医療機関のための サイバーセキュリティ

病歴などの患者情報は、個人情報保護法上の要配慮個人情報です。漏えい等が発生した、またはそのおそれがある場合は、個人情報保護委員会（PPC）への報告が必要です。速報は「速やかに（概ね3〜5日以内）」、確報は30日以内、サイバー攻撃など不正の目的によるおそれがある場合は60日以内です。期限は、事業者のいずれかの部署が事態を知った時点から数えます。本人への通知も「速やかに」行います。法的な判断は弁護士等の専門家にご確認ください。

厚生労働省の「医療情報システムの安全管理に関するガイドライン」第7.0版です。2026年夏に公表され、保守委託機関向けの編が新設されたほか、定期的なパスワード変更の義務が廃止され、二要素認証については2027年4月1日を期限とする経過措置が設けられています。また、2026年6月に公表された経済安全保障推進法の改正概要では、基幹インフラ制度の対象に医療分野が加わることになりました。適用の時期と範囲は、所管省庁の公表をご確認ください。

5つの対応を並行して進めます。（1）診療継続計画を発動し、診療を確保します。（2）侵害されたシステムは電源を切らずに隔離します（メモリ上の証拠を保全するため）。（3）患者情報の漏えいのおそれがあれば、個人情報保護委員会への速報を準備します。（4）警察やIPAなど関係機関の相談窓口への相談を検討します（任意）。（5）技術的なインシデント対応を開始します。Fortgaleは技術面から5つすべてを並行して支援します。

医療機器（PACS、RIS、生体情報モニタ、輸液ポンプ、IoMT）は、IT端末のようにアップデートできることがほとんどありません。対策の柱は、専用のネットワーク分離（医療用VLANの隔離）、OTに対応したパッシブなトラフィック監視、多要素認証付きの踏み台サーバーによる保守事業者のアクセス管理、ファームウェアとCVEの棚卸し、境界の堅牢化（IoMTゲートウェイ、DICOM/HL7ブローカー）です。ガイドライン第7.0版で保守委託機関向けの編が新設されたことから、リモート保守の管理は特に重要です。

サービスの提供、レポート、緊急対応は英語で行います。お問い合わせは日本語でも受け付けますが、回答は英語となる場合があります。