医療機関のIT環境構築ガイド｜3省2ガイドラインを踏まえたセキュリティ構成
医療機関に求められるIT環境とは
医療機関のIT環境は、患者の個人情報・診療情報という極めてセンシティブなデータを扱うため、一般企業以上に厳格なセキュリティが求められます。特に、厚生労働省・経済産業省・総務省が策定した「3省2ガイドライン」への準拠は、医療機関のIT管理者にとって避けて通れないテーマです。
3省2ガイドラインとは
3省2ガイドラインは、医療情報を電子的に保存・管理・交換する際のセキュリティ要件を定めたもので、「医療情報システムの安全管理に関するガイドライン（厚労省）」と「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン（経産省・総務省）」の2本で構成されています。
医療機関がクラウドサービス（M365、GWS、電子カルテクラウド版等）を利用する場合、このガイドラインに準拠した環境構築が必要です。
医療機関のIT環境で押さえるべき5つのポイント
1. 認証の強化
医療情報システムへのアクセスには、多要素認証（MFA）の導入が強く推奨されています。特に電子カルテシステムやPACS（医用画像管理システム）など、患者情報に直接アクセスするシステムではMFAを必須としてください。
ICカード＋PINコード、または生体認証＋パスワードの組み合わせが医療現場では一般的です。スマートフォンを持ち込めない病棟では、ICカードベースの認証が適しています。
2. ネットワーク分離
診療系ネットワーク（電子カルテ、医療機器）と情報系ネットワーク（メール、インターネット接続）を物理的または論理的に分離することが求められます。これにより、インターネット経由のマルウェアが診療系システムに到達するリスクを低減できます。
分離したつもりで穴が残っているケースが多くあります。 次を確認してください。
- 保守用のリモート接続 — 電子カルテや医療機器のベンダーが、保守のために外部から接続する経路があります。常時接続のままになっていないか、認証が適切かを確認してください
- USBメモリによる持ち込み — ネットワークを分離しても、USB経由でマルウェアは入ります。データの受け渡しが必要な業務では、無害化の仕組みか、専用端末の運用を決めてください
- 兼用端末 — 1台のPCで診療系と情報系の両方を使っていれば、分離は成立していません
- 無線LANの相乗り — 患者向けのフリーWi-Fiと院内業務が同じ機器を共有していないか
3. データの暗号化
患者情報を含むデータは、保存時（at rest）と通信時（in transit）の両方で暗号化が必要です。M365のBitLocker（デバイス暗号化）やMicrosoft Purviewの秘密度ラベル（ファイル暗号化）を活用してください。
4. バックアップとBCP
ランサムウェア攻撃が医療機関を標的にするケースが増加しています。電子カルテデータのオフラインバックアップ（ネットワークから隔離された場所での保管）と、業務継続計画（BCP）の策定が必須です。復旧テストを年1回以上実施してください。
5. アクセスログの管理
誰がいつどの患者情報にアクセスしたかを記録する監査ログの管理が求められます。ログの保存期間は最低5年が目安です。不正アクセスの検知と、監査対応のためにログ管理の仕組みを整備してください。
クラウドサービス利用時の注意点
医療機関がM365やGWSなどのクラウドサービスを利用する場合、サービス事業者がガイドラインに準拠した安全管理措置を講じているかを確認する必要があります。MicrosoftやGoogleはガイドライン対応の資料を公開していますが、設定は医療機関側の責任で行う必要があります。
特に、データの保管場所（日本国内のリージョンか）、データの暗号化方式、アクセス制御の設定、監査ログの取得・保存について確認してください。
ベンダー任せにできない部分がある
「電子カルテベンダーが対応しているから大丈夫」という認識は危険です。 ベンダーが担保するのは自社が提供するシステムの範囲であり、次は医療機関側の責任範囲に残ります。
- アカウントの管理 — 誰にどの権限を与えるか、退職者を止めるか
- 端末の管理 — 更新プログラムの適用、暗号化、ウイルス対策
- ネットワークの構成 — 分離の設計と維持
- バックアップの検証 — 実際に戻せるかの確認
- インシデント時の判断と報告 — 業務停止の判断、外部への報告
契約時に、責任の分界点を文書で確認してください。 有事に「そちらの範囲です」と言われてから確認すると、対応が遅れます。
現場運用でつまずく点
技術的な設定より、現場の運用が穴になりやすい領域です。
- 共有アカウント — 「病棟共通」のIDで電子カルテを使っていると、誰が閲覧したか追跡できません。ログを残す目的が果たせなくなります
- 離席時の画面 — 診療の合間に席を離れる場面が多く、画面ロックが徹底されにくい。ICカードを抜くとロックする運用が現実的です
- 職員の入退職 — 非常勤やアルバイトを含めると異動が多く、アカウントの棚卸しを止めると急速に膨らみます
- 委託業者の出入り — 清掃、給食、医療機器の保守。端末の置かれた場所への物理的なアクセスも管理対象です
事故が起きたときの報告先
患者情報が漏えいした場合、報告先が複数あります。 平時に確認しておいてください。
- 個人情報保護委員会 — 個人データの漏えい等で、報告と本人への通知が法律上の義務です。速報は事態を知ってから速やかに（おおむね3〜5日以内）、確報は30日以内（不正アクセス等による場合は60日以内）
- 厚生労働省・自治体の担当部署 — 医療機関としての報告経路。所管の窓口を確認しておく
- 警察 — サイバー攻撃の被害を受けた場合
- 患者・関係者への説明 — 誰が窓口になるかを決めておく
ランサムウェア被害では、診療そのものが止まります。 電子カルテが使えない状態で診療を継続する手順（紙の運用への切り替え、受付・処方の代替手段）を、印刷して保管してください。手順書がサーバーの中にしかなければ、必要なときに開けません。
ガイドラインは改定される
3省2ガイドラインは改定が重ねられています。本記事の内容も含め、対応を検討する際は必ず最新版を確認してください。 版が変わると求められる水準や記載が変わるため、「以前対応したから大丈夫」とは判断できません。
まとめ
- ネットワーク分離は、保守用リモート接続・USB・兼用端末・無線LANの相乗りで穴が残る
- ベンダーが担保するのは自社システムの範囲。アカウント・端末・構成・バックアップ・判断は医療機関側
- 契約時に責任の分界点を文書で確認する。有事に確認すると対応が遅れる
- 現場の穴は共有アカウント・離席時の画面・入退職の多さ・委託業者の出入り
- 共有IDでは誰が閲覧したか追跡できず、ログを残す目的が果たせない
- 漏えい時の報告先は個人情報保護委員会（速報3〜5日・確報30日／不正アクセス等は60日）、厚労省・自治体、警察
- ランサムウェア被害では診療が止まる。紙運用への切り替え手順を印刷して保管する
- ガイドラインは改定される。対応検討時は必ず最新版を確認する
医療機関のIT環境は、一般企業以上に厳格なセキュリティとコンプライアンス対応が求められます。3省2ガイドラインを「面倒な規制」ではなく「患者を守るための指針」として捉え、段階的に対応を進めてください。
情シス365では、医療機関のIT環境構築・セキュリティ対策を含む情シス代行サービスを提供しています。ガイドライン対応についてもお気軽にご相談ください。