# 医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと

初動は保守会社への連絡、ネットワークの遮断と攻撃者が残した裏口の無効化、記録の保全です。侵害された可能性のある機器の ID とパスワードの無効化は、ガイドラインでは復旧の際の方策です。非常時用のアカウントは正常に戻った後に使えなくします。

更新日: 2026-10-14

サイバー攻撃を受けたら、まず保守会社に連絡し、ネットワークを遮断して、記録を守ります。厚生労働省の BCP の手引きは、攻撃者が残した裏口(バックドア)の無効化なども、この初動の被害拡大防止に置いています。ガイドラインは、侵害された可能性のある機器に保存されていた ID とパスワードの無効化を、復旧の際の方策に挙げています。非常時用のアカウントは、正常に戻った後に使えないように変えます。

## 攻撃を受けたときに決まっていること

厚労省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、システム運用編 18 章の遵守事項(守るべき決まり)で、攻撃を受けたときの対応を 4 つ挙げています。

- 攻撃を受けたサーバーなどを切り離すための、外部ネットワークの一時切断
- コンピュータウイルスなどが入った機器の隔離
- 被害を確かめるための業務システムの停止
- バックアップからの重要なファイルの復元

18 章は、この 4 つを初動と復旧に分けていません。サイバー攻撃を想定した BCP(事業継続計画)の手引きでは、バックアップからの復元は復旧の段階に置かれています(4-3)。

連絡先も決められています。平成 30 年の厚労省の通知は、攻撃の疑いがあれば直ちに保守会社などに連絡するよう、医療機関への注意喚起を自治体に求めました。システムに障害が出て、個人情報の漏えいや医療の提供体制への支障が生じる、またはそのおそれがあると判断したら、厚労省へ連絡します。令和 4 年 11 月の厚労省の事務連絡も、事故が起きたときやそのおそれがあるときは、速やかに厚労省などに連絡するよう挙げています。企画管理編 12 章も、所管官庁(医療機関を受け持つ役所)への連絡を遵守事項にし、手順に厚労省と都道府県警察などへの報告を含めるよう求めています(12.3)。

医療情報が漏えいした場合は、個人情報保護法に基づく漏えい等の報告が要ることがあります(企画管理編 3.1.2)。報告が要る場合と期限は[漏えい等とは(個人情報保護法の報告義務)](/guides/incidents/what-is-data-breach)にまとめています。

## 記録を守る

企画管理編の表 11-1 は、サイバー攻撃のときに要る対応として、被害状況の把握、被害拡大の防止、原因の究明と並べて「証拠・証跡の保全」を挙げています。BCP の手引きは、アクセスの記録の分析や、情報が書き換えられたり暗号化されたりしていないかを見て、攻撃の範囲と個人情報の漏えいの有無を調べるとしています。自院で証拠を保全できなければ、事業者に頼みます(3-5)。

手引きは、この証拠保全を初動対応に置き、再設定や入れ直し、バックアップからの復元を後の復旧処理に置いています(4-3)。端末を初期化したりシステムを入れ直したりすると、その中の記録が消えることがあります。そうなると、攻撃者が作ったアカウントや悪用された ID を、後から突き止める手がかりがなくなります。厚労省の BCP 確認表は、証拠保全が不十分で被害範囲を特定できなかった例があったと書いています。

アカウントについて守る記録は、誰がいつ入って何をしたかを示すものです。システム運用編 17 章は、ログイン時刻・アクセス時間・操作した医療情報が分かる記録を残し、不当な削除や改ざんを防ぐことを遵守事項にしています。

システムの管理を事業者に任せていると、記録が事業者の側にあることがあります。ガイドラインは、記録の管理方法と提供を事業者と取り決めるよう求めています(システム運用編 17.1)。事故の日に誰に頼めば記録が出てくるかは、この取り決めで決まります。記録の残し方は[医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるか](/guides/healthcare-access/medical-audit-log-retention)にまとめています。

## 侵害された可能性のある ID とパスワードを無効にする

手引きは、初動の被害拡大防止(3-3)に、ネットワークの遮断と並べてバックドアの無効化などを挙げています。バックドアは、攻撃者が後で入り直すために残す裏口です。手引きが参照先に示すシステム運用編 18.1 は、復旧の際に侵入の継続と被害の拡大を防ぐ方策として、裏口を残さないことと並べて次の一文を置いています。

> 不正に作成されたり、侵害された可能性のある機器に保存されていた ID・パスワード等を無効化する

攻撃者が作ったアカウントと、乗っ取られた可能性のある機器に保存されていた ID・パスワードの両方を無効にする、と読めます。資料は、全員のパスワードを一斉に変えることを初動の手順には挙げていません。どの機器が侵害されたかは記録から調べます。記録の保全が初動に入るのは、このためでもあります。

無効にする範囲を決めるには、どの機器にどの ID とパスワードが保存されていたか、その ID を誰が知っているかが分かっている必要があります。企画管理編 13 章は、管理者の権限の種類とその ID、使ってよい人を一覧にし、必要に応じて認証に関する情報の変更などを指示することを遵守事項にしています(⑥)。ほかの ID も、定期的に棚卸し(何があるか一覧にすること)をして、不要なものを消すよう求めています(⑦)。これがないと、どこまで変えれば足りるかを事故の日に決められません。

同じ攻撃を繰り返させないための備えも示されています。令和 4 年 11 月の事務連絡は、病院がランサムウェア(データを使えなくして身代金を求めるウイルス)の被害を受けた事案を受けて出されました。その「リスク低減のための措置」は、アカウントについて次の 3 つを挙げています。

- パスワードを複雑なものに変え、使い回さない
- 不要なアカウントを削除し、権限を確かめる
- 多要素認証(2 つ以上の方法で本人を確かめること)を使う

これらは平時の備えですが、復旧でパスワードを変え直すときの目安にもなります。

1 つの ID を複数人で使っている場合は、作業が増えます。その ID のパスワードを変えると、使う人全員に新しいパスワードを伝え直すことになります。伝える手段が紙のメモやメッセージなら、変えたばかりのパスワードがまた紙や端末に残ります。システムの記録には ID しか残らないので、記録だけでは実際に操作した人を絞れません。

## 非常時用のアカウントは正常に戻った後に変える

システム運用編 11 章の遵守事項は、非常時用のアカウントと機能について 3 つを求めています。

- 使う手順を整える
- 通常時に不適切に使われないよう管理し、使われたら気づけるようにする
- 使われた場合は、正常に戻った後に使い続けられないように変える

11.2 は、正規の権限を持つ人が操作できないときなどに、このアカウントで医療情報を使えるようにする運用を想定しています。考え方は[緊急用アカウント(ブレークグラス)とは](/guides/privileged-access/what-is-break-glass-account)にまとめています。

サイバー攻撃で電子カルテが止まると、手引きが例に挙げる紙カルテの運用や、参照用のサーバーや端末を別に用意する運用に切り替えることがあります(3-4)。そのために臨時のアカウントを作って配ったなら、11 章が直接定めるものではありませんが、同じ考えで正常に戻った後に使えないように変えておきたいところです。

## 平時に用意しておくもの

事故の日にアカウントの作業で迷わないために、次の 4 つを平時に用意します。

1. ID の一覧。管理者用の ID は、権限の種類と使ってよい人を一覧にします(企画管理編 13 章 ⑥)。ほかの ID も定期的に棚卸しをします(⑦)。無効にする範囲を決める元になるからです。
2. 連絡体制図。保守会社などの事業者、厚労省、警察への連絡体制を整え、連絡先を院内に掲示するなど全職員が分かる形にします(手引き 1-2・2-1)。システムが止まると、パソコンの中の連絡先は見られないかもしれないからです。
3. 記録の置き場所と取り出し方。事業者に任せているシステムは、誰に頼めば記録が出るかを取り決めます(システム運用編 17.1)。
4. 非常時用のアカウントの手順と、正常に戻った後に変える手順(システム運用編 11 章)。


## よくある質問

**攻撃の疑いがあるとき、最初の連絡先はどこですか**

平成 30 年の厚労省の通知は、直ちに保守会社などに連絡するよう求めています。個人情報の漏えいや医療の提供体制への支障、またはそのおそれがあれば厚労省に連絡します。ガイドラインは警察への報告も挙げています。

**すぐに全員のパスワードを変えるべきですか**

資料は、全員のパスワードを一斉に変えることを初動には挙げていません。初動は裏口の無効化などと記録の保全です。侵害された可能性のある機器に保存されていた ID・パスワード等の無効化は、ガイドラインでは復旧の際の方策です。

**アクセスの記録はなぜ初動で守るのですか**

記録は攻撃の範囲と個人情報の漏えいの有無を調べる材料だからです。端末の初期化や入れ直しで消えることがあり、そうなると被害の範囲を特定できなくなります。厚労省は、証拠保全が不十分で範囲を特定できなかった例を挙げています。

**非常時用のアカウントは復旧後どうしますか**

システム運用編 11 章は、非常時用のアカウントが使われた場合、正常に戻った後は使い続けられないように変えることを遵守事項にしています。通常時に使われたら気づけるよう管理することも求めています。

## 参考資料

- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版」掲載ページ](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 企画管理編」](https://www.mhlw.go.jp/content/10808000/001716292.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 システム運用編」](https://www.mhlw.go.jp/content/10808000/001716295.pdf)
- [厚生労働省「サイバー攻撃を想定した事業継続計画(BCP)策定の確認表」(医療機関用、令和 6 年 6 月)](https://www.mhlw.go.jp/content/10808000/001261299.pdf)
- [厚生労働省「サイバー攻撃を想定した事業継続計画(BCP)策定の確認表のための手引き」(医療機関用、令和 6 年 6 月)](https://www.mhlw.go.jp/content/10808000/001261301.pdf)
- [厚生労働省「医療情報システム部門等における BCP のひな形」(令和 6 年 6 月)](https://www.mhlw.go.jp/content/10808000/001261302.pdf)
- [厚生労働省医政局関係課長連名通知「医療機関等におけるサイバーセキュリティ対策の強化について」(平成 30 年 10 月 29 日 医政総発 1029 第 1 号ほか)](https://www.mhlw.go.jp/content/10808000/001011697.pdf)
- [厚生労働省 事務連絡「医療機関等におけるサイバーセキュリティ対策の強化について(注意喚起)」(令和 4 年 11 月 10 日)](https://www.mhlw.go.jp/content/10808000/001024395.pdf)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 攻撃のあと共有の ID のパスワードを変えると、使う人全員に新しいパスワードを伝え直し、調べる側は誰がいつ使ったかを勤務表からたどることになります。Junify では導入時にパスワードを変えて Junify だけが持つので、変えた後も管理者が登録し直すだけで、スタッフへの連絡は要りません。誰が・いつ・どのアカウントを使ったかは一人ずつ残ります(ブラウザーで開く診療システムの場合)。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか](/guides/healthcare-access/clinic-saas-responsibility-split): 基本の形は、サービス側の仕組みと安全対策は事業者、誰に ID を出していつ止めるかは医療機関です。厚労省のガイドライン第 7.0 版は、この分かれ目を事業者と文書で取り決め、開示書(MDS/SDS)で確かめるよう求めています。
- [オンライン資格確認の端末で使うアカウントとパスワードの管理](/guides/healthcare-access/online-eligibility-verification-terminal): 資格確認端末には Windows のログイン、電子証明書、システムのアカウントがあり、顔認証付きカードリーダーにもアカウントがあります。システムのアカウントは職員一人ずつ作って退職時に止め、管理用の ID は持つ人と保管場所を決めます。
- [医療機関で職員が退職・異動したとき、どのアカウントを、いつ、誰が止めるか](/guides/healthcare-access/staff-departure-account-shutdown): 止めるのは、その人が使える医療情報システムの ID すべてで、院外のクラウドサービスも含みます。複数人で使う ID はパスワードを変えます。厚労省のガイドラインに日数の定めはないので期限は施設で決め、止めるのはシステムの担当者か事業者です。