厚労省、病院のサイバーセキュリティ対策に137億円を概算要求外部接続点の集約化や専門人材活用を支援|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月08日更新日時: 2026年09月08日

厚生労働省が、病院のサイバーセキュリティ対策を強化するため、2027年度（令和9年度）予算の概算要求に関連経費137億円を計上したことが分かりました。

読売新聞が2026年9月7日に報じたもので、病院と外部ネットワークを結ぶ接続箇所の集約化、サイバー攻撃発生時の専門家による初動対応、セキュリティ人材の活用、職員研修などを支援する方針です。

厚労省はこれまで、電子カルテを導入している病院を対象に外部ネットワーク接続点の把握を支援してきました。その結果、多くの医療機関で外部接続点が多数存在し、病院側で一元的に管理することが難しい実態が確認されています。2027年度の施策では、接続点を把握する段階から、接続経路の適正化や維持管理を支援する段階へ対策を進めることになります。

厚労省の病院サイバーセキュリティ対策のサマリー

項目	内容
公表・報道日	2026年9月7日
対象	病院を中心とする医療機関
予算	2027年度概算要求で関連経費137億円
主な対策	外部ネットワーク接続箇所の集約・適正化
補助	病床規模ごとに上限額を設定し、上限内で全額補助する方向と報道
初動対応	サイバー攻撃発生時に専門家を派遣
人材	IPAに登録されている専門人材の活用・病院とのマッチングを推進
研修	病院職員向け研修費用を支援
基幹インフラ制度	改正経済安全保障推進法で「医療」を対象分野に追加
点検	指定対象となる病院などに専門事業者によるセキュリティ点検を実施する方針

厚生労働省は8月31日、令和9年度予算概算要求を公表しており、主要施策として「医療機関のサイバーセキュリティ強化」を掲げています。

病院の「外部接続点」が対策の中心に

今回の施策で大きな比重を占めるのが、病院内ネットワークと外部を結ぶ接続点の整理です。

病院では電子カルテだけでなく、検査、放射線、薬剤、ナースコール、患者モニターなど複数のシステムが稼働しています。システムごとにベンダーが異なり、保守作業などのために外部から接続できるネットワーク機器が個別に設置されるケースもあります。

厚労省は2024～2025年度に実施した「医療機関におけるサイバーセキュリティ確保事業」で、電子カルテ導入病院を対象に外部接続点の可視化を支援しました。

その結果について厚労省は、「多くの医療機関において外部接続点が多数存在し、管理が困難となっている実情が明らかとなった」と説明しています。

読売新聞によると、2027年度は外部との接続箇所を集約する病院を助成対象とし、民間事業者への委託費について病床規模別の基準額を設け、上限内で全額補助する方向です。

ここで確認したいのは、単にネットワーク回線の本数を減らすことではありません。病院側が「どのシステムが、どの機器を経由して、誰の管理下で院外と通信しているのか」を把握し、異常時に対象経路を特定して遮断できる構成にすることが政策の背景にあります。

日本医科大学武蔵小杉病院では医療機器保守用VPNから侵入

外部接続点を管理する必要性を示す最近の事例が、日本医科大学武蔵小杉病院へのランサムウェア攻撃です。

同院では2026年2月9日午前1時50分ごろ、病棟のナースコール端末の不具合から障害を認識しました。調査の結果、ナースコールシステムのサーバーがランサムウェア攻撃を受けていることが判明しました。

2月27日の第5報では、侵入経路について「医療機器保守用VPN装置の脆弱性を悪用した不正アクセス」と公表しています。

調査によると、攻撃者は1月26日にVPN装置を経由して侵入し、1月29日に病棟端末を介してナースコールサーバー内のデータベースを窃取しました。患者約13万人の患者ID、氏名、性別、住所、電話番号、生年月日と、職員・臨床実習医学生約1,700人の情報が漏洩しています。

患者のカルテ情報、クレジットカード情報、マイナンバーカード情報については、同院は2月27日時点で漏洩を確認していないとしています。

セキュリティ対策Labでは、日本医科大学武蔵小杉病院の事案を受けてナースコールシステムを提供するケアコムが公表したセキュリティ対応についても整理しています。

ケアコム、日本医科大武蔵小杉病院のサイバー攻撃を受けセキュリティ対応方針を公表

大阪急性期・総合医療センターでは診療システム全体の復旧に73日

2022年10月31日に発生した大阪急性期・総合医療センターのランサムウェア被害では、電子カルテを含む総合情報システムが停止しました。

同センターの調査報告書によると、基幹システムサーバーの大部分がランサムウェアによって暗号化され、約2,200台のPCについてもパスワードを使いまわすという杜撰さが露呈しました。

基幹システムサーバーの再稼働には43日、部門システムを含む診療システム全体の復旧には73日を要しています。診療制限による逸失利益は十数億円以上と見込まれました。

この事案でも、給食事業者側に設置されていた保守用VPN機器を起点とした侵入が調査で明らかになっています。

セキュリティ対策Labの2022年ランサムウェア事例記事でも、同事案の経緯と被害状況を整理しています。

2022年のランサムウェア事例

病院の二要素認証導入は約10％、予算不足も課題に

厚労省が2026年5月に報告した病院のサイバーセキュリティ調査では、二要素認証を導入済みの病院は約10％でした。

導入できない理由として「システムが未対応」「予算不足」を挙げた病院が合計で5割を超えています。2027年度までに導入予定と回答した病院を含めても約24％でした。

一方、電子カルテの導入率は74％まで上昇しています。オフラインバックアップを確保している病院も増加しているものの、病床規模が大きい病院ほど対策が進んでいる傾向が確認されています。

医療DXによって接続するシステムが増える一方、認証やネットワーク管理が追いついていない医療機関が残っていることが、政府による財政支援の背景の一つになっています。

「医療」は経済安全保障推進法の基幹インフラ制度にも追加

病院のサイバーセキュリティ対策は、医療行政だけの問題ではなくなっています。

2026年6月17日に公布された改正経済安全保障推進法では、基幹インフラ制度の対象となり得る事業に「病院が行う医業等」が追加されました。

対象となる医療機関について、政府は事業規模や代替可能性、高度な医療提供能力、救急・災害医療における役割などから、特定機能病院を念頭に指定する方針を示しています。

特定機能病院は令和7年4月時点で全国88病院あり、400床以上、16以上の診療科などが承認要件となっています。ただし、88病院すべてが改正法施行時から直ちに指定されるわけではありません。

政府が国会で説明した方針では、改正法施行時には全国の各ブロックにつき1病院を指定し、その後3年程度をかけて各都道府県につき少なくとも1病院へ段階的に広げる想定です。

指定された医療機関では、重要設備の導入や維持管理の委託を行う際、その設備が外部からの妨害行為に利用されるおそれについて国による事前審査の対象となります。

厚労省はセキュリティ人材とインシデント初動支援も強化

ネットワーク構成を変更しても、それを継続して管理する人材がいなければ接続先や設定の把握が再び難しくなります。

読売新聞によると、厚労省はIPAに登録されているセキュリティ人材のリストを活用し、病院とのマッチングを進める方針です。病院職員を対象とした研修費用についても支援するとしています。

また、サイバー攻撃が発生した病院への専門家派遣も強化します。

厚労省はすでに医療機関向けの研修とインシデント発生時の初動対応支援を実施しています。日本医科大学武蔵小杉病院でも、攻撃発覚後に厚労省の初動対応チームが派遣されました。

今回の施策は、新しい仕組みをゼロから作るというより、外部接続点の把握、技術的な改善、専門家派遣、人材確保、研修を一つの政策パッケージとして拡大する動きと見ることができます。

医療情報システムの安全管理ガイドラインは2026年6月に第7.0版へ

病院側では2027年度の補助制度を待つだけではなく、現在のネットワークと運用状況を確認できます。

厚労省は2026年6月、「医療情報システムの安全管理に関するガイドライン」を第7.0版へ改定しました。同時に「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」や、サイバー攻撃を想定したBCP策定の確認表も公開しています。

2023年4月には医療法施行規則の改正により、病院、診療所、助産所の管理者がサイバーセキュリティ確保に必要な措置を講じることが医療法上の管理事項に位置付けられています。厚労省はチェックリストを医療法に基づく立入検査にも利用しています。

病院の情報システム部門が確認したいポイント

確認対象	確認内容
外部接続点	VPN、保守回線、クラウド接続など、院外へ接続する経路を一覧化できているか
管理主体	各接続機器を病院・医療機器メーカー・保守事業者の誰が管理しているか
不要な接続	使用を終了したVPNや保守経路が残っていないか
脆弱性管理	VPN装置やネットワーク機器の製品名、バージョン、更新状況を把握しているか
認証	外部接続や管理者アカウントで二要素認証を利用できているか
委託先	ベンダーの保守用アカウント、接続時間、アクセス範囲を制御できているか
ネットワーク分離	一つのシステムへの侵入から電子カルテなど別システムへ横展開できない構成か
ログ	VPN、認証、サーバー、端末のログをインシデント調査に使える期間保存しているか
バックアップ	電子カルテなど診療継続に必要なデータをオフラインでも復旧できるか
インシデント対応	ネットワーク遮断、厚労省への報告、専門家への連絡、診療継続の判断手順が決まっているか
BCP	電子カルテなどが利用できない場合の紙運用、処方、検査、会計などの代替手順を確認しているか