福祉施設のサイバーセキュリティ｜個人情報を守るために最低限やるべき対策と実践ガイド

「うちは関係ない」が最も危ない―福祉施設に忍び寄るサイバー脅威の現実

2021年、大阪府の病院がランサムウェア攻撃を受け、電子カルテシステムが完全に使用不能となり、手術の延期や外来診察の停止を余儀なくされました。2023年には東京都内の特別養護老人ホームで職員がフィッシングメールの被害に遭い、数千名分の利用者個人情報が外部に流出したとみられる事案も報告されています。これらは決して特殊な例ではなく、医療・福祉分野はサイバー攻撃者にとって「攻めやすく、かつ価値が高い標的」として、世界的に狙われやすい業種になっています。

私が理事長を務める医療法人鳳應会は、札幌・小樽を中心に訪問診療・精神科・介護・障害福祉など複合的な事業を展開しています。日々の現場で感じるのは、多くの福祉施設関係者が「サイバーセキュリティは大企業や病院の話」と受け止めているという現実です。しかし、利用者10名規模のグループホームであっても、そこには名前・住所・障害の種別・服薬情報・家族の連絡先など、非常にセンシティブな個人情報が集中しています。

個人情報保護委員会の報告によれば、2022年度に報告された個人情報漏洩・滅失等の件数は1万件を超え、医療・福祉分野はその主要な業種のひとつに挙げられています。また厚生労働省は「医療情報システムの安全管理に関するガイドライン 第6.0版」（2023年改定）において、委託先・関連事業者を含むサプライチェーン全体でのセキュリティ管理を強く求めており、介護・福祉事業者も実質的にその対象範囲に含まれるようになっています。

北海道においても、地方の事業所ほどIT専門職の確保が難しく、セキュリティ対策に割けるリソースが限られているという課題があります。だからこそ、「何から始めればよいか」を整理し、優先度をつけて着実に実践することが重要です。本記事では、特別な技術知識がなくても理解・実行できる対策を中心にお伝えします。

なぜ福祉施設は狙われるのか―攻撃者が目をつける3つの理由

セキュリティ投資が少なく、突破しやすい

サイバー攻撃者は基本的に「コストパフォーマンス」で標的を選びます。銀行や大企業は高度なセキュリティシステムを構築しており、攻撃に多大な労力が必要です。一方、小規模な福祉施設はウイルス対策ソフトすら導入していないケースや、10年前の古いOSが現役で稼働しているケースも珍しくありません。攻撃者にとっては「楽に入れる扉」として映るのです。

扱う情報の価値が極めて高い

福祉施設が保有する情報は、ダークウェブ上で高値で取引される種類のものです。氏名・生年月日・住所・障害等級・病歴・服薬情報・家族構成・経済状況などが1件のファイルにまとまっていることが多く、金融詐欺・なりすまし・保険詐欺などに悪用される危険性があります。特に高齢者や障害者の情報は、特殊詐欺グループに狙われるケースも報告されています。

インシデント発生時の対応体制が脆弱

大手企業であれば、セキュリティインシデントが発生した際にCSIRT（コンピュータセキュリティインシデント対応チーム）が即座に対応します。しかし多くの福祉施設では、「何かおかしい」と気付いてから対応が始まるまでに数日を要し、その間に被害が拡大するパターンが散見されます。独立行政法人情報処理推進機構（IPA）の調査でも、中小規模事業者ほどインシデント対応計画の策定率が低いことが示されています。

情報漏洩が起きたらどうなるのか―施設と利用者が受ける深刻な影響

利用者・家族への直接的な被害

最も深刻なのは、サービスを受けている利用者やその家族への実害です。住所や連絡先が流出すれば、特殊詐欺や不審な訪問者のターゲットになる恐れがあります。障害の種別や介護度が漏洩すれば、差別・偏見・スティグマにさらされるリスクも生じます。認知症高齢者や重度障害者は自ら被害を申告することが難しく、被害の発見が遅れることも問題です。個人情報保護法では、要配慮個人情報（病歴・障害等級など）の漏洩は「重大な事態」として個人情報保護委員会への報告が義務付けられており、法的な対応も求められます。

施設の信頼失墜と事業継続リスク

情報漏洩が公になれば、施設への信頼は一気に失われます。新規利用者の獲得が困難になるだけでなく、既存の利用者やその家族が転居・退所を検討するケースも起こりえます。さらに、ランサムウェア攻撃によって業務システムが使えなくなれば、記録の作成・介護報酬の請求・シフト管理など日常業務が麻痺し、最悪の場合は事業継続そのものが危ぶまれます。2021年の病院ランサムウェア被害では、完全復旧まで約2ヶ月を要した事例もあります。

法的・行政上のペナルティ

2022年に施行された改正個人情報保護法では、漏洩等の報告義務違反や安全管理措置の不備に対する罰則が強化されました。行政処分・立入検査・業務改善勧告の対象となりうるほか、民事上の損害賠償請求を受ける可能性もあります。介護・障害福祉サービスの指定事業者にとっては、最悪の場合、指定取消しという事態にも発展しかねません。

今日から始める！最低限やるべき基本的なセキュリティ対策

パスワードとアクセス権限の見直し

最初に取り組むべきは、パスワード管理の改善です。「password」「12345678」「施設名＋年号」のような推測しやすいパスワードは、攻撃者が自動プログラムで数秒以内に突破できます。パスワードは12文字以上、英大文字・英小文字・数字・記号を組み合わせたものを設定し、サービスごとに異なるものを使用することが基本です。覚えきれない場合は、信頼できるパスワード管理ソフトの活用が有効です。

また、多要素認証（MFA）の導入も重要です。パスワードに加えて、スマートフォンへの確認コード送信などを組み合わせることで、パスワードが盗まれた場合でも不正ログインを防ぐことができます。多くのクラウドサービスやメールシステムで無料で設定できますので、まず管理者アカウントから優先的に導入してください。さらに、退職した職員のアカウントを速やかに削除・無効化することも、見落とされがちながら非常に重要な対策です。

ソフトウェアとOSの更新を徹底する

古いOSやソフトウェアには、既知のセキュリティ脆弱性が存在します。攻撃者はこれらの脆弱性を突いて侵入します。WindowsやmacOSの自動更新設定を有効にし、業務で使用するソフトウェアも定期的にアップデートを行いましょう。サポートが終了したOSは速やかに移行が必要です。「更新すると何か壊れるかもしれない」という不安から更新を先送りにする施設も多いのですが、更新しないリスクの方がはるかに大きいと考えてください。

ウイルス対策ソフトとファイアウォールの導入

すべての端末にウイルス対策ソフトを導入し、定義ファイルを常に最新の状態に保つことは最低限の対策です。Windowsには標準搭載の「Windows Defender」がありますが、法人用途では有償の製品でより高い保護を得ることも検討に値します。ルーターのファイアウォール設定も確認し、不要なポートが開放されていないかを点検することが推奨されます。

人的ミスを減らす―職員教育と組織的なセキュリティ文化の醸成

フィッシングメールへの対応力を高める

サイバー攻撃の入口として最も多いのが、メールを利用した「フィッシング攻撃」です。実在する企業・行政機関・取引先を装ったメールを送りつけ、偽のリンクをクリックさせてパスワードを盗んだり、マルウェアを感染させたりします。特に近年は、文面が非常に巧妙になっており、一見しただけでは判別が難しいケースも増えています。厚生労働省や市区町村を名乗った偽メールも確認されており、福祉施設は標的になりやすいと言えます。

対策として有効なのは、定期的な「フィッシング訓練メール」の実施です。訓練用のフィッシングメールを職員に送り、クリックした職員には即座に教育コンテンツを表示するという仕組みで、多くのセキュリティ企業がサービスを提供しています。「怪しいメールはクリックしない」「添付ファイルは安易に開かない」「不審に思ったら上長に相談する」というルールを、全職員が体で覚えるまで繰り返し訓練することが重要です。

私物デバイス・USBメモリの利用ルールを定める

職員が私物のスマートフォンやUSBメモリを業務に使用することは、情報漏洩の大きなリスクです。私物デバイスにはセキュリティ設定が施されていないことが多く、紛失・盗難時の対応も困難です。「業務情報の私物デバイスへの保存禁止」「私物USBメモリの業務使用禁止」を明文化したルールを策定し、全職員に周知徹底してください。どうしてもUSBメモリを使用する場合は、暗号化機能付きの製品を施設支給品として統一管理することが推奨されます。

インシデント発生時の報告・対応フローを整備する

「何かおかしい」と気付いた職員が、誰に・どのように報告すれば良いかを明確にしておくことは非常に重要です。インシデント対応フローが整備されていない施設では、被害の発見から報告までに時間がかかり、その間に被害が拡大するリスクがあります。管理者への報告→ITベンダーへの連絡→必要に応じて警察・個人情報保護委員会への届出、という基本的な流れを文書化し、スタッフに共有しておきましょう。

クラウド・ICT活用時代の新たなリスクと注意点

クラウド型介護記録システムの安全な使い方

近年、多くの福祉施設でクラウド型の介護記録システムやケアマネジメントソフトの導入が進んでいます。これらはデータのバックアップ・多拠点連携・在宅勤務対応などの点で非常に便利ですが、インターネット経由でアクセスするため、設定を誤ると重大な情報漏洩につながる可能性があります。クラウドサービスを選定する際は、提供企業が「ISO 27001」などのセキュリティ認証を取得しているか、データの保存場所が国内かどうか、データ漏洩時の責任範囲がどのように規定されているかを必ず確認してください。

また、不要なアカウントを放置しないこと、アクセスログを定期的に確認すること、管理者権限を持つアカウントを最小限に絞ることが重要です。クラウドサービスの「責任共有モデル」という考え方を理解し、施設側が担うべき設定・管理の責任を明確に認識することが求められます。

テレワーク・リモートアクセスのリスク管理

コロナ禍を経て、介護支援専門員や相談員がテレワークを行う機会も増えてきました。自宅や外出先から業務システムにアクセスする場合、接続環境のセキュリティが施設内と同等でない場合が多く、リスクが高まります。VPN（仮想プライベートネットワーク）の利用や、業務専用端末の配布による私物端末との切り分けが有効です。また、カフェや公共交通機関内でのフリーWi-Fiを使った業務システムへのアクセスは原則禁止とするルールも検討してください。

バックアップの徹底と復旧計画の策定

ランサムウェア攻撃を受けた際に最後の砦となるのが、データのバックアップです。バックアップは「3-2-1ルール」が推奨されています。これは「データのコピーを3つ作成し、2種類の異なる媒体に保存し、うち1つはオフサイト（外部の場所またはクラウド）に保管する」というものです。バックアップを取っていても、ランサムウェアによって暗号化される前に長期間感染が続いていた場合、バックアップデータも汚染されている可能性があります。バックアップが正常に復元できるかを定期的にテストすることも欠かせません。

行政ガイドラインと支援制度を活用した対策の進め方

活用すべき主要なガイドライン・指針

サイバーセキュリティ対策を進める上で、公的なガイドラインを参照することは非常に有効です。主なものとして以下が挙げられます。まず、IPA（情報処理推進機構）が公開する「中小企業の情報セキュリティ対策ガイドライン」は、IT専門家でなくても理解できる平易な内容で、チェックリストも充実しており、まず最初に読むべき資料です。次に、総務省の「テレワークセキュリティガイドライン」は、在宅勤務を行う福祉職員への適用が可能です。また、社会福祉施設に特化した資料としては、厚生労働省の「医療情報システムの安全管理に関するガイドライン」が参考になるほか、各都道府県の社会福祉協議会が独自のセキュリティ指針を策定しているケースもあります。

中小事業者向けのセキュリティ支援制度

「対策はわかったが、費用が捻出できない」という声を現場でよく耳にします。しかし、中小企業・中小事業者向けのセキュリティ支援制度や補助金が複数存在します。独立行政法人中小企業基盤整備機構（中小機構）では、セキュリティ診断や相談窓口を提供しています。経済産業省の「IT導入補助金」のセキュリティ枠では、ウイルス対策ソフトやEDR（エンドポイント検出・対応）ツールなどの導入費用の一部が補助される場合があります。自治体独自の補助制度も設けられているところがあるため、北海道や各市の産業振興担当窓口に相談することもお勧めします。

専門家・ベンダーの活用と「丸投げ」しないための注意点

セキュリティ対策の一部を外部のITベンダーや専門企業に委託することは合理的な選択ですが、「すべて任せておけば大丈夫」という考え方は危険です。委託先がセキュリティ管理の不備によって情報漏洩を起こした場合でも、情報の管理責任は委託元の施設にあります。契約書に機密保持条項やセキュリティ管理基準を明記し、委託先の管理体制を定期的に確認する義務が施設側にも生じます。「任せたからといって責任がなくなるわけではない」という認識を、管理者・経営者が持つことが不可欠です。

医療法人鳳應会としての取り組みと、福祉施設への呼びかけ

鳳應会グループが実践するデジタルセキュリティの考え方

医療法人鳳應会では、精神科・訪問診療・介護・障害福祉にわたる幅広いサービスを展開するにあたり、グループ全体のデジタルセキュリティを重要な経営課題のひとつと位置づけています。電子カルテ・介護記録・オンライン診療システムなど、複数のデジタルシステムを連携させる際には、アクセス権限の厳格な管理・通信の暗号化・定期的なセキュリティ監査を実施しています。また、グループ内の医療DX部門「Medi Face」との連携により、セキュリティと業務効率化を両立したシステム設計を目指しています。

北海道オンラインクリニックでのオンライン診療においても、利用者の診療情報を扱う以上、セキュリティは最優先事項です。診療プラットフォームの選定から運用フローの設計まで、情報漏洩リスクを最小化することを前提に構築しています。地域の患者さん・利用者さんが安心してデジタルサービスを利用できる環境を整えることが、私たちの責務だと考えています。

地域の福祉施設を孤立させないために

北海道は広大な地理的条件のなかで、IT専門家が少なく、サイバーセキュリティの相談先すら見つかりにくいという地域事業者特有の課題があります。私は地域医療・在宅医療・福祉の現場に長く携わってきた立場から、福祉施設がこの課題に孤立無援で立ち向かうのではなく、医療機関・社会福祉協議会・行政・ITベンダーが連携して支援する「地域ぐるみのセキュリティ文化」を醸成することが必要だと感じています。当法人グループの行政書士きくち事務所では、医療・福祉分野の法令対応に関する相談も受け付けており、個人情報保護法への対応や契約書のリスク管理についてもアドバイスが可能です。

「セキュリティ対策に何から手をつければわからない」「自分の施設のリスクがどの程度かを把握したい」という方は、ぜひ一度、専門家への相談をご検討ください。小さな一歩が、利用者さんの大切な情報を守ることにつながります。医療法人鳳應会は、地域の医療・福祉を守る仲間として、皆さんのそばに寄り添い続けます。

よくある質問

Q. 小規模な福祉施設でも本当にサイバー攻撃に遭う可能性はありますか？

A. はい、規模に関係なく攻撃の対象となります。むしろ小規模施設はセキュリティ対策が手薄なため、攻撃者にとって「突破しやすい標的」として選ばれやすい傾向があります。攻撃の多くは自動化されたプログラムが無差別にインターネット上の脆弱な端末・システムを探索するもので、「うちは小さいから」という規模感は攻撃者の選定基準にはなりません。

Q. 無料のウイルス対策ソフトでも十分な保護が得られますか？

A. 個人利用では無料版で一定の保護が得られますが、法人・事業所での業務利用においては有償の法人向け製品の導入が推奨されます。法人向け製品は集中管理・定義ファイルの自動更新管理・インシデント時のサポートなどが充実しており、複数端末を管理する施設には現実的な選択肢です。ただし、どのソフトであれ「定義ファイルを常に最新に保つ」ことが前提条件です。

Q. 職員が私物スマートフォンで利用者情報を扱っている。どう対策すればよいですか？

A. まず、業務情報の私物端末への保存・転送を禁止するルールを文書化し、全職員に周知することが最初のステップです。その上で、業務連絡には施設支給の端末またはセキュアなビジネスチャットツール（管理者が利用状況を把握できるもの）を使用する体制へ移行することが望ましいです。スマートフォンの紛失・盗難時にリモートでデータを消去できるMDM（モバイルデバイス管理）ツールの導入も有効です。

Q. 個人情報が漏洩したと疑われる場合、どこに報告すればよいですか？

A. 改正個人情報保護法（2022年施行）では、要配慮個人情報（病歴・障害情報等）を含む漏洩等が発生した場合、個人情報保護委員会への速やかな報告と本人への通知が義務付けられています。また、不正アクセスが疑われる場合は警察（都道府県警察のサイバー犯罪相談窓口）への相談も検討してください。指定事業者は監督官庁（都道府県の介護・福祉担当部署）への報告も必要となる場合があります。

Q. セキュリティ対策にかかるコストはどの程度を見込めばよいですか？

A. 基本的な対策（ウイルス対策ソフト・パスワード管理・定期バックアップ）であれば、10名規模の施設で年間数万円程度から始められます。IT導入補助金などの公的支援を活用することでコストを抑えることも可能です。重要なのは「情報漏洩が起きた際の損害（信頼失墜・法的費用・業務停止損失）」と対策コストを比較する視点です。適切な対策への投資は、リスクマネジメントの観点から必要な経営判断です。

まとめ

福祉施設のサイバーセキュリティは、もはや「大きな組織だけの問題」ではありません。利用者の大切な個人情報を守るために、今すぐ取り組むべき要点を整理します。

• 福祉施設は要配慮個人情報を多数保有しており、サイバー攻撃者の格好の標的となっている。「うちは小規模だから大丈夫」という認識は危険です。
• まずはIPA「情報セキュリティ5か条」を全職員で共有し、パスワード強化・OS更新・ウイルス対策・バックアップを確実に実施することから始める。
• フィッシングメール対策・私物デバイスの利用ルール整備・インシデント報告フローの策定など、人的ミスを防ぐ組織的な対策が不可欠です。
• クラウド型システム導入時は、セキュリティ認証・データ保存場所・委託契約の責任範囲を必ず確認し、「丸投げ」にならない管理体制を構築する。
• IPA・総務省・厚生労働省のガイドライン、IT導入補助金などの公的支援を積極的に活用し、コストを抑えながら対策を進める。
• 情報漏洩が発生した際は、個人情報保護委員会・警察・監督官庁への報告義務があることを把握し、対応フローを事前に整備しておく。

医療法人鳳應会では、地域の福祉・医療現場が安心してICT・DXを活用できる環境づくりを支援しています。「自施設のセキュリティ状況を点検したい」「個人情報の取り扱いルールを整備したい」「デジタル化を進める際の注意点を相談したい」という方は、ぜひ当法人グループにご相談ください。地域医療・地域福祉を守るパートナーとして、皆さんの取り組みを全力でサポートします。