セキュリティ担当がいない中小医療機関を院外のRISSはどう支えるべきか / How External RISS Can Help Small Medical Institutions

情報処理安全確保支援士会（RISSA）の雑談会で使用した資料です。
セキュリティ担当がいない中小医療機関を院外のRISSが支えるにあたり、医療現場の運用で必要になる知識を学ぶこと、情報セキュリティの良いところを伝えることが重要ではないかと考え、整理したものです。

Transcript

1. セキュリティ担当がいない 中小医療機関を院外の RISSはどう支えるべきか 〜医療業界が抱える人材難と期待されている対策〜 2026-09-07 Kengo TODA
2. whoami 物理学科→大企業向けERPパッケージR&D→SaaS SRE→技術経営。セキュリティを伸ばそうと思ったの はLog4Shell 脆弱性の対応をリードしたことがきっ かけ。 医療情報技師＆情報処理安全確保支援士（登録 番号028693）。レセコン一体型クラウドネイティブ 型電子カルテ「 Henry」の提供などをする株式会社 ヘンリーで働いています。 本日の発表は所属組織を代表するものではありま せん。 2
3. 本日のテーマ 中小医療機関では人的資源も予算も限られているため、すべての中小医療機関にサイ バーセキュリティの専門家は配置できないと考えられています。一方で労働人口減少や 高齢者急性期や介護の需要増を背景に、オンライン資格確認（マイナ保険証）など医療 DXプラットフォームによる生産性向上もまた避けられません。 現在各医療機関に IT パスポート級の人材を配置し、それを情報処理安全確保支援士 （RISS）をはじめとした外部人材が支援する形でサイバーセキュリティを確保する案が研 究されています。この研究を紐解き、中小医療機関を支えるRISSに求められることを検 討します。 3
4. 対象研究 1. 安全な地域医療の継続性確保に資する医療機関における情報セキュリティ人材の 育成と配置に関する研究 （2025-06-19 公開） 2. 地域における共通基盤・集中管理体制によるサイバーセキュリティの実証のため の研究 （2026-07-17 公開） 4
5. 前提：医療機関に対するサイバー攻撃のリスク ランサムウェア等による医療情報システムの停止は、予約診療、救急受入れなど診療 そのものを止める。2025年度研究では、リスクを「患者死亡リスク」と「医療ワークフロー 停止リスク」に分けて評価している。 徳島・大阪・岡山における公立病院におけるランサムウェア被害が目立っている（∵ 報 告書が公開された）が、私立の事例がないわけではない。 5
6. 前提：医療機関がかけられるコスト感 保険医療機関は診療報酬で収入が規定され、価格転嫁しにくいという特徴があります。 また多くの人手をその運用に必要とするため、人件費が経営を圧迫することも多くありま す。医療経済実態調査（医療機関等調査）によれば、そもそも一般病院の7割が赤字で す。 このため間接部門への投資余力を作りにくいという課題があります。医療機器や病棟建 替などの収入につながる投資も難しいなかで、サイバーセキュリティに対して継続的な 投資をすることのハードルはより高い状況です。 https://www.mhlw.go.jp/bunya/iryouhoken/database/zenpan/iryoukikan.html 6
7. 前提：病院におけるサイバーセキュリティ対策の現在 • • 299床以下の病院では常勤か つ専任の情報システム担当が 「0人」な病院が占める割合が 大きい。 ここで299床以下の病院とは 病院全体の 82％を占める。 https://www.mhlw.go.jp/stf/newpage_59414.html 7
8. 前提：病院のCISO像 令和7年度のデータによると 73%の 病院にはCISOがいる一方で、その 責任者が情報処理安全確保支援 士を所持している施設は大病院で も1.3%に留まっている。 https://www.mhlw.go.jp/stf/newpage_59414.html 8
9. 研究の基本的な発想 「病院にセキュリティ専門職を1人フルタイムで置く」という発想を捨てる。研究班は、外部 支援を要する施設では院内の医療系専門職をグループ Cとして育成し、外部 グループ A 人材の力を借りるモデルを提示している。 グループ A: RISS級の知識を持ち、医療情報システムにも理解がある人材。 グループ C: ITパスポート級の知識を持ち、医療情報の基礎知識を持つ人材。 9
10. 本研究の提言の概要 10
11. 外部人材としてのRISSの立場 RISS 11
12. 研究が描くキャリア発展可能性 自部門システムを 管理する医療職 Group C Group B Group A 部門システムを含めた部門管理者 医療情報システム部門長、 CISO候補 医療情報システム部門長 /CISO、 地域の指導者、民間支援者、独立 自部門のシステムを理解 平時の対策 障害時の一次対応 自院を自立的に守る 戦略立案・意思決定に 関与 自院に加え他施設の 監査・教育・BCP・インシデ ント対応まで担う 12
13. 参考：研究では解決として診療報酬の加算を提案 “医療機関においては、情報セキュリティ人材の配置や情報セキュリティ対策への設備 投資について、費用の確保が課題となる。医療機関で医療安全人材や感染症対策人材 が定着していることは、医療機関における人材確保の必要性はもちろんのこと、医療安 全対策加算や感染対策向上加算での施設基準や診療報酬によることが大きいことは間 違いない。情報セキュリティ人材の確保においても、加算がつくことで医療機関は施設 基準を満たすように努力することが想定され、医療機関での情報セキュリティ対策の向 上に大きく貢献することが期待される。また、加算が付くことは、医療領域外の情報セ キュリティ人材が医療領域に参入するきっかけとなり、人材不足が解消する可能性も期 待される。”（研究1の通しページ番号82） 13
14. 院外 RISS に寄せられる期待値 • 他社の助けを借りて情報システムを守る医療機関に対し以下を提供する。 ◦ ◦ 自施設の情報システムを守れるように指導・アドバイスする。 守れるようになったら顧問に移行し、相談に乗る。 • グループ B人材を抱える医療機関に対しセキュリティチェックを提供する。 • サイバー攻撃合同訓練の開催・共催 • グループ C人材が情報セキュリティ戦略に向けた意思決定を学び、医療機関にお ける CISO の役割を担うことができるように育成されることの支援？ 14
15. 院外 RISS は何を支援するか 技術資産の脆弱性だけを見るのではなく、①止まると患者生命に直結するもの、②止ま ると診療ワークフローが止まるもの、を分けて考えることが必要そう。たとえば ICU、手 術、救急、生命維持装置や、受付、検査、調剤、会計、地域連携では「停止」の意味が 異なり、病院事業への影響も変わってくる。 そのうえで、院内担当者・経営層・ベンダーと、IT-BCP、代替運用、復旧順位、支援要請 先まで作ることが望ましい。本研究には特に言及されていないが、職員研修の企画・実 施の支援も求められるものと予想される。 15
16. 情報セキュリティはいいぞ！を伝えるのが大事そう いままで CISO（情報システム安全管理責任者）は医療機関には存在しない概念でし た。2023年4月の医療法施行規則改正でサイバーセキュリティ対策が義務化されて以 降の新概念だと考えていいでしょう。 医療機関において、情報セキュリティは診療の継続性に貢献できる非常に重要なも の！個々の患者様に向き合うのも素敵だし、地域医療に貢献するのも素晴らしいけど、 そうした医療従事者と患者様とを支えDX/AXを推進するのもとても誇らしいことなんだ！ ということを院外 RISS が言葉と背中で語るのが大事だと思います！ 16
17. 院外 RISS は何を学ぶべきか RISS が グループ A 人材として役割を果たすには、医療情報システムの特性、法令・ガ イドライン、診療業務フローなどを学ぶ必要がある。 ”監査項目を医療現場の停止リスク、 患者安全リスク、診療継続判断へ対応させるため には、一般的な情報セキュリティ監査技法を医療機関の業務構造へ翻訳する作業が必 要となる” ためである。（研究2の通しページ番号6） 本研究では定期（継続）講習を提供し、医療現場での最新動向を踏まえたセキュリティ 対策およびインシデント発生時の関係機関への通報を適切かつ円滑に行うための事項 について学ぶ機会とすることを検討している。また医療情報技師 （グループ B程度）の学習も有効だと期待される。 17
18. 参考：医療情報技師の3C 医療情報技師は「保健医療福祉の質と安全の向上のために、医療の特質をふまえ、最 適な情報処理技術を用い、医療情報を安全かつ適切に管理・活用・提供することができ る保健医療福祉分野の専門職」です。医療情報技師に求められる能力は「医学・医 療」、「情報処理技術」および「医療情報システム」の3系の知識と技術によって体系化さ れており、他職種との意思疎通を図るためのコミュニケーション（Communication）、他 職種と協力して対応するコラボレーション（Collaboration）、部門間や職種間の調整を行 うコーディネーション（Coordination）の3つの能力を必要な資質としています（医療情報 技師の3C）。 https://www.hcit.or.jp/standard/about/ 18
19. 運用の具体例：相互チェック 集中管理機関同士で監査項目リストと手順書の策定準備が行われた。一般的な資産・ 脆弱性の確認に留めず、「患者死亡リスク」と「医療ワークフロー停止リスク」に分けて、 医療現場の業務影響へ翻訳した点が特徴。 質問、チェックリスト、査閲、観察、再実施、サンプリング、脆弱性診断、ペネトレーション テストの8技法を整理し、今後の施設間チェックで何を確認すべきかを具体化した。 19
20. 監査技法別の成果概要（研究2 通しページ番号7） 20
21. 背景：なぜ相互チェックか 群馬大学病院の腹腔鏡で死亡症例が相次いだ事案を受け、平成 28 年厚生労働省令 第 110 号により 「特定機能病院間相互のピアレビュー」を毎年行うことが義務化されて いた。（研究2 通しページ番号12） 21
22. 運用の具体例：合同訓練（研究2 通しページ番号15） グループ C人材を持つ被指導機関がランサムウェア攻撃を受けた想定で、集中管理機 関と共同対応する手順の検討が行われた。 2025年度は、既存のIT-BCPや電子カルテ停止時マニュアル、過去の被害報告書を調 査し、グループ C人材がグループ A人材へ支援要請すべき項目を洗い出した。 また、被災時に把握すべきネットワーク医療機器一覧の調査方法を整え、次年度の合 同訓練シナリオ作成につなげている。 22
23. 参考：医療情報化推進方針（案） 2027年度からセキュリティ対策状 況の点検等の対応を開始見込 み。2028年には特定機能病院を 念頭に点検等の対応を完了見込 み。 https://www.mhlw.go.jp/content/12401000/001742891.pdf 23
24. まとめ 医療機関の皆さんが情報セキュリティを学ぶのと同様に、院外 RISS も医療現場の運用 で必要になる知識を学ぶ必要がありそう。グループ C 人材の育成を期待されているとこ ろもありそうで、システムと人とに向き合うことになるでしょう。 院内の人が判断できる仕組みと、困ったとき外部専門家を呼べる関係とを構築して、地 域医療に貢献できると良いですね！ 24
25. ご清聴ありがとうございました！ 25