医療機関のリモートアクセス対策｜安全管理ガイドライン第6.0版で見る確認ポイント

医療機関がランサムウェアに感染すると、電子カルテが使えなくなり、診療そのものが止まりかねません。実際の被害でも、入口となったのはVPN装置などネットワーク機器の脆弱性であるケースが多く報告されています。

厚生労働省は、VPN装置等のネットワーク機器の脆弱性を突いた不正アクセスが、医療機関のランサムウェア感染の主要な原因になっているとして、対策の徹底を周知しています（令和8年3月の事務連絡など）。また、医療機関向けのチェックリストでは、二要素認証を実装している、または令和9年度までに実装予定であることが確認項目に含まれています。この記事では、厚生労働省「医療情報システムの安全管理に関するガイドライン（第6.0版）」の観点から、医療機関がリモートアクセスで確認したいポイントを整理します。

この記事は一般的な解説です。実際の対応は、最新のガイドライン本文・Q&A・自院の状況にもとづいて判断してください。

この記事でわかること

• 医療機関がVPN経由で狙われやすい理由
• ガイドライン第6.0版で押さえるべき考え方
• リモートアクセスで確認したいポイント（チェック）

医療機関がVPN経由で狙われやすい理由

医療機関のリモートアクセスには、職員のテレワークだけでなく、システムの保守のために外部事業者が接続する経路も含まれます。これらの接続口は、次の理由で狙われやすくなります。

• インターネットに常時さらされている：接続を受けるため公開され、自動スキャンで見つかる
• 脆弱性・サポート終了（EOL）機器の放置：修正が当たらないまま使い続けられる
• 認証が弱い：二要素認証がなく、流出・使い回しのパスワードで突破される

警察庁「ランサムウェア被害防止対策」でも、VPN機器やリモートデスクトップのぜい弱性が悪用される事例が多数確認されていると説明されています。医療機関では、感染が診療への影響や患者情報の漏えいにつながる可能性があるため、影響がとくに大きくなります。VPN機器の脆弱性そのものの解説はSSL-VPNの脆弱性の記事でも扱っています。

ガイドライン第6.0版で押さえる考え方

厚生労働省「医療情報システムの安全管理に関するガイドライン（第6.0版）」は、概説編・経営管理編・企画管理編・システム運用編に分かれています。第6.0版で大きいのは、セキュリティ対策を情報システム部門任せにせず、院長・理事長などの経営層が主体的に関与することが明記された点です。

もう一つ重要なのが、外部事業者との関係です。医療機関と、システムやサービスを提供する事業者の双方が守るべき内容は、いわゆる「3省2ガイドライン」として整理されています。経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（第2.0版）」は、医療情報システム・サービスを提供する事業者側のガイドラインです。医療機関側では、保守ベンダーやクラウド事業者との契約・責任分界・合意内容を確認する際の参考になります。保守でリモート接続する事業者がいる場合、この取り決めがとくに重要です。

リモートアクセスで確認したいポイント

ガイドラインの考え方を、リモートアクセスに絞って点検できる形にしました。

できていない項目から、一つずつ進めます。厚生労働省の医療機関向けチェックリストでは、これらに加えて、サーバー・端末・ネットワーク機器の台帳、リモートメンテナンス（保守）の有無、セキュリティパッチ・ファームウェア更新なども確認項目に挙げられています。なかでも二要素認証は、実装している、または令和9年度までに実装予定であることが確認項目に含まれる重要な対策です。

3つの「リモート接続」を分けて考える

医療機関のリモートアクセスは、性質の違う3つに分けて考えると、抜けが減ります。

このうち見落とされやすいのが、保守用のリモート接続です。常時つながっていたり、強い権限のまま放置されていたりすると、そこが入口になります。外部委託先・退職者のアカウント管理の考え方は権限管理の記事でも整理しています。

中小規模の医療機関での進め方

専任の情報システム担当がいない診療所・中小病院では、すべてを一度に整えるのは大変です。ガイドラインも、まず基本を確実に実施することを重視しています。優先順位をつけるなら、次の順が現実的です。

1. 外部からの接続に二要素認証を設定する
2. VPN機器の脆弱性対応・更新の担当を決める
3. 保守用リモート接続の経路・権限を棚卸しし、取り決めを文書化する

なお、リモートアクセス製品を選ぶ際は、二要素認証、または要件を満たす多要素認証（MFA）に対応できるかを必ず確認してください。ForceLinkは現時点でMFAに未対応です。医療機関で二要素認証／MFAが要件になる場合、単体では要件に合わない可能性があります。医療用途では、最新の厚生労働省資料・自院の安全管理方針・保守事業者との責任分界を確認したうえで判断してください。設計面の考え方はセキュリティのページ、業種別の例は業種別ページでも紹介しています。

まとめ：押さえるべき3点

1. 医療機関のランサムは、VPN装置などの脆弱性が主要な入口。影響は診療停止に直結する
2. ガイドライン第6.0版は、経営層の関与と、外部事業者との取り決めを重視している
3. リモートアクセスは、二要素認証・脆弱性対応・保守用接続の管理から着手する

自院の状況に合わせた進め方は、最新のガイドライン本文・Q&Aを確認のうえ、料金ページとFAQもご利用ください。

参考・出典

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」（令和5年5月）
• 厚生労働省「医療分野のサイバーセキュリティ対策について」（チェックリスト・注意喚起の掲載ページ）
• 厚生労働省「VPN装置等のネットワーク機器におけるサイバーセキュリティ対策の徹底について」（令和8年3月19日 事務連絡）
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第2.0版」（令和7年3月改定）
• 警察庁「ランサムウェア被害防止対策」