クリニック・中小企業のセキュリティ対策完全ガイド
現場経験者が語る「休み明け」に起きるインシデントの真実
本記事の位置づけ
本記事は、複数のクリニック経営に携わり、自らセキュリティ対応を行ってきた実務経験者へのインタビューに基づく独自解釈を含む記事です。 具体的な事例はプライバシー保護のため一部改変しています。
コンテンツ制作
- 執筆: 五行セキュリティ編集チーム
- 情報提供: 医療機関セキュリティ対応経験者（匿名）
この記事の要点（定量データ）
「休み明け」に集中
インシデント発生のピーク時期
4段階対応フレームワーク
インシデント対応の標準プロセス
10〜30万円
脆弱性診断の費用目安（1回）
7章構成
現場経験者インタビューに基づく実践ガイド
【対話】なぜ「休み明け」にインシデントは起きるのか？
クリニック院長
ゴールデンウィーク明けに出勤したら、電子カルテが開かなくなっていたんです。年末年始後にも似たようなことが...これって偶然ですか？
セキュリティ専門家
いいえ、セキュリティインシデントは「休み明け」に集中して発生するという明確なパターンがあります。 主な理由は2つです。
クリニック院長
どういうことですか？
セキュリティ専門家
1つ目は、長期休暇中に「切ってはいけないもの」を切ってしまい、システムが初期化されるケース。 2つ目は、休暇中にウイルス対策の更新が間に合わず、マルウェアが侵入するケースです。
クリニック院長
うちにはIT部門がないので、誰がそういったことを防げばいいんでしょうか？
セキュリティ専門家
クリニックの場合、院長が責任を持ってセキュリティ対応を行うのが「普通」です。 ただし、一人で全てを抱え込む必要はありません。今日からできる具体的な対策をお伝えしますね。
セキュリティ対策について詳しく知りたい方は無料相談（30分）をご利用ください。
第1章：クリニック・中小企業のセキュリティの実態
「セキュリティ部門がない」という現実
大企業には情報システム部やセキュリティ専門チームが存在しますが、クリニックや中小企業の現実は異なります。
| 組織規模 | セキュリティ担当 | 実態 |
|---|---|---|
| 大企業 | 専門部署 | 24時間監視体制 |
| 中規模病院 | 情報部 | 実質は「PCのアップデート担当」程度 |
| クリニック | 院長本人 | 全責任を一人で負う |
| 中小企業 | 社長・役員 | 兼務で対応 |
ベンダー任せの危険性
「セキュリティはベンダーの責任でしょ」──この考え方は非常に危険です。 実際に問題が発生した際、ベンダー間で責任のたらい回しが起こり、解決までに何日もかかるケースが後を絶ちません。
事例:
電子カルテとレセプトシステム（ORCA）の連携が突然途絶えた。 電子カルテベンダーは「うちのシステムは動いている」、レセプトベンダーは「パスワードを変えただけ」。 結果：原因特定に数日、復旧費用は数十万円。
古いOSが現役で動いている恐怖
2018年時点で、まだWindows 2000やWindows MEが医療現場で稼働していた事例があります。 サポート終了したOSには脆弱性パッチが提供されず、「動いているから大丈夫」は、いつ事故が起きてもおかしくない状態です。
第2章：医療機関を狙う攻撃の実態
ソフトウェアの脆弱性が致命傷になる
クリニックで発生する問題は、ハードウェア（機器の故障）とソフトウェア（システムの脆弱性）に分類されます。 経験者によれば、ソフトウェアの問題の方が致命的です。
- 患者データへの直接アクセスを許してしまう
- 電子カルテが使えなくなると診療自体が止まる
- 個人情報漏洩は法的責任を問われる
巧妙化するフィッシング攻撃
医療機関を狙う攻撃で特に注意すべきなのが、高度なフィッシングメールです。
現場で確認された手口:
- 医師の個人メールアドレスを特定
- 送信者名をマスキング（知人を装う）
- 「ここにアクセスしてログインしてください」と誘導
- 認証トークンを窃取
この手法が巧妙なのは、医師本人の個人アドレスから情報を抜き取る点です。 組織のセキュリティ対策を迂回されてしまいます。
第3章：インシデント発生時の対応フレームワーク
4段階対応プロセス
セキュリティインシデントが発生した際の対応は、以下の4段階で進めます。
第1段階：診断・影響範囲の特定
何が起きているかを正確に把握
第2段階：重要度の再確認
業務文脈を含めて影響度を評価
第3段階：証拠の記録・対応の実施
説明責任を果たすための記録
第4段階：再発防止策の策定
同じ問題を繰り返さないための対策
重要度の判断基準
| 重要度 | 業務への影響 | 対応優先度 |
|---|---|---|
| 緊急 | 診療停止・患者対応不可 | 即時対応 |
| 高 | 一部機能停止・代替手段あり | 当日中対応 |
| 中 | 効率低下・業務継続可能 | 翌営業日対応 |
| 低 | 影響軽微 | 計画的対応 |
重要な観点:
医療機関の場合、電子カルテが使えなくなると紙カルテでの対応が必要になります。 経験豊富な医師は患者情報を記憶しているため対応可能ですが、後から電子カルテへの転記作業が発生し、業務負荷が大幅に増加します。
【対話】ベンダーへの効果的な依頼方法
中小企業経営者
問題が起きたときにベンダーに連絡しても、なかなか解決しないんですが...
セキュリティ専門家
ベンダーへの依頼で重要なのは、「丸投げ」ではなく「ピンポイント依頼」です。 自分で判断できる範囲を切り分けてから依頼することで、対応時間も費用も大幅に削減できます。
中小企業経営者
具体的にはどう伝えればいいんですか？
セキュリティ専門家
悪い例は「システムが動かないので見てください」。これだと調査に時間がかかり、費用も高額になります。
良い例は「電子カルテとORCAの連携が途絶えています。パスワード変更後に発生しました。連携部分の設定を確認してください」。
ピンポイントで対応可能になり、費用も抑えられます。
第4章：外部ベンダーへの効果的な依頼方法
同様事例の抽出がカギ
ベンダーに連絡する際、「同様事例を教えてください」と確認することが効果的です。 大手ベンダーのサポートセンターは、過去の事例データベースを持っています。同様事例があれば、解決までの時間を大幅に短縮できます。
主要な問い合わせ先
| ベンダー/機関 | 対応範囲 |
|---|---|
| NTT | ネットワーク機器、回線 |
| セコム | セキュリティシステム、電子カルテ |
| キャノンシステム | 各種業務システム |
| 国の下請け機関 | 無料相談可能なケースあり |
費用の目安
| サービス内容 | 費用目安 |
|---|---|
| 脆弱性診断（1回） | 10万〜30万円 |
| 保守外の緊急対応 | 15万円程度 |
| NTT保守契約（月額） | 約1万円 |
| リモート対応（TeamViewer等） | 状況により変動 |
注意:
保守契約を結んでいても、「保守外対応」として追加費用を請求されるケースがあります。契約内容を事前に確認しておくことが重要です。
第5章：今日から始める具体的対策
休み前チェックリスト
長期休暇前に必ず確認すべき項目です。
- □ウイルス対策ソフトの更新状況
定義ファイルが最新か、自動更新が有効か確認
- □バックアップの実施
重要データのバックアップ取得、メディアを物理的に分離
- □不要なシステムの停止
使用しない端末はシャットダウン（ただし「切ってはいけないもの」は稼働継続）
- □緊急連絡網の確認
ベンダーの緊急連絡先、休日対応可能な担当者を確認
日常的に実施すべき対策
- ルーターのパスワード変更──「admin」のままは絶対NG
- OSの更新──サポート終了OS（Windows 7以前）は早急に更新
- 従業員教育──不審なメールを開かない、個人と業務のメール分離、USBの無断使用禁止
「自分でできるようにする」姿勢
ベンダーに完全に依存するのではなく、基本的な対応は自分でできるようにする姿勢が重要です。
現場の声:
「自分で分かんないにそのベンダーとかそういう人を呼んでやったときに直すのが自分でできないんで、一緒にやって見てるんですよね。記憶して覚えておくんですよね、常に自分でできるように」
持ち帰り：チェックリスト・連絡先テンプレート
休み前チェックリストとベンダー連絡先テンプレートを無料でダウンロードできます。 インシデント対応記録テンプレートも含まれています。
第6章：電子カルテ・連携システムのトラブル対応
連携システムが途絶えた場合
電子カルテとレセプトシステム（ORCA等）の連携が途絶えると、以下の問題が発生します。
- 患者の本人確認ができない（特にマイナ保険証利用時）
- 保険請求ができない
- 業務工数が大幅に増加
応急対応の手順
- 1.電子カルテ単体で動作確認
動作する → 連携部分の問題 / 動作しない → カルテシステム自体の問題
- 2.連携設定の確認
パスワード変更がないか、IPアドレスの変更がないか確認
- 3.ベンダーへ連絡（上記情報を添えて）
緊急時の代替手段
- 紙カルテでの対応：医師は患者情報を記憶していることが多い
- サブPCへの切り替え：メインPCが使えない場合の代替機を用意
- TeamViewerでのリモート対応：ベンダーに画面共有で対応してもらう
第7章：説明責任を果たすために
「知っている」ことの重要性
医療機関は、患者の個人情報を大量に保有しています。情報漏洩が発生した場合、説明責任を果たす必要があります。
現場の声:
「知らないよりは知れるんだと知って学んでおいた方が、後々のリスクは説明責任ってあるじゃないですか。もし漏れた場合。今の場合は、同室のカルテンに全部アクセスできちゃいますから、それがどうやって説明責任があるのか、あるのかっていうところをちゃんと正しく理解していなければいけない」
記録すべきドキュメント
- セキュリティポリシー：組織としての基本方針
- インシデント対応手順書：発生時の対応フロー
- 対応記録：過去のインシデントと対応内容
- 教育記録：従業員への教育実施記録
まとめ：今日から実践できる3つのアクション
アクション1：休み前チェックリストの作成
本記事の「休み前チェックリスト」をカスタマイズし、自院・自社用のチェックリストを作成してください。
アクション2：ベンダー連絡先の整理
緊急時にすぐ連絡できるよう、ベンダーの連絡先を一覧化してください。システム名、ベンダー名、電話番号、担当者名を記録。
アクション3：脆弱性診断の実施検討
過去1年間でセキュリティ関連の問題が発生している場合、外部ベンダーによる脆弱性診断の実施を検討してください。費用は10万〜30万円程度が目安です。
よくある質問（FAQ）
Q: 脆弱性診断はどのくらいの頻度で実施すべきですか？
A: 理想的には年1回以上ですが、最低でも「問題が発生した際」には実施することをお勧めします。3週間に1回程度インシデントが発生する時期もあるため、問題の傾向を把握することが重要です。
Q: 古いPCを使い続けても大丈夫ですか？
A: サポート終了したOS（Windows 7以前など）を使用している場合は、早急にアップグレードまたは入替えを検討してください。「動いているから大丈夫」という考えは、いつ事故が起きてもおかしくない状態です。
Q: IT担当者がいない場合、誰がセキュリティを担当すべきですか？
A: クリニックの場合は院長、中小企業の場合は社長または役員が最終責任者となります。ただし、外部の専門家やベンダーと連携し、一人で抱え込まない体制を構築することが重要です。
Q: マイナ保険証対応でセキュリティリスクは増えますか？
A: オンラインでの本人確認が必須となるため、ネットワークセキュリティの重要性は高まっています。連携システムが停止すると本人確認ができなくなるリスクがあります。
次のステップ
セキュリティ対策の現状を無料で診断できます。IT担当者がいなくても、5分で完了します。
参照情報
本記事は以下の情報に基づいています:
- 医療機関セキュリティ対応経験者へのインタビュー（2026年1月実施）
- 厚生労働省 医療情報システムの安全管理に関するガイドライン
- IPA 情報処理推進機構 セキュリティセンター
関連ページ
最終更新: 2026年1月12日