医療機関へのサイバー攻撃は、病院だけでなく診療所（クリニック）も標的になっています。ランサムウェアによるシステム停止は、診療の継続を脅かし、患者の診療情報の漏洩にもつながります。厚生労働省は、医療情報システムの安全管理に関するガイドラインを更新するとともに、診療所のサイバーセキュリティ対策の実態調査も行っています（出典: 医療情報システムの安全管理に関するガイドライン 第7.0版｜厚生労働省）。この記事では、クリニックが優先すべきサイバー攻撃対策を整理します。
セキュリティ対策は「すべてを完璧にする」ことより、攻撃されても診療を止めない・被害を最小化する視点が重要です。
医療機関へのサイバー攻撃の現状
医療機関を狙う攻撃の主な種類と、診療所への影響を整理します。
- ランサムウェア — システムを暗号化して身代金を要求する攻撃。電子カルテ・レセコンが使えなくなり、診療停止に追い込まれる事例がある
- 標的型メール — 職員を狙った偽メールで、不正プログラムへの感染や情報窃取を試みる
- 不正アクセス・設定ミス — リモート接続（VPN等）の脆弱性や、クラウドサービスの設定ミスを突かれるケース
- 内部関係者による情報漏洩 — 従業員の私的端末利用・不正持ち出し（個人情報保護の記事参照）
警視庁が医療機関向けの出前講演を行うなど、行政も診療所の対策強化を呼びかけています。厚労省は診療所のBCP策定状況・セキュリティ責任者の配置・職員研修の実施状況を調査しており、診療所にも対策が求められる時代になっています。
医療情報システムの安全管理ガイドライン第7.0版
厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、医療機関がセキュリティ対策を進める際の基準となる文書です。第7.0版（概説編）は2026年6月に公表されました（出典: 医療情報システムの安全管理に関するガイドライン 第7.0版 概説編（PDF））。
ガイドラインでは、組織体制（責任者の設置）、従業者の教育、アクセス管理、外部委託の管理、障害・災害時の対応（BCP）などが示されています。すべての項目を一気に満たす必要はありませんが、自院の規模に合った優先順位で取り組むための基準として活用しましょう。
診療所が優先すべき5つの対策
予算と人員が限られる診療所では、次の5つを優先して進めるのが現実的です。
- ① バックアップ — 電子カルテ・レセコンのデータを毎日バックアップし、オフライン（物理的に切り離した媒体）にも保存する。復元テストを定期的に行う
- ② 多要素認証とID・パスワード管理 — 管理者アカウント・クラウドサービスに多要素認証を設定し、初期パスワードの変更・共有禁止
- ③ ソフトウェアの更新 — OS・電子カルテ・レセコン・ブラウザの更新（パッチ適用）を自動化・定期化する
- ④ 職員研修 — 不審メールの見分け方、USB・私的端末の禁止、報告経路の周知（年1回以上・研修の記事参照）
- ⑤ BCP（事業継続計画） — システム停止時に紙カルテ・手書きレセプトで診療を続ける手順を決めておく
「①バックアップ」は、ランサムウェア対策として最も効果が高い項目です。まずここから始めましょう。
電子カルテ・レセコンのベンダー選定とセキュリティ確認
セキュリティ対策は、院内の端末だけでなく、システムベンダー・クラウドサービス事業者との関係でも確認が必要です。電子カルテ・レセコンを選ぶ際は、セキュリティ面も評価項目に加えましょう。
- データ保存場所とバックアップ — データがどこに保存され、事業者がどのようにバックアップ・障害対策を行っているか
- アクセス管理・監査 — ユーザーごとの権限設定、操作ログの取得、多要素認証の対応
- 契約上のセキュリティ条項 — 秘密保持・事故時の報告義務・契約終了時のデータ返却・削除（外部委託の監督は電子カルテ選びの記事も参照）
- ベンダーのサポート体制 — 障害時の連絡窓口・復旧時間の目安・マニュアル提供
電子カルテ・レセコンの選定は、機能や価格だけでなく、万が一のときに診療を止めない体制を確認することが重要です。サイバー保険（開業医が入る保険の記事）の加入検討とあわせて、総合的なリスク対策を進めましょう。
被害が起きたときの対応
サイバー攻撃や情報漏洩が疑われる場合は、次のように対応します。
- ① 影響の遮断 — 感染端末のネットワークからの切り離し、システムの停止判断（診療継続とのバランス）
- ② 報告 — ベンダー・管轄機関への連絡、個人情報保護委員会への報告（要配慮個人情報の漏洩は報告義務の対象になり得る）
- ③ 復旧 — バックアップからの復元、原因の特定と再発防止策の実施
- ④ 患者・関係者への説明 — 事実関係を整理し、誠実に説明（対応手順は個人情報漏洩時の対応も参照）
対応の判断には時間との勝負になるため、事前に連絡先・手順を決めておくことが重要です。弁護士・セキュリティ専門家・システムベンダーとの連絡体制を整理しておきましょう。
よくある質問
セキュリティ対策の費用はどれくらいかかりますか？
バックアップや多要素認証などは月額数百円〜数千円のクラウドサービスで始められるものも多く、必ずしも高額ではありません。費用は環境により異なるため、ベンダーに見積もりを依頼し、優先順位（まずバックアップ・多要素認証）で予算化しましょう（費用は環境により異なります）。
電子カルテを導入していない場合も対策は必要ですか？
必要です。レセコン・会計ソフト・メール・予約システムなど、業務で使う端末やクラウドサービスはすべて攻撃の対象になり得ます。紙運用でも、患者情報を扱う端末のセキュリティ対策と研修は必要です。
どこから対策を始めればよいですか？
まず「①バックアップ」から始めてください。電子カルテ・レセコンのデータを毎日バックアップし、オフラインにも保存して、月に1回は復元テストを行います。次に、クラウドサービス・管理者アカウントへの多要素認証の設定と、OS・ソフトウェアの更新を進めましょう。費用対効果の高い順に、段階的に対策を拡大できます。
バックアップの復元テストはどのくらいの頻度で行うべきですか？
最低でも四半期に1回、可能なら月1回の復元テストをおすすめします。バックアップを取っていても、実際に復元できないと意味がありません。テストの結果と手順（誰が・いつ・どこから復元するか）を記録し、スタッフと共有しておきましょう。
対策にかかる時間はどのくらいですか？
バックアップの自動設定と多要素認証の有効化は、数時間あれば導入できることが多いです。研修は年1回2〜3時間、BCPの策定は最初に半日〜1日程度かかりますが、一度整えれば定期更新のみで維持できます。スモールステップで始められるのがセキュリティ対策の利点です。
まとめ
クリニックは病院と同じくサイバー攻撃の標的になり得ます。対策の優先順位は、①バックアップ、②多要素認証、③ソフトウェア更新、④職員研修、⑤BCPです。厚生労働省のガイドライン第7.0版を基準に、自院の規模に合った対策を段階的に進めましょう。対策の進捗は、セキュリティチェックリスト（ID・パスワード管理、バックアップの状況、研修の実施記録）で半年に1回程度見直すと、担当者の交代後も維持しやすくなります。「攻撃されないこと」より「攻撃されても診療を止めない・被害を最小化すること」を目標にした対策が現実的です。