病院内は大丈夫？——院内システムのセキュリティ、今どうなってる？
病院を狙うランサムウェア（データを暗号化し身代金を要求する不正プログラム）の被害が、ニュースで語られる機会が増えました。診療が止まれば、患者にも現場にも影響が及びます。とはいえ、必要以上に不安を煽っても仕方ありません。ここでは「院内システムのセキュリティは、いま何を土台に考えるのか」を、実務目線で整理します。
そもそも院内は「つながりの塊」
ひと口に院内システムといっても、その中身は多彩です。診療情報を扱う電子カルテ、画像を保管・参照するPACS（医用画像の保存通信システム）、検査や薬剤などの部門システム、そして数えきれない医療機器——これらが院内ネットワーク上でつながって動いています。機器同士の会話には、画像のDICOMや患者・検査情報のHL7といった標準規格が使われます。標準で相互接続できるのは大きな利点ですが、裏を返せば「接続点が多い」ということでもあります。しかも医療機器は長く使われるため、設計の古い実装や、更新しづらい機器が混在しやすい。つまり、守るべき「面」がどうしても広くなりがちなのです。
医療機器ソフトを支える新しい枠組み
こうした環境に対して、医療機器のソフトウェア側でも考え方が整理されてきました。中心にあるのが IEC 81001-5-1（医療機器を含むヘルスソフトウェアのサイバーセキュリティに関する規格）です。開発の各工程でセキュリティを織り込むことを求める内容で、キーワードは主に次の2つです。
SBOM（ソフトウェア部品表）
SBOM（Software Bill of Materials）は、製品にどのソフトウェア部品が含まれるかを一覧化したものです。料理でいう「原材料表示」に近いイメージで、後述の脆弱性対応の前提になります。
脆弱性管理
脆弱性（攻撃に悪用されうる弱点）は、新たに発見され続けます。どの部品にどんな弱点が報告されたかを把握し、影響を評価し、必要な手当てを判断する——この一連の営みが脆弱性管理です。SBOMがあってこそ「どこに何が入っているか」を素早く突き合わせられます。
「作って終わり」にしない、という視点
ここで大事なのは、セキュリティは出荷時点で完結しないという点です。市販後（製品を世に出したあと）にも新しい弱点は見つかりますし、運用環境も変わっていきます。だからこそ、開発時の作り込みと、市販後の継続的な観測・対応を地続きで考える姿勢が求められます。IEC 81001-5-1が開発ライフサイクル全体を視野に入れているのも、この「続く」という性質を前提にしているからです。
まず意識したい3つのこと
読者のみなさんが持ち帰ることは、次の3点で十分です。
・面の広さを自覚する：多数の機器・システムが標準規格でつながり、古い実装も混在しやすい。
・部品を見える化する：SBOMを起点に、何が入っているかを把握できる状態にしておく。
・ 続きを設計する：出荷後も脆弱性情報を追い、判断し続ける仕組みを持つ。
過度に恐れる必要はありません。標準規格という共通言語が整い、考え方の枠組みも見えてきた今は、むしろ落ち着いて足場を固められる時期だといえます。
ご相談ください
医用画像・院内システムの受託開発と、医療機器の開発・認証に長く携わってきたリベルワークスでは、こうしたセキュリティの観点を含めた開発をご相談いただけます。
▶病院内システム開発やIEC 81001-5-1をめぐる考え方もあわせてご覧ください。
▶お問い合わせは お問い合わせフォーム、またはお電話 03-5225-6970（平日10:00-17:00）まで。
