医療機関におけるサイバーセキュリティ対策チェックリスト｜具体的な対応策を解説

最終更新日：2026年2月14日（土）

セキュリティ対策

医療機関では、ランサムウェア感染や不正アクセス、情報漏えいなど、さまざまなサイバーセキュリティリスクが懸念されています。医療機関でセキュリティインシデントが発生すると、診療サービスの停止や患者情報の流出などにつながりかねません。

医療機関で必要なセキュリティ対策は多岐にわたるため、対応漏れを防ぐためにチェックリストを活用するのがおすすめです。

本記事では、医療機関におけるサイバーセキュリティ対策のチェック項目と、必要な対策をわかりやすく解説します。

①医療体制でチェックすべき項目

医療機関のサイバーセキュリティ対策では体制の整備が重要です。まずは、医療情報システム安全管理責任者を設置しているかを確認しましょう。責任者を明確にすることで、セキュリティ施策の推進やインシデント対応をスムーズに進めやすくなります。

②医療情報システムの管理・運用でチェックすべき項目

医療情報システムの管理・運用では、以下の項目をチェックしましょう。

1.サーバ、端末PC、ネットワーク機器の台帳管理をおこなっている

医療情報システムにアクセスする機器を適切に管理するため、端末管理ツールを導入して台帳管理を実施しましょう。台帳を整備することで、セキュリティパッチの適用漏れや未管理端末の利用を防げます。

ただ、実際にエクセルファイル等で管理は、クリニックが複数院になってくると難しいです。そのため、端末管理ツールの導入をおすすめします。

2.事業者から製造業者/サービス事業者による医療情報セキュリティ開示書（MDS/SDS）を提出してもらっている

医療情報システムのベンダーやサービス提供者には、医療情報セキュリティ開示書（MDS／SDS）の提出を依頼しましょう。外部委託先のセキュリティ対策状況を可視化でき、リスク評価がしやすくなります。

参考：医療情報セキュリティ開示書ガイドVer5.0

3.リモートメンテナンス（保守）を利用している機器の有無を事業者等に確認した

リモートメンテナンス（保守）を依頼している場合、その接続経路が侵入に悪用される恐れがあります。対象機器の有無を確認し、リモート接続の方式・認証方法・接続元制限などをベンダーに確認してください。

4.利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している

職種や担当業務に応じて、情報区分ごとのアクセス権限を適切に設定しましょう。必要最小限の権限を付与する「最小権限の原則」を徹底することで、不正利用や内部不正リスクを抑えられます。

5.退職者や使用していないアカウント等、不要なアカウントを削除または無効化している

退職者アカウントや長期間使用していないアカウントが残っていると、不正アクセスの原因になります。定期的に棚卸しを実施し、不要なアカウントは削除・無効化してください。

6.セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している

PC端末・サーバー・ネットワーク機器には、最新のセキュリティパッチを適用しましょう。端末管理ツールを活用すると、パッチの適用状況を一元管理しやすくなります。

こちらもwindowsのOSアップデートを適切に全PCできているかの管理は簡単ではありませんので、端末管理ソフトを導入することで、管理者側で状況を把握し、遠隔でアップデートなども行えますので、おすすめです。

7.パスワードは英数字、記号が混在した8文字以上とし、定期的に変更している

パスワードは英大文字・英小文字・数字・記号を混在させ、8文字以上とすることが基本です。なお、二要素認証を導入している場合や13文字以上の長いパスワードを使用している場合は、定期変更を不要とする運用も検討できます。

8.パスワードの使い回しを禁止している

パスワードを複数のシステムで使い回すと、1つの漏えいが連鎖的な侵害につながります。システムごとに異なるパスワードを設定し、運用負荷が高い場合はSSO（シングルサインオン）の導入を検討しましょう。

9.USBストレージ等の外部記録媒体や情報機器に対して接続を制限している

USBメモリなどの外部記録媒体は、マルウェア持ち込みや情報持ち出しの原因になります。業務上必要な場合を除き、利用制限をかけましょう。制御はセキュリティソフトや端末管理ツールで対応可能です。

こちらも端末管理ソフトで、USBの禁止設定が可能となります。

10.二要素認証を実装している

二要素認証とは、パスワードに加えて、スマホアプリやワンタイムパスワードなどを組み合わせる認証方式です。パスワード漏えい時の不正ログインを防ぐ効果が期待できます。

11.サーバーのアクセスログを取得・管理している

医療情報システムがオンプレミスの場合、ログ収集・管理の仕組み（SIEMやログ管理サービスなど）を検討しましょう。クラウドの場合、サービス側でログ取得が可能かを確認してください。

12.サーバーで不要なソフトウェア・サービスが動作していない

オンプレミス環境では、不要なソフトウェアやサービスが稼働していないか定期的に確認しましょう。

13.端末PCで不要なソフトウェア・サービスが動作していない

医療情報システムにアクセスするPCなどについても、不要なソフトウェアが動作していないか定期的に確認してください。端末管理ツールを活用すると効率的です。

14.ネットワーク機器の接続元制限を実施している

UTMや遠隔監視機能があるルーター・スイッチなどを導入している場合は、固定IPや証明書などを利用して接続元制限を実施しましょう。これにより、外部から不正アクセスされるリスクを低減できます。

③インシデント発生に備えた対応

医療機関では、サイバー攻撃や情報漏えいなどのインシデント発生時に備え、あらかじめ対応体制を整えておくことが重要です。具体的には以下の項目を確認しましょう。

1.インシデント発生時における組織内と外部関係機関（事業者、厚生労働省、警察等）への連絡体制図がある

インシデント発生時に備え、組織内の連絡体制に加え、外部関係機関（事業者、厚生労働省、警察など）への連絡体制図を整備しているか確認しましょう。

2.バックアップと復旧手順の整備

インシデント発生時でも診療を継続できるよう、必要な情報を整理したうえで、データやシステムのバックアップを実施し、復旧手順を確認しているかが重要です。医療情報システムのベンダーにも確認し、バックアップ方式や復旧手順を明確にしておきましょう。

3.サイバー攻撃を想定した事業継続計画（BCP）を策定している

ランサムウェア感染などのサイバー攻撃を想定し、事業継続計画（BCP）を策定しているか確認しましょう。診療停止時の代替手段（紙運用など）も含め、現場で実行できる計画を整備することが重要です。

④規程類の整備

ここまで紹介した①②③のすべての項目について、具体的な実施方法や運用ルールを運用管理規程などに定めているか確認しましょう。規程として文書化することで対応が属人化しにくくなり、継続的なセキュリティ運用につながります。

具体的な対応策をご紹介

以下スプレッドシートで、全項目の対応方法をまとめてみました。

医療機関におけるサイバーセキュリティ対策チェックリスト対応方法まとめ➡

体制図や運用規定のサンプルもありますので、ぜひ一度御覧ください！

まとめ

今回は、医療機関におけるサイバーセキュリティ対策のチェック項目と、必要な対策について解説しました。

医療機関では、ランサムウェア感染や不正アクセスなどのインシデントが発生すると、診療の停止や患者情報の流出につながる恐れがあります。対応漏れを防ぐためにも、チェックリストを活用しながら、自院の対策状況を定期的に確認・改善していきましょう。

法人向けセキュリティソフトの
料金自動一括比較サイトを新しくオープンしました！
　c-compe.com⇒

株式会社アーデントは、デジタル化・AI導入補助金の支援事業者を行っております！

アーデントからデジタル化・AI導入補助金を使ってクラウドツールを導入するメリットは以下の通りです。

メリット①対象ツールを２年間、半額、もしくは１／４で利用可！

メリット②会計、経費精算、請求書処理、受発注ツール導入なら、PCやタブレットの購入も補助が受けられ半額！

メリット③補助期間終了後は、公式価格よりお値引き！

メリット④各種IT活用、DX、保守サポートでより貴社のIT化を促進、生産性を向上します！

【弊社取り扱いクラウドツール】

🔹オフィスソフト・グループウェア: 　Google Workspace※、Microsoft365、desk'nets NEO※
🔹ノーコード業務改善：kintone、Zoho※、楽楽販売、JUST.DB※、サスケworks
🔹コミュニケーション: 　サイボウズオフィス、Chatwork、LINE WORKS、zoom
🔹会計・経費管理: 　マネーフォワード、freee、楽楽精算、楽楽明細、invox
🔹電子契約・文書管理:　 freeeサイン、クラウドサイン、GMOサイン、Adobe Acrobat
🔹セキュリティ対策: 　sophos、SentinelOne、ESET、ウイルスバスタークラウド
🔹RPA・自動化: 　RoboTANGO、DX-Suite、Yoom※、バクラクシリーズ
🔹勤怠・労務管理: 　勤革時、楽楽勤怠、マネーフォワード
🔹物流・在庫管理: 　ロジザードZERO
🔹教育・マニュアル作成管理:　 iTutor、NotePM、leaf
🔹PBX・電話システム: 　INNOVERAPBX※、MOTTEL※
🔹端末管理：LANSCOPE、clomo
🔹リモートデスクトップ：RemoteOperator在宅
🔹受付ipad：ラクネコ※
🔹タスク管理、その他：JOSYS、backlog※
など

※こちらのツールは補助期間終了後の値引不可

また、上記以外のツールも取り扱いできるものが多々ありますので、一度ご相談ください。