医療・介護のサイバーリスク｜患者・利用者の個人情報漏えい

医療・介護施設で個人情報漏えいが起きるリスク

医療機関や介護施設では、患者・利用者の氏名や住所、連絡先に加え、病歴、診療情報、介護記録など、慎重な管理が必要な情報を取り扱っています。

こうした情報が漏えいすると、本人のプライバシーが侵害されるだけでなく、施設への信頼や業務運営にも影響する可能性があります。

原因は、サイバー攻撃だけとは限りません。メールの誤送信、書類や端末の紛失、不適切なアクセス権限、委託先を通じた事故など、日常業務の中にもリスクがあります。

医療・介護施設で想定される3つの漏えいリスク

1. 不正アクセスやサイバー攻撃

職員のアカウントが不正利用されたり、ランサムウェアなどの攻撃を受けたりすると、個人情報へのアクセスやシステムの利用に支障が出る可能性があります。攻撃によっては、情報の暗号化だけでなく、外部への持ち出しが問題となる場合もあります。

2. メールの誤送信や書類・端末の紛失

送信先を間違えたメールに患者情報を添付してしまう、利用者情報を含む書類を置き忘れる、端末を紛失するといったミスも、情報漏えいにつながる可能性があります。

忙しい時間帯や確認作業が重なる場面でもミスを減らせるよう、送信前の確認手順や書類・端末の管理方法を整えておくことが重要です。

3. 職員や委託先による不適切な取扱い

業務上必要のない情報まで閲覧できる状態や、共有アカウントを複数人で利用する状態は、情報管理上のリスクになります。また、システム保守やデータ管理を外部事業者に委託している場合は、委託先の安全管理や事故発生時の連絡体制も確認する必要があります。

個人情報漏えいを防ぐために確認したい3つの対策

対策1. 個人情報へのアクセス権限を見直す

職員全員がすべての患者・利用者情報を閲覧できる状態になっていないか確認しましょう。担当業務に必要な範囲にアクセス権限を限定し、退職者や異動者のアカウントを適切に停止・変更することが大切です。

あわせて、重要なシステムでは多要素認証の導入を検討し、パスワードの使い回しを避けるなど、アカウントの不正利用を防ぐ対策を進めます。

対策2. メール誤送信と不審メールを防ぐ

個人情報をメールで送信する際は、宛先、添付ファイル、送信内容を確認する手順を決めます。必要に応じて、送信前の複数人確認や、誤送信を防ぐメールシステムの機能も活用しましょう。

また、不審なメールの添付ファイルやリンクを安易に開かないよう、職員への周知や訓練を行います。注意喚起を一度実施するだけでなく、定期的に確認することが重要です。

対策3. 漏えい時の初動と連絡体制を決める

個人情報漏えいが疑われたとき、誰に報告し、誰が事実確認を行い、誰が外部への連絡を判断するのかを事前に決めておきましょう。

具体的には、施設内の責任者、システム管理者、委託先、顧問弁護士など必要な相談先を整理します。事実確認、影響範囲の特定、被害拡大の防止、記録の保存など、初動の流れを職員が確認できる状態にしておくことが大切です。

個人情報漏えいが疑われたときの初動対応

• 施設内の責任者や情報管理担当者に速やかに報告する。
• 不正アクセスなどが疑われる場合は、専門家の助言を得ながら被害拡大を防ぐ。
• 何が起きたのか、どの情報が対象か、誰に影響する可能性があるかを確認する。
• 発生時刻、対応内容、関係者への連絡、調査結果などの記録を残す。
• 法令やガイドラインに基づき、個人情報保護委員会への報告や本人への通知が必要か確認する。

報告や本人への通知が必要となる条件は、漏えいした情報の内容や事案の状況などによって異なります。自己判断で対応を終わらせず、個人情報保護委員会のガイダンスや専門家の助言を確認しながら進めましょう。

サイバー保険で確認したいポイント

サイバー保険は、契約内容によって、事故原因の調査費用、情報漏えいへの対応費用、第三者への損害賠償などが補償対象となる場合があります。ただし、すべての事故や費用が補償されるわけではありません。

確認したいポイントは次のとおりです。

• 個人情報漏えいが疑われる際の原因調査費用は対象になるか。
• 本人への通知、問い合わせ窓口、専門家への相談などの費用は対象になるか。
• 患者・利用者など第三者への損害賠償が対象になるか。
• 委託先で発生した事故や、サイバー攻撃以外の誤送信などが対象となるか。
• 事故発生時の連絡期限、事前承認の要否、免責金額、支払限度額はどうなっているか。

補償の対象や条件は保険商品、特約、事故の状況などによって異なります。保険証券や約款を確認し、自施設で想定される事故を具体的に伝えて、保険会社や取扱代理店に確認しましょう。

まずは自施設の管理体制を確認しましょう

個人情報を守るために、最初から大がかりな対策をすべて導入する必要はありません。まずは日常業務で実行できているかを確認することが大切です。

• 職員ごとのアクセス権限が適切に設定されているか。
• メール送信前の確認手順が決まっているか。
• 漏えいが疑われたときの報告先と初動手順が共有されているか。

患者・利用者の個人情報を守ることは、施設への信頼を守ることにもつながります。自施設の業務に合わせて、できる対策から見直していきましょう。

サイバーリスクへの備えや保険の確認ポイントについては、パキラのサイバーリスク情報サイトでも紹介しています。

“`