインシデント発生時の迅速な報告義務
- 定期的なセキュリティ監査の実施
これらの措置は、医療機関のセキュリティレベル向上に確実につながるでしょう。しかし、法的義務を待つまでもなく、医療機関は今すぐセキュリティ対策を強化すべきです。
医療機関が直面するサイバー脅威の実態
私のCSIRT経験から、医療機関で特に多発している攻撃パターンをご紹介します：
1. ランサムウェア攻撃
電子カルテや医療画像データを暗号化し、身代金を要求する攻撃です。ある中規模病院では、夜間に管理者権限を乗っ取られ、翌朝には全システムが暗号化されていました。復旧に1か月、損失額は2億円を超えました。
2. 医療機器への侵入
CTやMRIなどの高額医療機器がネットワーク接続されることで、新たな侵入口となっています。古いOSを使用している機器は特に脆弱で、アップデートも困難なため狙われやすいのです。
3. 個人情報の窃取
患者の診療記録や個人情報は、ダークウェブで高値で取引されます。ある事例では、5万人分の患者データが流出し、損害賠償と信用失墜で病院の経営が危機的状況に陥りました。
医療機関が今すぐ導入すべきセキュリティ対策
1. エンドポイントセキュリティの強化
医療現場では多数のPC、タブレット、医療機器がネットワークに接続されています。これら全てのエンドポイントを保護する包括的なアンチウイルスソフト
の導入は必須です。特に医療機関向けに設計された製品を選ぶことで、業務への影響を最小限に抑えながらセキュリティを確保できます。
2. ネットワーク分離とアクセス制御
電子カルテシステムと一般業務システムを物理的に分離し、不要なアクセスを遮断することが重要です。また、リモートアクセス時には必ずVPN
を使用し、暗号化された通信路を確保してください。
3. 定期的なWebサイトセキュリティ監査
病院のWebサイトから侵入される事例も増加しています。患者向けポータルサイトや予約システムにはWebサイト脆弱性診断サービス
を定期的に実施し、脆弱性を事前に発見・修正することが欠かせません。
セキュリティ投資は「コスト」ではなく「投資」
多くの医療機関でセキュリティ対策が後回しにされる理由は、「直接収益に結びつかない」という誤解です。しかし、サイバー攻撃による被害コストを考えれば、事前の対策投資は確実にROIが見込める投資なのです。
実際に攻撃を受けた医療機関の復旧コストは平均1,000万円以上、大規模な場合は億単位の損失となります。それに対し、適切なセキュリティ対策に必要な年間コストは数十万円程度。この差は明らかです。
今後の医療機関セキュリティの方向性
経済安全保障推進法の改正により、医療機関のセキュリティ要件は確実に厳格化されます。しかし、これは決してネガティブな変化ではありません。国全体でセキュリティレベルが向上することで、患者と医療従事者双方の安全が確保されるのです。
特に中小規模の医療機関では、限られた予算とリソースでセキュリティ対策を進める必要があります。そのためには、効果的で導入しやすいソリューションを選択することが重要です。
まとめ：医療機関は今すぐ行動を
高市政権の経済安全保障推進法改正は、医療機関のサイバーセキュリティに新たな局面をもたらします。法的義務化を待つのではなく、今すぐ以下のアクションを開始してください：
- 現在のセキュリティ体制の総点検
- 包括的なアンチウイルスソフト
の導入検討 - VPN
によるリモートアクセス環境の整備
- WebサイトのWebサイト脆弱性診断サービス
実施
- 職員向けセキュリティ研修の実施
サイバー攻撃は「もしかしたら」ではなく「いつか必ず」起こる現実的な脅威です。患者の生命と個人情報を守るため、そして医療機関としての社会的責任を果たすため、今すぐセキュリティ対策の強化に取り組みましょう。
一次情報または関連リンク
