医療機関のサイバーセキュリティは事業継続や信頼性の担保に必須。厚労省や日本医師会の支援策を知り、積極的に利用を

SPECIAL INTERVIEW

医療機関のサイバーセキュリティは事業継続や信頼性の担保に必須。

厚労省や日本医師会の支援策を知り、積極的に利用を

日本医師会常任理事
長島整形外科院長

長島公之

島根医科大学医学部卒業。自治医科大学大学院にて医学博士号取得。大学病院勤務を経て、1992年に栃木県下都賀郡壬生町に長島整形外科を開院。2010年から日本医師会「医療ＩＴ委員会」委員、2012年から栃木県医師会常任理事、2018年から日本医師会常任理事を務める。

　ここ数年、日本の医療機関がサイバー攻撃によって被害を受けています。これに対応するため、医療機関のサイバーセキュリティには、国や日本医師会が近年、次々と支援策を打ち出しています。臨床医であり、ITや医療制度に詳しい長島公之・日本医師会常任理事に、医療機関を取り巻く最新のサイバー攻撃事情やそれに対する日本医師会の取組みを伺います。

医療機関のシステムが外部とつながり、
サイバーセキュリティはますます重要に

　医療機関はもともと外部とのネットワーク接続をしないことで医療情報のセキュリティを保っていました。ところが、クラウド型の電子カルテの導入、地域医療情報連携ネットワークへの参加、院内システムの遠隔保守、さらには2023年4月から原則義務化されたオンライン資格確認などで、近年では外部システムとの接続が必須となってきました。それによって、サイバーセキュリティの重要性がますます高まっています。

　厚生労働省（以下「厚労省」）は、電子カルテなどの医療情報の適切な管理のために「医療情報システムの安全管理に関するガイドライン」を定めています。このガイドラインは適宜見直しが行われており、2023年5月には第6.0版が公表されました。今回の見直しの特徴は、オンライン資格確認の原則義務化を背景に、概説編、経営管理編、企画管理編、システム運用編とに分けて、また、医療機関の情報システムを類型化して、医療情報の安全に関する遵守事項や考え方を示した点です。

　ただ、ガイドラインを見るだけでは、医療機関や介護事業者が何から始めればいいかがわかりにくいため、日本医師会協力のもと、厚労省が「医療機関におけるサイバーセキュリティ対策チェックリスト」（以下「チェックリスト」）を作成し、2023年6月に公表しました。このチェックリストに対応するためのマニュアルも併せて示されています。

「日本医師会サイバーセキュリティ支援制度」
の活用を

　日本医師会では、2022年6月から「日本医師会サイバーセキュリティ支援制度」の運用を始めました。緊急時に相談できる窓口、セキュリティ対策強化に向けた無料サイト“Tokio Cyber Port”の活用の呼びかけ、サイバー攻撃を受けた、あるいは個人情報漏洩が起こった会員の医療機関への一時支援金制度の3つの施策です。日医A①会員に加え、A①会員の医療機関・介護サービス施設・事業所のほかの医師や事務員、都道府県医師会や郡市区等医師会の事務局なども利用できます。

　相談窓口では、これまでに「電子カルテがランサムウェアによって暗号化された」「ウイルス感染の事後対応をどうすればいいか」「ホームページがサイバー攻撃を受けた」など開設から1年ほどで60件超の相談を受けました。

　さらに、今年10月からは、医療情報システム安全管理ガイドラインを解説した資料や動画を提供し、ガイドラインに関する相談窓口も開設する予定です。

医療安全の仕組みにサイバーセキュリティも加える

　医療機関が最初に行うべき重要な作業は、上記のチェックリストに沿って、医療機関内外のコンピューターや医療機器などすべてのシステムがどのようにつながっていて、どこが危ないかを把握することです。これはサプライチェーンに関連する業者にも協力してもらう必要があります。

　ノートパソコンの置き忘れ、USBの持ち出しといった“人”が原因で起こる情報漏洩に関しての医療機関内のルールの見直しと徹底も行います。

　また、医療情報システムの安全管理の責任者を決めることも必要ですが、多くの医療機関では専門家を雇用する余裕もありません。そこで提案したいのが、サイバーセキュリティのための部署を新しく設置するのではなく、ヒヤリハットのような医療安全を管轄する部署にサイバーセキュリティの業務を付加することです。例えば「パソコンの画面に通常とは異なる文字が表示された」「プリンターの印刷が止まらない」などのインシデントの際の連絡網を整理してマニュアル化し、訓練を行います。医療安全と全く同じ運用です。

　医療関係者や介護関係者、特に経営層の方々には、まずはこのチェックリストの項目を確認していただきたいと思います。そして、日本医師会の支援制度も活用していただければと考えています。相談窓口では、実際にサイバー攻撃を受けたときだけでなく、チェックリスト対応の疑問点など細かい相談にも応じています。

　医療機関では、サイバーセキュリティに取り組むための知識、人材、財源のどれもが不足しています。補助金や人材育成などの支援を国が進めるように、日本医師会も引き続き要望していきます。

　オンライン資格確認の普及の先には、個人が自分のスマートフォンに診療情報を入れて持ち歩くパーソナルヘルスレコードの時代が来ます。日本医師会としても将来を見据えたサイバーセキュリティのあり方を研究、提案していきます。