病院内は大丈夫？——院内システムのセキュリティ、今どうなってる？
病院を狙うランサムウェア（データを暗号化し身代金を要求する不正プログラム）の被害が、ニュースで語られる機会が増えました。診療が止まれば、患者にも現場にも影響が及びます。とはいえ、必要以上に不安を煽っても仕方ありません。ここでは「院内システムのセキュリティは、いま何を土台に考えるのか」を、実務目線で整理します。
院内ネットワークの複雑さと接続点のリスク
ひと口に院内システムといっても、その中身は非常に多彩で複雑です。診療情報を扱う電子カルテ、画像を保管・参照するPACS（医用画像の保存通信システム）、検査や薬剤などの部門システム、そして数えきれない医療機器——これらが院内ネットワーク上でつながって動いています。機器同士の通信にはDICOMやHL7といった標準規格が使われますが、これは「どこからでも接続可能」という利便性の裏返しとして、攻撃の起点となる「接続点」が無数に存在することを意味します。特に古い設計の機器が混在する環境では、守るべき範囲が極めて広くなるリスクを抱えています。
医療機器セキュリティの法的根拠と最新基準
現在の医療機器開発において、サイバーセキュリティはもはや「努力目標」ではありません。その中心にあるのが IEC 81001-5-1 です。これは医療機器を含むヘルスソフトウェアのライフサイクル全体でセキュリティを確保するための国際規格であり、日本国内の法規制とも深く関連しています。
法規制：基本要件基準第12条第3項への適合
023年4月より、医療機器の製造販売承認にあたって「医療機器の基本要件基準第12条第3項」への適合が必須となりました。これにより、サイバーセキュリティの確保が明確な法的要件となり、前述のIEC 81001-5-1に基づいた開発プロセスと、市販後の管理体制を整えることが強く求められています。
SSBOMによる「部品」の可視化と自動管理のメリット
SBOM（Software Bill of Materials）は、製品に含まれるすべてのソフトウェア部品をリスト化したものです。これを導入することで、未知の脆弱性が発見された際、自社の機器にその部品が含まれているかを即座に特定できます。手動での確認作業を減らし、自動化されたツールと組み合わせることで、管理コストの削減とレスポンスの迅速化が同時に実現可能です。
継続的な脆弱性監視とインシデント発生時の初動対応
脆弱性（弱点）は日々新しく発見されるため、一度の調査では不十分です。常に最新の脆弱性データベース（NVD等）を監視し、自社製品への影響を評価するプロセスが必要です。万が一のインシデント発生時には、SBOMを活用して影響範囲を特定し、速やかにパッチ提供や注意喚起を行うといった初動の迅速さが、被害の最小化に直結します。
「作って終わり」にしないための市販後セキュリティ運用
セキュリティは出荷時点で完結しません。製品が病院で稼働し続ける期間、常に最新の脅威に対応する「市販後」の視点が不可欠です。IEC 81001-5-1もこの開発ライフサイクル全体を視野に入れており、運用開始後の継続的なアップデートと監視を前提とした設計が求められます。
現場の課題と解決策：責任分界とレガシー機器
メーカーと医療機関の責任分界点を明確にする
セキュリティ対策はメーカーだけで完結するものではありません。パッチの適用作業は誰が行うのか、ネットワークの設定変更の権限はどう分けるのかといった「責任分界点」を、導入時のSLAや合意書で明確にすることが、責任ある運用の第一歩となります。
更新できないレガシーシステムへの現実的なリスク対応
OSのサポートが切れた古い端末や、アップデートが困難な医療機器を使い続けなければならないケースもあります。これらに対しては、ネットワークの論理分離（VLAN）や通信を監視する専用デバイスの設置といった、上位レイヤーでの防護策（多層防御）を講じることで、リスクを許容可能なレベルに抑える現実的なアプローチを検討すべきです。
まとめ：セキュリティを「運用」の力に変えるために
院内システムのセキュリティを考える上で、以下の3つのポイントを念頭に置いてください。
・複雑な接続点の把握：多数の機器が入り乱れる環境のリスクを正しく評価する。
・SBOMによる資産管理の徹底：何がどこに使われているかを可視化し、即応体制を整える。
・ 継続的な監視と責任の明確化：ライフサイクル全体を通じた運用と、ステークホルダー間の役割分担を定義する。
これらは決してコストではなく、病院の機能を維持し、患者の安全を守るための「投資」と捉えるべきです。枠組みが整った今こそ、一つひとつの足場を固めていくことが重要です。
リベルワークスにご相談ください
医用画像・院内システムの受託開発と、医療機器の開発・認証に長く携わってきたリベルワークスでは、こうしたセキュリティの観点を含めた開発をご相談いただけます。
▶病院内システム開発やIEC 81001-5-1をめぐる考え方もあわせてご覧ください。
▶お問い合わせは お問い合わせフォーム、またはお電話 03-5225-6970（平日10:00-17:00）まで。
