医療情報システムの遠隔保守(リモートメンテナンス)で、保守事業者のアクセスをどう管理するか

保守事業者が外から医療情報システムに入る遠隔保守(リモートメンテナンス)でも、管理の責任は医療機関に残ります。厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版が医療機関に求めることは、4 つに分けられます。つながる経路、保守要員のアカウント、作業の前後の確認、契約です。ガイドラインの全体像は医療・ヘルスケアのアカウント管理にまとめています。

遠隔保守で医療機関に残る責任

第 7.0 版の Q&A(令和 8 年 9 月)は、施設の外からつなぐ場合について「テレワーク・遠隔保守ともに、医療機関等の管理責任は残ります」と答えています(企画管理編の Q&A の Q8)。管理する対象には、つなぐ端末、利用者、本人の確かめ方、通信の経路、操作の記録、保守の時間帯を挙げています。そのうえで、事業者から報告を受けて監督するよう求めています。

遠隔保守がとくに問われるのは、正規の保守の経路が攻撃にも使えるからです。システム運用編 10.2 は、遠隔保守が攻撃者にとって「正規のルートを装って侵入できる絶好の裏口」になり得ると書いています。保守のための経路と ID を手に入れた攻撃者は、正規の保守と見分けにくい形で入れます。そのためシステム運用編 7 章の遵守事項(守るべき決まり)は、外からのログインを保守作業など必要な場合に限るよう求めています(⑫)。管理されたものだけが使えるよう制御することも同じ項目にあります。委託先の保守用の機器から侵入された公表事案は、委託先と共通のパスワードから侵入されてランサムウェアの被害が広がった事案にまとめています。

つながっている経路を一覧にする

厚生労働省は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年度版)を出しています。その 2-②は、遠隔保守を使っている機器の有無を事業者に確かめたかを問う項目です。このチェックリストは立入検査で確認されます。マニュアルは、遠隔保守に使う外部接続点(外から院内につながる口)を医療機関が把握しきれていないことを、攻撃が続く大きな要因の一つに挙げています。サーバー・端末・ネットワーク機器の台帳(2-①)をもとに、どの機器に、どの事業者が、どこからつなぐかを聞いて書き足します。

経路は少ないほど管理できます。企画管理編 3.2.2 は、外部接続点が多いこと自体が管理を難しくすると書いています。VPN 装置(外から院内のネットワークにつなぐための機器)の弱点も放置されやすくなります。そこで、新しいシステムに保守用の回線が要るときは、医療機関がまとめた回線を使える事業者を選ぶなどの対策を行うよう書いています。

VPN 装置そのものの確認事項は、厚生労働省医政局医療情報担当参事官室の事務連絡(令和 8 年 3 月 19 日)が 3 つの区分で示しています。

• 保守の契約で、事業者との責任の分かれ目を明確にしているか(後の「契約で決めておくこと」で扱います)
• VPN 装置がサポートの終わった製品になっていないか。終わっていれば買い替えなどを検討します
• 外からの接続の制限。不要な口や管理画面を外から触れる状態にしない、業務で要るとき以外は接続を切る、ID とパスワードだけに頼らず多要素認証(2 つ以上の方法で本人を確かめること)などを検討する、の 3 つです

保守要員のアカウント

システム運用編 10 章の遵守事項は、保守要員がサーバーに入るときは専用のアカウントを使わせるよう求めています(③)。個人情報に触れたかどうか、触れた個人情報、作業の内容も記録します。10.1 は、サーバーの OS(サーバーを動かす基本のソフト)などに出荷時から設定されている管理者 ID を使わないよう求めています。保守担当者ごとに ID を設けて、作業した人が分かるようにします。

ID と権限の付け方は、企画管理編 13 章にあります。Q&A(企画管理編)の Q25 は、保守要員の専用アカウントにも、管理者の権限は最小限の人にだけ付けるという 13 章⑤の決まりが当てはまるとしています。Q25 は、要員の離職や担当替えに合わせてすぐアカウントを消すか止められるよう、事業者に報告を義務づけることも求めています。ID の一覧と定期的な棚卸し(何があるか一覧にすること)は同じ章の⑥⑦にあり、保守要員の ID もこの一覧に入れます。

遠隔保守に固有の対策は、システム運用編の表 10-1 にリスクごとに並んでいます。表の中から選んで行う形です。認証とアクセスの管理の行には、次の 4 つが挙がっています。

• OS の二要素認証
• 管理者用の ID を厳しく管理すること(「管理者共通アカウントの禁止等」)
• つなげる端末や IP アドレス(ネットワーク上の住所)の限定
• 「セッション・タイム・アウト機能」(操作のない接続を一定時間で切る仕組み)

作業の前と後に確かめること

作業の前は申請と承認です。システム運用編 10.1 は、保守は原則として事前の申請と承認が必要だとしています。障害時や急ぎの弱点の修正では、事後の承認もあり得るとしています。Q25 は、作業の前に申請を、終わったらすぐ報告を出させるよう求めています。その書類は、医療情報システム安全管理責任者(院内で安全管理の責任を負う人)が承認する形です。

作業の後の確認は遵守事項です。システム運用編 10 章は、遠隔保守でシステムの改造や保守をしたときは、必ず「アクセスログ」(誰がいつ何をしたかの記録)を集めるよう求めています(⑤)。作業の終わりには作業計画書と照合して確かめ、すぐ企画管理者(安全管理の実務を担う担当者)に報告して確認を求めます。システム運用編の Q&A の Q19 は、保守のときに診療録を見たかどうかを、個人別のアカウントと記録で確かめるよう答えています。

同じ遵守事項には、ほかに 2 つあります。事業者がやむを得ずファイルを送るときは、送る側で無害化(ウイルスなどを取り除く処理)されているかを確かめること(⑥)。事業者が診療録を見るときは、医療機関の許可を受けること(⑦)です。記録を何年残すか、委託先とどう取り決めるかは医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるかにあります。

契約で決めておくこと

先の事務連絡は、医療機関と事業者の思い違いから被害に遭う例が「多発しています」と書いています。医療機関は保守されていると考え、事業者は保守の対象ではないと考えていたため、VPN 装置の管理や設定が行き届かなかった例です。企画管理編 15 章の遵守事項は、必要に応じて保守の管理項目を契約や SLA(サービスの水準の取り決め)で決めることを求めています(⑧)。契約で確かめる点の例は次の 4 つです。

1. VPN 装置などの更新を誰が受け持つか。事務連絡が、更新を含む保守契約かの再確認を求めています。
2. 保守要員の交代をいつ報告するか(Q25)。
3. 遠隔保守の記録を誰が持ち、どう渡すか(システム運用編 17.1)。
4. 攻撃を受けたとき、侵入の経路を調べる記録を出してもらえるか(保守委託機関編 8 章の解説)。

保守を全て委託しているときに事業者に確かめること

セキュリティ更新を含むサーバーの保守を事業者に全て委託できている医療機関は、概説編と保守委託機関編に対応すれば遵守とみなされます(概説編 3.1.5)。当てはまるかは契約書や約款で確かめます。保守委託機関編の遵守項目は、「接続サービス」(外からつなぐためのサービス)の安全をどこまで事業者が守るかを確かめるよう求めています(8 ③)。事業者の対策は、事業者が出す医療情報セキュリティ開示書(MDS/SDS)で確かめます。同編の別紙の確認事項には、保守用のアカウントを作業員専用にしているか、遠隔保守のときに記録を集めているか、作業の記録を出せるかが入っています。