８．１ 不正ソフトウェア対策
コンピュータウイルス、マルウェア、ワーム等様々な形態・呼称を持つ不正ソフトウェアは、電子
メール、ネットワーク、可搬媒体等を通して医療情報システム内に入る可能性がある。不正ソフトウ
ェアの侵入に際して適切な保護対策が行われていなければ、セキュリティ機構の破壊、システムダウ
ン、情報の漏洩や改ざん、情報の破壊、資源の不正使用等の重大な問題が引き起こされる。また不正
ソフトウェアの侵入は、何らかの問題が発生して初めて気付くことが多い。
対策としては不正ソフトウェアのスキャン用ソフトウェアの導入が効果的であると考えられ、この
ソフトウェアを医療情報システム内の端末、サーバ、ネットワーク機器等に常駐させることにより、
不正ソフトウェアの検出と除去が期待できる。
システム運用担当者は、企画管理者と協働して、このような不正ソフトウェア対策についての措置
を講じるほか、これに必要な規則等の策定を行うことが求められる。
ただし、これらの不正ソフトウェアは常に変化しているため、検出するためのパターンファイル等
を、医療機関等のシステムの環境等の状況を勘案して、可能な限り、常に最新のものに更新しておく
必要がある。システム運用担当者は、パターンファイルの更新に先立ち、医療情報システムへの影響
等に関する情報を収集することも求められる。
また、不正ソフトウェア対策のスキャン用ソフトウェアを導入し、適切に運用したとしても、全て
の不正ソフトウェアが検出できるわけではない。不正ソフトウェアの対策としては、スキャン用ソフ
トウェアを導入するだけでなく、医療情報システム側の脆弱性を可能な限り小さくしておくことが重
要である。そのために実施すべき対策として、セキュリティ・ホール（脆弱性）が報告されているソ
フトウェアへのパッチ適用、利用していないサービスや通信ポートの非活性化、マクロ等の利用停止、
メールやファイルの無害化がある。また、EDR（Endpoint Detection and Response）や「振る舞い検
知」などの方策も有効である。なお、いずれの対策を行う場合も、対策を実施した際の業務への影響
や、対策処理の速度や可用性、網羅性について、十分な検討が必要である。
また、医療機関等の外部で利用する端末や PC 等についても同様のリスクがあることから、これらの
情報機器等についても、上記の対応を行うことが求められる。
８．２ 情報機器等の脆弱性への対策
企画管理者は、医療情報システムが利用する情報機器等の脆弱性に関する情報を常に収集し、脆弱
性への対応を速やかに行う必要がある。
医療機関等において、医療情報システムが利用する情報機器等には、利用者が直接利用する PC 等の
端末のほか、医療情報システムで利用する機能等のサービスを提供するサーバや、ネットワークに関
連する機器等、様々なものが挙げられる。
サイバー攻撃においては、近年は、情報機器等に内蔵されるファームウェアや、情報機器等に格納
されるプログラム等の脆弱性、EOS（End of Sale, Support, Service：販売終了、サポート終了、サービ
ス終了）の対象となった情報機器等を攻撃して、外部から攻撃するなどが多くみられている。特にラ
ンサムウェアなどのケースでは、必要な脆弱性対策が見逃されたことに起因するものも見られる。

- 23 -