医療クラウドを狙う不正アクセスで患者情報が流出するリスクと備え

医療データは「外部事業者」経由でも狙われる

医療分野では電子カルテなどのクラウド活用が進み、患者情報が院内外に分散して保管されます。利便性の一方で、委託先を含む攻撃面が広がる点は見逃せません。

最近は医療機関そのものだけでなく、医療向けITサービス事業者が侵害され、結果として複数の医療機関の患者に影響が及ぶ構図が目立ちます。いわゆるサプライチェーンリスクです。

医療記録は機微情報であり、漏えい時の影響は信用失墜にとどまりません。二次被害の誘発や、関係者への通知・説明負担が大きく、経営課題としての備えが重要です。

海外の医療ITサービス事業者で発生した情報漏えいの概要

報道では、海外の医療関連ITサービス事業者がサイバー攻撃を受け、同社システムに保存されていた医療関連データへの不正アクセスが確認されたとされています。

流出した可能性がある情報には、氏名、住所、連絡先などに加え、医療記録に関する情報が含まれるとされています。医療分野の個人情報は、プライバシー影響が特に大きい領域です。

影響を受ける可能性がある人数は最大約35万人とされます。一方で、侵入経路や脆弱性悪用の有無、ランサムウェア関与などの技術的詳細は、現時点では明確に示されていません。

攻撃者像や侵害範囲が単一環境に限られるかなども不透明であり、確定的な事実は「医療記録を含む情報の流出」と「影響人数の上限」が中心です。続報に基づく評価更新が欠かせません。

影響の見立てと、医療機関・ベンダーが取るべき対策

医療記録には健康状態や受診履歴、処方、保険関連情報が含まれ得ます。情報の種類次第では、なりすましや保険詐欺、標的型フィッシングなどの二次被害につながります。

医療機関側は、委託先での事故でも説明責任を問われます。患者・利用者への通知、問い合わせ対応、業務継続のための代替手順など、インシデント対応の運用設計が現実的な論点です。

技術面では、アクセス制御の最小権限化、多要素認証の徹底、保存データの暗号化、監査ログの保全と監視強化が基本となります。特にクラウドでは設定不備が起点となり得るため、継続点検が重要です。

サプライチェーン対策として、ベンダー選定時のセキュリティ評価と、契約における通知義務・調査協力・再発防止の取り決めが要点です。定期的な監査や訓練で、机上の計画を運用へ落とし込みます。

まとめ

ネットワークベンダーとして、PSIでは医療データのような機微情報は「外部委託を前提にした多層防御」で守るべきだと考えます。境界だけに依存せず、利用者・端末・通信を前提に設計します。

また、ゼロトラストの考え方に基づき、認証強化と継続的な監視、権限の最小化を組み合わせることが重要です。侵害を完全に防ぐだけでなく、早期検知と被害局所化を重視します。

加えて、ネットワークのセグメンテーションとログの一元化により、影響範囲の切り分けと説明可能性を高められます。サプライチェーンを含めた前提で、平時から備える姿勢が求められます。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp