医療・介護のサイバーリスク｜委託先・外部サービスのリスクと対策

医療機関や介護施設では、電子カルテ、介護記録、予約管理、請求業務など、さまざまなシステムや外部サービスを利用しています。これらを支えるシステム会社、クラウドサービス事業者、保守会社などは、日々の業務を継続するうえで重要な存在です。

一方で、自施設のセキュリティ対策を進めていても、委託先や外部サービスで情報漏えいやシステム障害が発生すれば、自施設の業務にも影響が及ぶ可能性があります。

大切なのは、委託先を一律に危険視することではありません。どの事業者が重要な情報や業務を支えているのかを把握し、事故が起きた場合の影響と対応方法を事前に確認しておくことです。

1．委託先や外部サービスにはどのようなリスクがあるのか

委託先を通じて情報が漏えいするリスク

医療情報や介護記録を取り扱う事業者、システムの保守を行う会社などがサイバー攻撃を受けた場合、管理する情報や接続環境によっては、情報漏えいや不正アクセスなどの影響が生じる可能性があります。

特に確認したいのは、委託先がどの情報を扱い、どの範囲まで自施設のシステムにアクセスできるのかという点です。業務に必要な範囲を超えたアクセス権限が残っていないか、定期的に確認することが重要です。

外部サービスの停止が自施設の業務に影響するリスク

クラウドサービスや外部のシステムが停止すると、電子カルテや介護記録の閲覧、予約管理、会計、請求業務などが通常どおり行えなくなる可能性があります。影響の範囲は、利用するサービスやシステムの構成によって異なります。

自施設のサーバーに直接被害がなくても、外部サービスが使えないことで業務が滞る場合があります。どのサービスが停止すると、どの業務が止まるのかを把握しておきましょう。

保守作業や外部接続がリスクになる場合もある

システムの保守や障害対応では、委託先の担当者が遠隔からシステムに接続することがあります。こうした接続は業務に必要ですが、アカウントの管理が不十分だったり、不要な権限が残っていたりすると、リスクにつながる可能性があります。

誰が、いつ、何の目的で接続できるのか。作業内容をどのように確認するのか。こうした管理方法を委託先と共有しておくことが大切です。

2．経営者が確認したい3つの対策

対策① 重要な情報を扱う委託先を把握する

まずは、自施設が利用しているシステムや外部サービスを整理しましょう。契約窓口が複数の部署に分かれていると、組織全体で委託先を把握できていない場合があります。

• 電子カルテや介護記録のシステム会社
• クラウドサービスやデータ保管サービスの事業者
• システムの保守・遠隔サポートを行う会社
• 予約、会計、請求などの業務システムの事業者
• 個人情報を取り扱う外部委託先

すべての委託先に同じ確認を求めるのではなく、重要な情報を扱う事業者や、停止すると業務への影響が大きいサービスから優先して確認すると進めやすくなります。

対策② 安全対策とアクセス権限を確認する

委託先がどのようなセキュリティ対策を実施しているのか、必要に応じて確認しましょう。専門的な技術の詳細が分からなくても、基本的な管理方法や事故発生時の対応を確認することはできます。

• 重要な情報へのアクセスを必要な担当者に限定しているか
• 保守用アカウントや遠隔接続の権限を適切に管理しているか
• 担当者の変更や契約終了時に不要な権限を停止する仕組みがあるか
• 不審なアクセスやセキュリティ上の問題を把握する体制があるか
• バックアップやシステム復旧の手順を確認しているか

確認した内容は記録に残し、契約更新時やサービス内容の変更時などに見直すと、継続的な管理につながります。

対策③ 事故時の連絡体制と責任範囲を決める

委託先で情報漏えいやシステム障害が発生した場合、誰から誰に連絡し、どのように対応するのかを事前に確認しておきましょう。通常の問い合わせ窓口だけでなく、緊急時の連絡先や夜間・休日の対応方法も確認しておくと安心です。

• 事故や障害が発生した場合の報告先と連絡方法
• 委託先から自施設への報告期限や報告内容
• システムの復旧やデータ保全を誰が担当するか
• 患者・利用者への対応や関係機関への報告を誰が判断するか
• 契約上の役割、責任範囲、事故対応に関する取り決め

事故の対応を委託先に任せきりにせず、自施設として必要な判断や対応を行える体制を整えておくことが重要です。契約内容や適用される法令・ガイドラインに沿って、関係者間の役割を明確にしておきましょう。

3．委託先に任せていても、自施設で備えることがある

システムの管理やデータ保管を外部事業者に委託していても、自施設の業務継続に必要な準備まで不要になるわけではありません。サービスの停止や連絡の遅れなどを想定し、自施設で確認できることを整理しておきましょう。

• 停止すると影響が大きいシステムと業務を把握する
• 代替手順や緊急時の連絡先を準備する
• 重要データのバックアップと復元方法を確認する
• 委託先に連絡できない場合の対応を決めておく
• 必要に応じて、委託先も含めた事故対応や復旧手順を確認する

医療機関では、厚生労働省の「医療情報システムの安全管理に関するガイドライン」や関連するチェックリストを確認できます。介護事業所についても、厚生労働省が公開する情報安全管理の手引きなどを参考に、自施設の実情に合った対策を検討しましょう。

4．サイバー保険で確認しておきたいこと

委託先や外部サービスに関連する事故について、サイバー保険でどのような費用や損害が補償対象になるかは、保険商品、特約、契約条件、事故の状況などによって異なります。

「委託先が原因なら補償される」「外部サービスの停止による損失は必ず補償される」と一律には判断できません。自施設の契約内容について、次の点を確認しておきましょう。

• 委託先や外部サービスに関連する事故が、どのような条件で対象となるか
• 情報漏えい、事故対応費用、データ復旧費用などの補償範囲
• 外部サービスの停止に伴う損失が対象となるか、その条件は何か
• 免責事項、免責金額、支払限度額などの契約条件
• 事故発生時の保険会社への連絡方法や、費用支出前の確認事項

保険は、委託先の管理やシステムの安全対策に代わるものではありません。日頃のリスク管理を基本に、万一の経済的な損失への備えとして契約内容を確認することが大切です。

まとめ｜委託先との関係も含めて、自施設を守る

医療・介護施設のサイバーリスクは、自施設の内部だけで完結するとは限りません。システム会社、クラウドサービス事業者、保守会社など、業務を支える委託先や外部サービスも含めて考えることが重要です。

まずは、重要な情報を扱う委託先を把握すること。次に、安全対策やアクセス権限を確認すること。そして、事故時の連絡体制や責任範囲を明確にすること。この3つから始めてみましょう。

委託先と定期的に情報を共有し、自施設の業務継続計画や保険契約も合わせて見直すことで、万一の際に取るべき行動を明確にしやすくなります。

参考資料：厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」、厚生労働省「介護情報基盤について」、IPA「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」