🔌 やさしい解説シリーズ（技術編） 病院IT・情報システム担当・ベンダーの方へ。「保守のための接続」を、安全設計の観点から見直します。
便利な経路は、入口でもある
電子カルテやレセコン、部門システムに不具合が出たとき、業者は多くの場合、現地に来ずに接続して調べます。夜間の障害でも数分で状況が分かり、翌朝までに直っている——保守回線は、医療機関の運用を支える現実的な仕組みです。
しかし同時に、外から院内システムに入れる、正規の入口でもあります。院内ネットワークをどれだけ堅牢にしても、この経路が緩ければ、そこから入られます。
近年、医療機関を狙った攻撃で取引先や保守事業者を経由して侵入する手口が問題になっているのは、この構造が理由です。攻撃する側から見れば、守りの堅い病院を直接叩くより、つながっている事業者を狙うほうが早いわけです。
接続方式のいろいろ
まず、どんな方式があるのかを整理します。
閉域網（専用線・キャリア閉域網）
インターネットを経由せず、通信事業者の閉じたネットワークで結ぶ方式です。インターネットからは見えないため、不特定多数からの攻撃にさらされにくいのが利点。コストは高めで、回線の敷設に時間もかかります。
ただし注意点があります。閉域だから安全、ではありません。その閉域網に接続している事業者側の端末が汚染されていれば、そこから入られます。「経路が閉じている」ことと「入ってくるものが安全」であることは別の話です。
VPN
インターネット上に暗号化されたトンネルを作る方式です。VPN は導入しやすく、広く使われています。
一方で、VPN装置そのものの脆弱性を突かれる事例が国内外で報告されてきました。装置のファームウェアを更新せずに何年も放置する、という運用が最も危険です。VPNを入れたら終わりではなく、保守し続ける対象が一つ増えたと捉えてください。
リモート保守ツール
画面共有や遠隔操作のソフトウェアを使う方式です。手軽ですが、院側が意図しないタイミングで接続できてしまう設定になっていないか、確認が要ります。
方式より、運用のほうが効く
ここが本題です。どの方式を選ぶかより、どう運用するかのほうが、安全性を大きく左右します。
押さえるべきは3点です。
① 必要なときだけ開く
常時つなぎっぱなしの経路は、24時間365日、攻撃者にも開いているということです。理想は、保守の依頼があったときに院側が開き、作業が終わったら閉じる運用。手間はかかりますが、開いている時間そのものを短くできます。
常時接続が業務上必要な場合でも、接続元を限定する（特定のIPアドレスからのみ許可する）だけで、リスクは大きく下がります。
② 必要な範囲だけ触れるようにする
保守用のアカウントに、院内のすべてにアクセスできる強い権限が付いていないでしょうか。電子カルテの保守に来た事業者が、会計システムや他部門のデータまで見られる状態は、必要以上です。
担当する範囲だけに権限を絞る。これは事業者を疑うという話ではなく、万一その事業者の端末が乗っ取られたときの被害範囲を限定するための設計です。
③ 誰が、いつ、何をしたかを残す
接続の記録と操作の記録を残します。平時には使わない記録ですが、事故が起きたときに「何が起きたか」を再構成できるかどうかが、ここで決まります。
記録は取るだけでなく、保存期間を決め、たまに見ること。誰も見ない記録は、無いのとほとんど同じです。
「ゼロトラスト」という考え方
近年よく聞くゼロトラストは、ひとことで言えば「内側だから信用する、をやめる」という発想です。
従来は、境界（ファイアウォール）の内側は安全、外側は危険、という前提でした。しかし保守回線のように外から内へつながる経路が増えると、この前提は成り立ちません。
ゼロトラストでは、接続のたびに「誰か」「その端末は安全か」「その操作は許可されているか」を確認するという考え方をとります。製品を入れれば実現するものではなく、上の①②③をきちんとやること自体が、その第一歩です。
委託先の管理 ― ガイドライン第7.0版の視点
厚生労働省の医療情報システムの安全管理に関するガイドラインは、第7.0版（令和8年6月公開）で外部委託・サプライチェーンの観点が強調されました。
特徴的なのは、保守を担う事業者側を対象とした「保守委託機関編」が新たに設けられたことです。従来のガイドラインは主に医療機関に向けられていましたが、支える側にも求める水準を示す構成になりました。
医療機関側の実務としては、次のあたりが要点になります。
- 委託契約で範囲と責任を明確にする ― 何をどこまで委託するのか、事故時の連絡と対応をどうするのか
- 接続の条件を取り決める ― いつ・どこから・どの範囲に接続してよいか
- 再委託の有無を確認する ― 契約した事業者がさらに別の会社に出していないか
- 記録の取り扱いを決める ― 誰が記録を保持し、必要時にどう提供するか
事業者を選ぶ基準そのものが、院のセキュリティ水準になります。信頼できる委託先を選べば、その事業者の対策水準に「乗る」ことができる——これは負担軽減の面でも現実的な考え方です。
小規模な医療機関では
専任の情報担当がいないクリニックでは、ここまでの設計を自前で行うのは困難です。その場合、「業者にすべて任せる」のではなく、最低限の3点だけ把握しておくことをおすすめします。
- いま、外部からつながる経路が何本あるか（電子カルテ、レセコン、予約、オンライン資格確認など、それぞれ別の経路のことがあります）
- それぞれ、常時つながっているのか、必要時だけか
- 接続の記録は残っているか、誰が持っているか
この3つを保守事業者に質問できるだけで、状況は把握できます。答えられない事業者であれば、それ自体が判断材料になります。
まとめ
- 保守回線は業務に必要な正規の経路である一方、外から院内へ入る入口でもある。攻撃はつながっている事業者を経由して来る。
- 方式（閉域網・VPN・リモート保守ツール）の選択より、運用設計が効く。①必要なときだけ開く ②必要な範囲だけ触れる ③記録を残して見る。
- 閉域＝安全ではない。VPNは入れて終わりではなく保守し続ける対象。
- ガイドライン第7.0版（令和8年6月公開）では外部委託・サプライチェーンが強調され、保守委託機関編が新設された。契約での範囲・責任・再委託の明確化が実務の要点。
- 小規模施設は、経路の本数・常時接続の有無・記録の所在の3点を把握するところから。
学びを深める
📎 あわせて読みたい
- そのUSBメモリ、まだ使いますか ― 媒体に頼らないデータ授受へ
- 電子カルテ更改の「仕様書」で決まる ― 保守範囲をRFPにどう書くか
- オンプレミス か クラウド か ― 置き場所と責任分界の考え方
- そのメール、本物ですか？ ― もう一つの侵入口
- 言葉の確認は 医療DX 用語集
外部接続の設計と委託先の管理は、技術と契約の両面から詰める必要があります。MEDICT は医療情報システムの構築・運用の経験をもとに、医療機関の安全管理体制づくりをご支援しています。