サイバーセキュリティ対策チェックリスト 2025（令和7）年度版を策定

このニュースでは、医療等情報利活用ワーキンググループで議論された電子カルテ情報共有サービスと2025年度版サイバーセキュリティ対策チェックリストの最新動向を取り上げます。医療機関関係者を対象に、本格運用に向けた技術作業班の設置やセキュリティ基準の改定ポイントを整理します。

電子カルテ情報共有サービスの本格運用へ技術作業班を設置

3月13日に開催された医療等情報利活用ワーキンググループにて、電子カルテ情報共有サービスと2025年度版のサイバーセキュリティ対策チェックリストが議題となりました。

電子カルテ情報共有サービスは、2023年に決定された「医療DXの推進に関する工程表」に基づいて構築が進められています。
2025年2月から、愛知県でのモデル事業を開始しており、他の地域でも順次開始される予定となっています。
今回のワーキンググループでは、電子カルテ情報共有サービスの本格運用を目指す上での詳細な検討を行うために、技術作業班を設置することが提案されました。技術作業班では、モデル事業によって生じた課題に対する解決策や、運用ルールなどを検討していく方針です。

サイバーセキュリティ対策チェックリスト2025年度版の改定方針

続いて、サイバーセキュリティ対策チェックリストの2025年度版策定について議論されています。
2023年より、医療法に基づく立入検査にて、サイバーセキュリティ対策の項目が位置付けられており、「医療機関におけるサイバーセキュリティ対策チェックリスト」として、これまでに2023年度版と2024年度版が公表されていました。
今回のワーキンググループでは、医療機関を標的としたサイバー攻撃事案の増加を受けて、セキュリティ対策の強化を目的に、チェックリストの内容を一部改定するとして、修正案が示されました。

パスワード管理強化や二要素認証など具体的対策を追加検討

追加項目として、
・パスワードの桁数の規定や使い回しの禁止
・USBストレージ等の外部接続機器に対しての接続制限
・二要素認証の実装
などが案として検討されています。
例えばパスワードについては、過去のサイバー攻撃事例から、推測可能な文字数の少ないパスワードが使われていたり、VPN装置をはじめとした医療機関内のシステム、ネットワーク機器、サーバ等のパスワードを共通で使い回ししていたり、といったパスワード管理が被害拡大の一因となっていることが指摘されています。
こうした過去の事例からの教訓をチェックリストに反映していくと見られます。
2025年度版のチェックリストは、委員から上がった意見を踏まえて、改定案を詰めていくこととなっています。