【2026年版】ランサムウェアから情報を守る！病院に不可欠なセキュリティ対策とは？

システムやデータをロックして身代金を要求する「ランサムウェア」の被害は、ここ数年増加し続けています。特に病院ではシステムやデータが使用できなくなると人命にかかわるため、被害が大きくなりやすい傾向にあります。そのため、セキュリティを強固にして情報を守ることが非常に大切です。
本記事では、ランサムウェアから情報を守るための具体的対策を、厚生労働省のガイドラインの内容を含めながらご紹介します。

令和2年以降、ランサムウェアの被害は、拡大し続けています。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェアによる被害報告件数は226件と、令和4年以降高水準で推移しています。犯行手口としては、データを暗号化した上で窃取したデータの公開を脅迫する「二重恐喝」が依然として大半を占めています。また、データを暗号化せずに窃取し対価を要求する「ノーウェアランサム」も一定数確認されています。
独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026　組織編」でも「ランサム攻撃による被害」が11年連続で1位となっています。さらに2026年版では「AIの利用をめぐるサイバーリスク」が3位に初選出されるなど、脅威の多様化が進んでいます。

病院で想定される被害

病院で扱っている情報は患者の健康情報も含まれ、仮に電子カルテや院内LANが使用できなくなると、患者の命や健康に関わる可能性があります。そのため業務の性質上、被害が深刻になりやすいです。復旧に時間やコストがかかると経営にも響く上、セキュリティに問題点があれば、行政処分や賠償、法的責任などを問われることにもなりかねません。
近年も国内の複数の病院でランサムウェアによる被害が相次いでいます。ある病院ではデータを暗号化されて電子カルテが使用不能となり、救急や外来診療の停止を余儀なくされました。完全復旧までに約2か月を要し、逸失利益を含めると億単位の被害に上っています。
こうした被害があるにもかかわらず、病院ではセキュリティ対策が進んでいません。厚生労働省の2025年の調査では、電子カルテのオフラインバックアップを実施しているのは64％、脆弱性対策（パッチ適用）は61％にとどまっています。BCP策定については57％、策定後の訓練実施率は38％と低く、実効性の確保が次の課題となっています。

▼「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について（厚生労働省）
https://www.mhlw.go.jp/content/10808000/001522779.pdf

患者に安心して通ってもらうためにも、病院では早急なセキュリティ対策が求められています。

ランサムウェア等のサイバー攻撃に対処するため、厚生労働省では「医療情報システムの安全管理に関するガイドライン（以下：ガイドライン）」を定めています。このガイドラインは、医療機関等が遵守すべき法令等の要件を満たすための実行指針で、かつ情報資産を継続的に保護するために作られています。
ガイドラインに記載されているのは、病院の経営者を含む電子的な医療情報の取り扱いに関わる責任者が守るべきセキュリティ対策や意識などです。ガイドラインを遵守することによって、安全性の高いシステムとなります。

ガイドラインは2005年に第1版が策定され、2023年5月に第6.0版が公表されました。さらに2026年6月には第7.0版が公表され、サイバーセキュリティ対策の大幅な強化が盛り込まれています。ここからは、第7.0版で新たに追加・強化されたセキュリティ強化に関連する主なポイントをご紹介します。 

• 責任の明確化
• ゼロトラスト思考と非常時の対策
• 外部事業者との関係の見直し
• 二要素認証の必須化

【改定点1】責任の明確化と管理体制の強化

第7.0版では、セキュリティ対策における責任の考え方がさらに強化されました。
これまで病院側のサイバーセキュリティに関しては、経営者はあまり関わることがなく、システム管理者に任せきりになる傾向にありました。しかし、ランサムウェアなどの攻撃によって、新規患者の受入ができなくなったり、効率や質が落ちたりすれば、経営に直接かかわる問題となります。
第7.0版では、病院全体でセキュリティを管理する体制をつくり、各部門にもセキュリティの責任者を置くことが求められています。これにより、経営陣もシステムやセキュリティの状況を把握し、組織として対策を進めていくことが必要になります。
加えて、ガイドラインの構成にも変更がありました。これまでの「概説編」「経営管理編」「企画管理編」「システム運用編」の4編に加え、「保守委託機関編」が新設され5編構成となっています。これは、システムの保守を外部事業者に委託している医療機関でも対応しやすいように整理されたものです。ただし、外部に任せている場合でも最終的な管理責任は医療機関側にあるという点が、改めて強調されています。

【改定点2】ゼロトラスト思考と非常時の対策

2つ目の改定点はゼロトラスト思考と非常時の対策です。
以前は「院内ネットワークであれば安全」という意識がありました。しかし、近年はサイバー攻撃が高度になっており、院内ネットワークも含めて「どこからでも不正にアクセスされる可能性がある」というゼロトラスト思考が重要になっています。
第7.0版では、このゼロトラスト思考がさらに具体化されました。特にVPN機器がサイバー攻撃の起点となる事案が頻発していることを受け、クラウド型VPNや自動アップデートに対応した製品の選定が推奨されています。また、リモート保守が「攻撃者の裏口」になりうることも明示され、リモートメンテナンスに関する安全管理の要件が新たに設けられました。
非常時の対策についても強化されています。第7.0版では、ランサムウェアの被害に遭った場合の身代金の支払いについて、「犯罪組織への支援と同義であり厳に慎むべき」と明記されました。非常時には厚生労働省や都道府県警察等へ事前に相談することが強く求められています。災害やサイバー攻撃など、さまざまな非常事態を想定して、それぞれの対策を講じておくことがこれまで以上に重要です。

【改定点3】外部事業者との関係の見直し

第7.0版では、外部の事業者やサービスとの関わり方についても、考え方が大きく見直されました。
医療機関のシステムには、電子カルテのベンダーや保守会社、その下請け会社、クラウドサービスの事業者など、さまざまな関係先があります。第7.0版では、こうした関係先を一つの流れとして捉え、直接の委託先だけでなく再委託先まで含めたリスク管理が求められるようになりました。これらの関係先のうち、1社でもセキュリティ対策が弱ければ、そこが攻撃の入口になる可能性があるためです。
そのため、セキュリティ対策やアップデートを誰が行うのかを明確にし、契約書で責任の範囲をはっきりさせることが不可欠とされています。こうした対応を自院だけで行うのは現実的に難しいケースも多く、セキュリティの専門知識を持った外部パートナーを活用することがますます重要になっています。

▼医療情報システムの安全管理に関するガイドライン第7.0版
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

【改定点4】二要素認証の必須化

第7.0版の最も重要な変更点の一つが、二要素認証の必須化です。令和9年度（2027年度）までに二要素認証に対応したシステムを選定することが遵守事項として追加されました。
パスワードの使い回しや推測容易なパスワードがサイバー攻撃の主要因であると警告しており、可能な限り迅速な対応が求められています。
具体的なパスワード要件として、二要素認証ありの場合は8桁以上、なしの場合は13桁以上と定められています。また、定期的なパスワード変更は不要とされました。
医療機関においては、現状の認証方式を確認し、システム更改時期との整合性を踏まえた二要素認証への対応ロードマップを早期に策定することが重要です。

先述したように、病院は特に強固なセキュリティ対策が求められています。ここからは病院が行うべきセキュリティ対策をご紹介します。

基本的なセキュリティ対策の実施

まずは基本的なセキュリティ対策を実施しましょう。基本的なセキュリティ対策とは、パスワードの管理、セキュリティ対策ソフトの導入、バックアップ、アクセス制御などです。
パスワードは設定基準を定めて、推測されにくいものにしましょう。二要素認証が令和9年度までに必須化される見通しで、早期の導入計画が重要です。
管理者権限は必要最小限に限定し、OSの管理者権限がないと稼働しないシステムは、次期改修時に管理者権限なしで動くものへの見直しが求められます。 

脆弱性対策を行う

脆弱性対策は、病院のセキュリティ対策として急務と言えます。先述した警察庁の資料によると、令和6年のランサムウェア被害では、VPN機器やリモートデスクトップを経由した侵入が依然として多く、リモート保守で利用されるVPN機器の脆弱性を狙った攻撃への対策が重要です。第7.0版でもVPN機器がサイバー攻撃の起点となる事案の頻発が警告されており、クラウド型VPNや自動アップデート対応製品の選定が推奨されています。

職員にセキュリティ教育を施す

病院のセキュリティ対策では、職員のセキュリティリテラシー向上のため、教育も大切です。どんなにセキュリティ対策を施しても、システムを利用する職員の意識が低ければ、セキュリティ事故が起こってしまいます。実際にこれまで病院で起こっている事故の中には、職員が私物のパソコンを利用したために起きた事例や、メールに添付されていたファイルを開いたためにマルウェアに感染した事例などがあります。
自院で研修を行ったり、外部セミナーに参加したりして、職員へのセキュリティ教育を行いましょう。eラーニングなどを利用して自由な時間に学ぶ方法もあります。職員の働き方にあった方法を選びましょう。
また、セキュリティリテラシーは、1度の研修では身に付きません。その後も繰り返しトレーニングを行うなどして、セキュリティ対策を「日常」にしていくことが大事です。

BCP対策を行う

病院のセキュリティ対策として行っておきたいのが「BCP対策」です。BCP対策とは「Business Continuity Plan」（事業継続計画）のことです。ただし、病院の場合は一般的なBCPとは計画内容が異なるため「Medical Continuity Plan」（医療継続計画）と呼ばれて区別されることもあります。
病院は災害などの緊急時に求められる場所であり、災害時でも平時と同じ医療サービスを提供できるよう努めなければなりません。そのためには、定期的なバックアップや災害に強いサービスなどを選び、緊急時でも問題なく病院が機能するようにしておく必要があります。BCP対策をしておくと、ランサムウェアのようなサイバー攻撃を受けた場合でも、早期の復旧が可能になります。
なお、病院のBCP対策は、緊急時でも医師やスタッフを確保できる体制づくり、水道・電気・通信の確保、建物の耐震強化なども必要です。

セキュリティ事故への対応体制を整える

病院では、インシデントが起こった場合の対応体制を事前に整えておきましょう。連絡体制やバックアップ状況、復旧の手順などをマニュアル化してまとめておきます。事前に体制を作っておくことで、いざというときに慌てずに対処できます。
実際、ある病院ではランサムウェアに侵入されて院内LANや電子カルテが使えなくなりましたが、バックアップを取っていたために早期に復旧できました。なお、基本的にインシデントが起こった場合は、厚生労働省に報告が必要です。

クラウドサービスを利用する

クラウドサービスを利用するのもセキュリティ対策に効果的です。電子カルテなどをクラウドサービスにすることで、データをクラウド上に残すことができ、万一のときも復旧がしやすくなります。またクラウドサービスではセキュリティや脆弱性への対策は、基本的にサービス提供側が行ってくれるため、プロの施した高いセキュリティレベルのシステムを利用できます。
特に病院は診療業務とシステム管理を職員が兼業で行っていることも多く、オンプレミスだと担当者の負担が大きい上に、担当者のセキュリティリテラシーがシステムに大きく影響します。クラウドサービスなら担当者の負担も減らせる上、セキュリティレベルが属人化しません。
ＪＢＣＣの「EcoOne」は運用付クラウドサービスで、設計や構築はもちろん、運用開始後のサイジングなども任せられます。

▼EcoOne
https://www.jbcc.co.jp/lp/ecoone/

病院のセキュリティ対策では、まずセキュリティ方針を決定してサービスを導入し、評価して改善を繰り返すことが基本となります。ここからは、病院のセキュリティ対策導入の手順をご紹介します。

①リスク分析とセキュリティ方針の決定

まずは自院のセキュリティ方針を明確にしましょう。厚生労働省のガイドラインに倣うことが基本になりますが、自院が所有する情報によってはより高いレベルのセキュリティが求められることもあります。現状を調査してリスク分析を行いましょう。
リスク分析が出来たら、リスクの解消方法を考えます。特に患者に迷惑がかかるものについては重要度が高く、早急に対処が必要です。
また、セキュリティ方針については、事前に職員に説明して理解を得ましょう。セキュリティ対策では、職員の業務負担が増えることになります。必要性と方向性を周知して、自分たちや患者を守るためであることを説明しましょう。

②導入するサービスの決定

セキュリティ方針決定後、解決方法にあったサービスを決めます。サービス内容やサービス提供事業者との相性、予算などのバランスを考えて選びましょう。
一度に行うことが難しい場合は、優先度の高いものから対応していきましょう。

③セキュリティ対策の実行

サービスを決めたら、実際に導入してセキュリティ対策を行います。
同時に職員に教育を施して、セキュリティに対する意識と知識を深めていきましょう。

④分析・評価・改善

セキュリティ対策を実行したら、効果を分析・評価して改善していきます。
セキュリティの脅威は非常に進化が速いため、定期的に自院のセキュリティ状態をチェックして改善しないと、簡単に被害に遭ってしまいます。PDCAを回して、改善を繰り返していきましょう。
また職員の意識も一朝一夕には変わりません。繰り返しセキュリティへの意識を促していくことで、職員のセキュリティ意識も高まっていきます。

病院セキュリティは、強固であることが非常に大切です。ここからは強固なセキュリティにするためのポイントをご紹介します。

チェックリストを利用する

病院がセキュリティ対策を行う際は、厚生労働省が作成した「医療機関におけるサイバーセキュリティ対策チェックリスト」を活用しましょう。チェックリストはガイドラインに従った内容になっており、体制構築、医療情報システムの管理・運用、インシデント発生に備えた対応の3つについて、具体的な対応ができているかチェックできます。基本的には年度中にすべての項目が「はい」になるのを理想としていています。
また、チェックリストは都道府県等による立入検査の際に確認されます。詳細は下記のマニュアルをご覧ください。

▼令和8年度版医療機関におけるサイバーセキュリティ対策チェックリスト
https://www.mhlw.go.jp/content/10808000/001716185.pdf

▼令和8年度版 医療機関におけるサイバーセキュリティ対策チェックリストマニュアル
https://www.mhlw.go.jp/content/10808000/001716186.pdf

サイバー保険・補助金を活用する

セキュリティ対策のコスト面で不安がある場合には、サイバー保険や補助金を活用しましょう。サイバー保険とはサイバー攻撃などで自院、もしくは患者などに被害があった場合に、調査費用や復旧費用、損害賠償などを補償してくれるものです。
保険料はプランの内容、業種や規模によって差がありますが、プランによっては億単位も補償できます。自院で行っているセキュリティ対策によってリスクが低いと判断されれば、保険料が割引される場合もあります。
一方、補助金はセキュリティ対策に利用できるものがあり、そうしたものを利用することでセキュリティ対策にかかるコストを抑えることが可能です。
代表的な補助金は「IT導入補助金」です。IT導入補助金では、毎年セキュリティ対策に利用できる補助金があります。2026年は「セキュリティ対策推進枠」で、補助率は中小企業で1/2以内、小規模事業者で2/3以内、補助額は5万円以上150万円以下となっています。
IT導入補助金では、支援事業者と協力して申請を進めていくため、適したツールを見つけやすいことがメリットです。

プロにセキュリティ対策を依頼する

自院でのセキュリティ対策が難しい場合には、プロに相談すると良いでしょう。自院で高いセキュリティ対策を行うには知識を持った人材育成が必要ですが、プロに任せれば専門的な知識とスキルで、セキュリティ対策を施してくれます。自院の職員が、本来の業務に集中できる点がメリットです。
ただし、事業者に丸投げは良くありません。外部委託した場合でも選んだ病院側の責任が問われるため、信用できるベンダーを選ぶことが大切です。
ＪＢＣＣのマネージドセキュリティサービスは、セキュリティの監視・検知から適切な対応まで行っています。

▼マネージドセキュリティサービス
https://www.jbcc.co.jp/products/solution/sec/mss/

ここからは、ＪＢＣＣのサポートでセキュリティ対策を行った病院の事例を2つ、ご紹介します。

次世代ファイアウォールとマネージドセキュリティサービスで万全のセキュリティ対策

三重県にある医療法人久居病院さまでは、電子カルテシステム「Psyche」を利用していましたが、システムのリプレースによってMicrosoft Azureを使い「blanc」へ移行しました。
この際に次世代ファイアウォールとマネージドサービス for EPP Plusを導入。許可時のみアクセスできる次世代ファイアウォールによって、安全性と利便性、どちらも確保しました。
安全性と利便性を両立したことで、地域医療の連携や訪問介護など、やれることも広がったそうです。

https://www.jbcc.co.jp/casestudy/solution/hc/blanc/hisai.html

Microsoft Azureによるパブリッククラウドの構築で、災害に強いシステムに

愛知県の桶狭間病院 藤田こころケアセンターさまでは、オンプレミスの電子カルテシステムを利用していましたが、運用の負担軽減や災害対策の観点から、パブリッククラウドを採用することにしました。
Microsoft Azureによるパブリッククラウド構築時に、次世代ファイアウォールと、24時間365日の監視サービスを導入。より安全に利用できるよう、セキュリティ対策を徹底しました。
また東日本・西日本にリージョンがあるMicrosoft Azureでパブリッククラウドを構築したことで、災害にも強いシステムとなりました。

https://www.jbcc.co.jp/casestudy/cloudsec/ecoone/kokoro.html

情報が人命にもかかわる病院では、基本的なセキュリティ対策はもちろん、職員の教育や災害に備えることも重要です。
ＪＢＣＣではサイバー攻撃に対処するためのホワイトペーパーを配布しています。

▼増加の一途をたどるサイバー攻撃。ランサムウェア対策、できていますか？
https://www.jbcc.co.jp/download/sec/medicalsecurity/dlform.html