# オープニング はい、みなさんこんにちは。 弁護士法人大端法律事務所代表弁護士、 弁護士と司会士のダブルライセンスを持つ、 歯科専門弁護士の大端誠でございます。 現在、日本唯一の歯科専門弁護士として、 専門活動で培った知識と経験を生かして、 歯科医が安心して診療できる環境づくりをサポートしております。 さて、先生方の中で、 サイバー攻撃なんて、私たちの小さな歯科医には関係ない、 というふうに思っている方も多いのではないでしょうか。 でも実はこれは今や、 全ての歯科医にとって避けて通れない重要課題になっているんですね。 そして、このサイバーセキュリティ対策というのが、 保健所などによる立入検査の対象にもなってきております。 そこで今回は、歯科医におけるサイバーセキュリティ対策と 立入検査への対応についてお話ししたいと思います。 # タイトルコール 歯科専門弁護士大端誠の歯科院のための法律クリニック 実例を通じて問題解決方法やトラブル予防のポイント 健全な院経営の基礎知識を実践的にお届けするチャンネルです。 # なぜサイバーセキュリティが必要なのか〜医療機関へのサイバー攻撃による被害事例から学ぶ〜 コンピューターへの不正アクセスは大きな病院の問題で、 うちは小さな院だから狙われない、そんな風にお考えの先生方もいらっしゃるかもしれません。 でも実はそういう問題ではないんですよね。 代償とかは関係ないんです。 また、サイバーセキュリティについて保健所なんかが立ち入り検査することがあるの?という風に思われている先生もいるかもしれません。 この点については、医療法施行規則が改正されて、2023年4月から、規模に関係なく、 全ての病院診療所に対してコンピューターセキュリティ対策の実施が法律で義務付けられました。 インターネットに接続している全ての医療機関が対象で、この規則に基づいて実施される保健所による立ち入り検査でも、 サイバーセキュリティ対策が確認項目に含まれるようになってきているんですね。 実際驚くべきことに、東京都の報告では、ある年度に立ち入り検査を受けた67の医療機関の全てで、 何らかの指摘または指導があったというデータもあります。 なぜ、このようにサイバーセキュリティ対策がこれほど重要で、立ち入り検査の項目にまでなってきたのでしょうか。 歯科医というのは、患者さんの名前、住所、保健所の情報、病歴・薬歴・検査結果、さらにはクレジットカード情報まで、 ハッカーなどの不正アクセスをする人たちにとって非常に価値の高い情報をたくさん持っています。 実際に近年、医療機関を狙ったサイバー攻撃が増えていて、歯科医も例外ではないんですね。 特に気を付けなければならないのは、ランサムウェアと呼ばれる攻撃です。 これは院内のコンピューターに忍び込んで、患者データなどの大事な情報を勝手に暗号化して使えなくしてしまって、 元に戻してほしければお金を払え、みたいな感じで脅してくる悪質なコンピュータウイルスのことですけれども、 2021年には少なくとも5件、2022年には14件、2023年にも5件の医療機関でこのランサムウェア被害が報告されています。 こういう被害が起きると診療業務に大きな影響が出てしまいますし、患者さんの信頼も失うことになってしまうんですね。 このような背景から厚生労働省は、2023年4月に医療法施行規則を改正して、すべての医療機関に対してサイバーセキュリティを義務付けたんですね。 そしてこの義務化に伴って、保健所による立ち入り検査でもサイバーセキュリティ対策の実施状況が確認されるようになってきています。 ここで、うちの電子カルテとかレセコンはインターネットにつながっていないスタンドアロンのシステムだから、サイバー攻撃なんて関係ない、そういうようなお話をされる先生もいらっしゃいます。 でもこれは大きな誤解なんですね。確かにインターネットに直接つながっていないシステムはリスク自体は低くなります。 けれども完全に安全というわけではないです。 例えばUSBメモリとかSDカードなど外部記憶媒体を通じた感染もあります。 また外部の保守業者が持ち込むパソコンとかツールが感染源になることもあります。 新しく導入する機器に出荷時点でウイルスが潜んでいるケースも報告されているんですね。 実際に起きた例としては、まある病院でインターネットに接続されていない電子カルテシステムが保守業者が持ち込んだ機器を通じてウイルスに感染してしまったというケースもあったみたいです。 また別の事例では、スタッフが自宅で使っていたUSBメモリを院内パソコンに接続したことで感染が広がってしまったというケースもあるようですね。 ですので、インターネットに繋がっていないから安心というふうに思わないで、スタンドアロンのシステムでもセキュリティ対策が必要だということを覚えておいてください。 では実際他にもどのような事例があるのか見ていきたいと思います。 2022年2月に関東地方のある歯科診療所ではデータが見られなくなったという相談からランサムウェア感染が判明しました。 調査の結果、VPN機器、これは簡単に言うとインターネットを通じて院外から院内のシステムに安全に接続するための装置なんですけれども、 この機器のソフトウェアが更新されずに初期設定のままだったこととか院内パソコンのパスワードも簡単なものに設定されていたことが原因だというふうに判明しました。 この事例ではランサムウェア感染後に保健所からも事情聴取を受けてセキュリティ対策の不備を指摘されたんですね。 つまりサイバー攻撃の被害者であっても対策が不十分だった場合には行政指導を受ける可能性があるということです。 他の例としては奈良県のある病院で2018年にランサムウェア感染により電子カルテシステムが使用不能になって紙カルテで診療を続けるというそういう事態になりました。 1100名以上の患者さんの医療情報が一時参照できなくなるというそういう事態に陥ったんですね。 こうした事例を受けて厚生労働省はサイバーセキュリティ対策の重要性を強調して立入検査のチェック項目に加えるよう各保健所に通知しているわけです。 # 立入検査の実態 それでは、サイバーセキュリティに関する立ち入り検査とは、具体的にどのようなものなんでしょうか? そして、どう対応すればよいのでしょうか? まず、保健所による立ち入り検査というのは、医療法25条などの規定に基づいて行われるもので、 歯科診療所では、原則5年に1回程度の頻度で実施されます。 保健所の職員が、歯科医を訪問して、施設基準や衛生管理、医療安全体制が適切かどうかを確認するものです。 サイバーセキュリティに関してはいくつかの重要なポイントがチェックされます。 まず、医療情報システムのセキュリティ対策がどのように取られているかを確認されることがあります。 どんなソフトを入れていますか?どういう対策をしていますか?といった質問ですね。 また、電子カルテやレセコンのバックアップを定期的に取っているかどうかも重要なポイントです。 何日おきにバックアップを取っていますか?どこに保存していますか?そういった質問もあるかもしれません。 ウイルス対策ソフトの導入状況も確認されます。 ウイルス対策ソフトは入れていますか?定期的に更新していますか?そういうような質問ですね。 あとは、パソコンとかネットワーク機器のパスワード管理についても聞かれることがあります。 患者の取扱いに関する規定があるか?管理者は誰か?といった、そういった体制面の質問もあります。 さらには、スタッフへのセキュリティ教育を行っているかどうかも大事なポイントです。 特に近年では、オンライン資格確認の原則義務化に伴って、多くの医療機関でネットワーク環境の整備が必要となりましたので、 厚生労働省のガイドラインに掲載されたネットワークセキュリティ対策を含む各種対策の実践が一層求められるようになっています。 では、もし立ち入り検査に応じなかったり、うちはサイバーセキュリティについては見せられないなどと拒否した場合、どうなるのでしょうか? 結論から言いますと、これはもちろん非常に危険です。 医療法上は立ち入り検査への協力義務が課されていますので、正当な理由なく拒否とか妨害した場合には、それ自体が法律違反となって処罰の対象となる可能性があります。 ですから、たとえセキュリティ対策が不十分であったとしても、立ち入り検査には誠実に対応して指摘を真摯に受け止めて改善する、 そういったような形をとるのが最善の道となります。 # サイバーセキュリティ対策と立入検査への対応準備〜3つのポイント〜 では、具体的にはどうすれば良いのか? サイバーセキュリティ対策と立入検査への対応準備について、3つのポイントをお伝えいたします。 まず1つ目は、基本的な技術対策の徹底です。 委員で使っているパソコンやサーバー、医療機器のソフトウェアは、常に最新の状態にアップデートしておいてください。 Windowsなどの更新プログラムが来たら、面倒がらずに更新することが大切です。 後でやろうと思って後回しにすると、結局忘れてしまうことも多いですよね。 私なんかも結構忘れちゃうタイプなので、これは自戒を込めてお伝えしております。 特にVPN装置は定期的に最新版に更新しましょう。 そして、購入時に設定されているIDやパスワードは必ず変更してください。 製品が届いた時のままのパスワードというのは、実は悪意ある人にとっては鍵が開いている状態と同じなんですね。 ウイルス対策ソフトも必ず導入しましょう。 面倒くさいなと思うかもしれませんけれども、ランサムウェアに感染してデータを人質に取られたり、患者データが漏れたりするリスクに比べれば、これは時間も費用も安い投資です。 電子借り手とかセコンは可能であればインターネットから切り離すとか、別のネットワークにするとより安全です。 これらの対策というのは、立ち入り検査で確認される可能性が高いポイントですので、あらかじめ整備しておきましょう。 そしてインターネットにつながっていないシステムでも、USBメモリとか、そういった外部から持ち込むものの管理ルールとかを作って、 委員専用のUSBを準備して、外部からの持ち込みを制限するなどの対策も大切ですね。 スタッフの人たちにも、自宅のUSBを持ってこないでくださいね、こういう一言を伝えるだけでも全く変わってきます。 2つ目のポイントは、患者情報のバックアップと管理体制の整備です。 定期的にデータのバックアップを取得して、できればオフラインでも保管するとベストです。 外付けハードディスクなどを定期的に保存するのも一つの方法ですね。 また、院内での情報管理の担当者を明確にしておきましょう。 誰が担当かということをはっきりさせておくことで、あれ、誰かがやってるよね、という状態を避けることができます。 それでも、万一コンピュータウイルスに感染した場合に備えて、連絡体制も整備しておいた方がいいですね。 こういう時にはこの人に連絡する、そういうようなリストを作っておくとより良いと思います。 3つ目のポイントは、立ち入り検査対策としての記録整備とスタッフ教育になります。 コンピュータの安全対策の実施状況を示す記録とかルール収集、こういったものを整備しておいた方がいいでしょう。 例えば、安全対策のルール文書、ウイルス対策ソフトの導入と更新記録、バックアップの実施記録、スタッフへの安全研修の実施記録とか、 そういったような実際に行ったことを、立ち入り検査で実際にやっていますかと聞かれるだけではなく、その証拠、記録を見せる。 そうすると、実際に立ち入り検査に来た方も理解してくれやすいですので、この辺はしっかりと証拠化しておくことが重要です。 また、実際、全てのスタッフに対して定期的な安全セキュリティ対策、簡単な研修を実施するようにしておいていただければと思います。 例えば、怪しいメールは開かないとか、知らない人から送られてきたUSBメモリは委員のパソコンに差し込まないとか、そういったような基本的なことを教えるだけでも大きな違いがあります。 一人のスタッフが、うっかり怪しいメールの添付ファイルを開いてしまうだけで、委員全体のシステムが感染してしまう恐れもありますからね。 さらに、クラウド型の電子カルテとか、外部のレセコン会社などを利用する場合も、その会社がきちんとしたセキュリティ対策をとっているか確認することも大切です。 この辺、ちゃんとやっていないというところは今はないと思いますけれども、ただ、セキュリティ認知認証とかプライバシーマークとか、この会社は情報管理がしっかりしていますという証明を持っている会社であれば、一定の安全水準というのは期待できます。 万一の時に誰が責任を持つかというのが曖昧だと、後々トラブルになりかねませんので、こういったところはしっかりと契約書で確認をしておいていただければと思います。 # 本日のまとめ 本日のまとめです。 司会におけるサイバーセキュリティ対策は、もはやあればよいというオプションではなくて、 法的な義務になっていますし、立ち入り検査の対象にもなっております。 うちは小さな院だから大丈夫。うちには大したデータがないから。 うちのシステムはインターネットにつながっていないから。 そんなふうに油断しないで、基本的なセキュリティ対策を怠らないということが大切です。 立ち入り検査に対しても、何も対策していませんと正直に答えるよりは、 現在こういった対策を実施していて、今後さらに強化する予定です。 こういうような前向きな姿勢を示すことが重要です。 もちろん、何より立ち入り検査を拒否する。 そういったことだけは絶対に避けていただければと思います。 真摯に対応して、指摘事項について速やかに改善することが一番の道になります。 # エンディング はい、今日も最後まで聞いていただきましてありがとうございました。 今日は、歯科医院のサイバーセキュリティ対策についてお話しいたしましたが、いかがでしたでしょうか。 今日お伝えした対策のポイントを、ぜひ明日から少しずつでも実践して、 患者さんの情報と医院の経営を守るための第一歩にしていただければとてもうれしいです。 さて、このチャンネルでは皆さんからのいいね、フォロー、シェアを励みに発信しております。 ご質問とかコメント、こんなテーマについて聞きたいというリクエストもお待ちしております。 ちなみに具体的なご相談とか、もっとトラブル予防について身につけたいという風に考えている先生方につきましては、 DLCという、歯科医院限定のメンバーシップがありますので、こちらをご活用ください。 それではまた次回の音声でお待ちしております。 歯科専門弁護士の尾端誠でした。