第1章 なぜ今、病院が狙われるのか
執筆者／監修
菅沼 大樹 SUGANUMA Daiki
株式会社ウェブリク 代表取締役
情報処理安全確保支援士（国家資格 第024888号）
医業経営コンサルタント（登録番号8645号）
国立大学法人 電気通信大学卒。
大手 SIer でのシステム開発とシンガポールの広告代理店でのマーケティングを経て、2016年に株式会社ウェブリクを設立。病院専門のホームページ制作と採用支援に取り組む。
「うちのような病院が、本当に狙われるのか」。
多くの病院で最初に出る疑問です。
この章では、警察庁と厚生労働省の公表数値で「狙われている」ことを確かめ、対策が病院の管理者の義務になり、立入検査でチェックリストを見られるようになった経緯を年表で見ます。
数字で見る 4 点
警察庁が毎年公表する統計と、厚生労働省が全国の病院に行った調査から、4 つの数字を取り出しました。
いずれも「報告された件数」と「回答した病院の割合」で、報告されていない被害は含みません。
出典: 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編 P120（2026-09-24 取得）
出典: 同 統計編 P124（感染経路が分かった 92 件。
2026-09-24 取得）
出典: 同 統計編 P125（期間が分かった 107 件。
2026-09-24 取得）
サイバー攻撃を想定した BCP（3-③）
オフラインバックアップ（3-②）
サイバー攻撃を想定した BCP と、オフラインバックアップの「している」の割合の推移。
出典: 厚生労働省 医政局 医療情報担当参事官室『「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について』（令和7年度調査。未定稿）。取得日 2026-09-24
警察庁の 3 つの図から分かることは、報告が高止まりしていることと、入口は「外から院内につながる機器」だということです。
復旧にかかる期間は、病院ならそのまま診療が止まる長さになります。
4 点目は病院の側の数字で、厚生労働省の令和 7 年度の病院調査（厚生労働省PDF）によります。
サイバー攻撃を想定した BCP の策定と、オフラインバックアップの 2 つが大きく増えました。
どちらも、チェックリストに入り、立入検査で確認されるようになった項目です。
国が「見る」と決めた項目は、2 年で大きく進みます。
裏を返せば、まだ見られていない項目は、進んでいないということでもあります。
病院を取り巻く 3 つの変化
数字の背景には、この数年で起きた 3 つの変化があります。
変化 1 攻撃が速く、安くなった
2026 年 5 月 18 日、内閣官房国家サイバー統括室と警察庁、厚生労働省など 9 つの省庁が連名で、重要インフラの事業者に注意喚起（厚生労働省PDF）を出しました。
医療分野も宛先に含まれます。
要点は、AI の性能が上がり、システムの弱点（脆弱性）が見つかってから悪用されるまでの時間が「極めて短くなる」というものです。
求めているのは図の 3 つです。
基本の対策とは資産管理、アカウント管理、バックアップのことで、難しい技術ではなく、第 3 章のチェックリストと同じ中身です。
独立行政法人情報処理推進機構（IPA）が毎年まとめる情報セキュリティ白書2026（IPAサイト）も、この取りまとめ（Project YATA-Shield）を紹介しています。
背景にあるのは、AI が悪用されて「攻撃のスピード・規模が劇的に増加する」状況だと書いています（p.84）。
AI がプログラミングなどの技能を補うので、技術力の高くない人でも攻撃できるようになった、という指摘も引いています（p.82）。
もう 1 つ、厚生労働省は 2026 年 3 月 19 日の事務連絡（厚生労働省PDF）で、VPN 装置などネットワーク機器の弱点を突いた不正アクセスが、ランサムウェア感染の主要な原因だと明記しました。
図 1-2 の警察庁の数字と同じことを、国が病院に向けて言っています。
変化 2 対策は管理者の「義務」になった
令和 5 年 4 月 1 日、医療法施行規則の改正（厚生労働省PDF）が施行され、第 14 条に次の項が加わりました。
病院、診療所又は助産所の管理者は、医療の提供に著しい支障を及ぼすおそれがないように、サイバーセキュリティを確保するために必要な措置を講じなければならない。
主語は「管理者」、つまり院長で、努力目標ではなく義務です。
「必要な措置」の中身は、通知の中で「厚生労働省が別途チェックリストを作成して示す」とされました。
これが、第 3 章で扱う「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」の根拠です。
厚生労働省のガイドライン第 7.0 版 経営管理編（厚生労働省PDF）は、経営層に向けて次のように書いています。
- 対策を「コスト」と捉えず、質の高い医療の提供に不可欠な「投資」と捉え、予算と人材を確保すること
- 事故が起きれば、行政処分や民事上の賠償責任のリスクがあり、復旧に多大な費用がかかること
- ベンダーの過失によるインシデントでも、医療機関の責任は免れないこと
「ベンダーに任せてあるから大丈夫」は、国の資料の上では通らないということです。
変化 3 立入検査で確認される
義務の年表
3 つの変化を、時間の順に並べます。
義務化から 3 年で、国の資料は「何をすべきか」から「いつまでに、何を見せるか」へ具体的になってきました。
直近の節目は 2026 年 6 月で、ガイドラインが第 7.0 版に、チェックリストが令和8年度版（19 項目）に改まりました。
何が変わったかは第 3 章で見ます。
年表の右端の 2 つは、これから来る期限です。
「今すぐ全部」ではなく、「いつまでに何を」が示された形です。
医療安全の義務と並んだ
第 14 条第 2 項には、もう 1 つの読み方があります。
サイバーセキュリティの確保は、医療法施行規則が先に定めていた医療安全管理体制と並ぶ、管理者の義務です。
2 つの義務を、同じ観点で並べます。
| 観点 | 医療安全管理体制 | サイバーセキュリティの確保 |
|---|---|---|
| 医療法の根拠 | 第 6 条の 12 | 第 17 条（構造設備や物品の管理） |
| 医療法施行規則 | 第 1 条の 11 | 第 14 条第 2 項 |
| 義務になった時期 | 2007 年 | 令和 5 年（2023 年）4 月 1 日 |
| 中身 | 指針、委員会、研修、改善方策（2026 年 4 月からは医療安全管理者と記録も） | 厚生労働省のチェックリスト（19 項目） |
| 立入検査要綱の項 | 2-10「医療の安全管理のための体制の確保」 | 2-19「サイバーセキュリティの確保」 |
| 検査職員が見るもの | 医療安全管理委員会の議事録 | チェックリストと連絡体制図 |
法の系統は違いますが、令和 8 年度の立入検査要綱（厚生労働省PDF）は、同じ「2 管理」の項に 2 つを並べています。
検査職員は、表のいちばん下の行の書類を同じ日に見ます。
条文が「医療の提供に著しい支障を及ぼすおそれがないように」と書いているとおり、目的は医療を止めないことです。
ガイドライン第 7.0 版の経営管理編も、「情報セキュリティインシデントが起きた場合、医療の提供が停止し、患者の生命・身体に影響を与える可能性がある」と書いています。
サイバーセキュリティは情報システムの話ではなく、医療安全の話です。医療安全管理体制の側は、病院の医療事故講座の第 1 章で解説しています。
IPA が選ぶ 10 大脅威。ランサムは 11 年連続 1 位
IPA は毎年 1 月に、その前の年に社会的な影響が大きかった脅威を「情報セキュリティ 10 大脅威」として選んでいます。
2026 年 1 月に公表された 10 大脅威 2026（IPAサイト）の組織向けの上位 5 つは次のとおりです。
病院に限った順位ではありませんが、この講座の章とそのまま重なります。
- 1ランサム攻撃による被害11 年連続 11 回目。
この講座の主題です。第 2 章で事例を見る - 2サプライチェーンや委託先を狙った攻撃8 年連続 8 回目。
病院ではベンダーと保守回線がこれにあたります。第 4 章で扱う - 3AI の利用をめぐるサイバーリスク2026 年に初めて選ばれました。
変化 1 の注意喚起と同じ流れです。この章の変化 1 - 4システムの脆弱性を悪用した攻撃6 年連続 9 回目。
VPN 装置の弱点を突く入口がこれです。第 3 章の 2-⑥ - 5機密情報を狙った標的型攻撃11 年連続 11 回目。
メールの添付や偽のサイトから入ります。第 2 章の人を狙う手口
上位 5 つのうち 4 つは、第 3 章のチェックリストで対策が求められている項目です。
大きな病院だけの話ではない
警察庁の令和 7 年の統計（警察庁サイト）を組織の大きさで分けると、図のとおり、報告の過半は中小企業です。
攻撃は組織の大きさを選びません。
むしろ、専任の担当者がいない組織ほど、古い VPN 装置や更新されていない端末が残りやすく、入口になります。
費用と業務への影響も小さくありません。
費用は図のとおりで、業務への影響が分かった 117 件では、9 割で全部または一部の業務が止まりました。
病院なら、外来の受付、会計、処方、検査の結果が紙に戻る期間です。
第 2 章では、公表された病院の 4 つの事例で、実際に何日止まり、どこから入られたかを見ます。
国は医療を「重要インフラ」に加えた
もう 1 つ、知っておきたい動きがあります。
経済安全保障推進法に基づく基幹インフラ制度は、電気、ガス、水道、鉄道、金融など 15 分野の事業者を国が指定し、重要な設備の導入を事前に届け出させる仕組みです。
ここに医療が加わるまでを、時間の順に並べます。
- 2025 年 9 月厚生労働省が、医療分野を追加する検討を社会保障審議会医療部会（厚生労働省PDF）で示す
- 2026 年 6 月 17 日医療分野を加える改正法の公布（内閣府PDF）。
分野は 16 に - これから施行。
公布から 1 年 6 か月以内に政令で定める日
どの病院が対象になるかは、これから政令などで定められます。
医療部会の資料で念頭にあったのは「地域における最後の砦」である特定機能病院で、施行から段階的に指定する案でした。
一般の病院に、この制度による義務は生じません。ただ、国が医療を電気や水道と同じ「止まっては困るインフラ」として法律に書いたことは、立入検査の厳しさの方向を示しています。
IPA の白書も、国の重要インフラの 16 分野に医療が入っていることと、この改正法の公布を記しています（p.66、p.98、p.108）。
自院で確かめること
この章で引いた資料
- 令和7年におけるサイバー空間をめぐる脅威の情勢等について、2026 年 3 月、統計データ（警察庁サイト）
- 「病院における医療情報システムのサイバーセキュリティ対策に係る調査」の結果について、令和 7 年度、未定稿（厚生労働省PDF）
- AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について（重要インフラ事業者等に対する注意喚起）、2026 年 5 月 18 日（厚生労働省PDF）
- VPN 装置等のネットワーク機器におけるセキュリティ対策の徹底について（事務連絡）、令和 8 年 3 月 19 日（厚生労働省PDF）
- 医療法施行規則の一部を改正する省令について、令和 5 年 3 月 10 日（厚生労働省PDF）
- 医療情報システムの安全管理に関するガイドライン 第7.0版 経営管理編、令和 8 年 6 月（厚生労働省PDF）
- 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル、令和 8 年 6 月（厚生労働省PDF）
- 基幹インフラ制度への医療分野の追加について、社会保障審議会医療部会 令和 7 年 9 月 19 日（厚生労働省PDF）
- 経済安全保障推進法における特定社会基盤役務の安定的な提供の確保に関する制度（説明会資料）、2026 年 7 月 7 日（内閣府PDF）
- 情報セキュリティ白書2026、2026 年 9 月（IPAサイト）
- 情報セキュリティ 10 大脅威 2026、2026 年 1 月 29 日（IPAサイト）
警察庁の数字は報告された件数で、報告されていない被害は含みません。
病院調査の数値は令和 7 年度調査の未定稿の資料によります。
白書と 10 大脅威は企業と組織の全般を扱った資料で、病院に限った内容ではありません。
国の資料に沿って解説していますが、国が監修したものではありません。
公表された調査報告書などの公開情報をもとに執筆しています。記載の経緯や数値は掲載時点のものです。 内容の誤りは訂正受付窓口からお知らせください。