基幹インフラに「医療」を追加　サイバー攻撃対策を強化へ

このニュースでは、2025年9月19日の社会保障審議会医療部会で議論された、経済安全保障推進法に基づく基幹インフラ制度への医療分野の追加について解説します。高度な医療を提供する医療機関や支払基金を対象に、サイバー攻撃への対応やセキュリティの強化に向けた方針と課題を整理します。

医療分野における基幹インフラ制度への追加議論

9月19日、社会保障審議会 医療部会にて、「基幹インフラ制度」への医療分野の追加について議論されました。
「基幹インフラ制度」とは、基幹的なインフラサービスが安定的に提供されることを確保するため、経済安全保障推進法により定められている制度です。
基幹インフラの重要設備が、役務の安定的な提供を妨害するための手段として利用されないようにするため、それらの重要設備の導入や維持管理の委託をする際には、事前に国の審査を受ける制度となっています。
2025年9月時点では、基幹インフラとして定められている分野は、電気、ガス、石油、鉄道などの15分野です。
この15分野に、新たに「医療分野」を追加する検討がこれまで進められてきました。
近年は、医療機関を標的としたサイバー攻撃の事例が報告されており、加えて、今後は医療DXの推進が見込まれるという状況もあり、サイバー攻撃を受けた場合に、医療の安定的な提供に大きな影響を及ぼすことが予測されています。
そのため、高度な医療を提供する医療機関については、地域での医療提供において重要な役割を果たしている医療機関として、基幹インフラ制度の対象とし、サイバー攻撃等への対応強化を図ることが方針として提示されました。

支払基金の特定社会基盤事業者への指定検討

同時に、支払基金が医療DXの推進主体となることを受け、基幹インフラ制度の対象となる「特定社会基盤事業者」にすることが検討されています。
支払基金が医療DXの推進主体となれば、電子カルテ情報共有サービスや、電子処方箋管理サービス、オンライン資格確認システム等の運用主体となるため、それらのサービスが停止した場合、安定的な医療の提供に支障が生じると考えられます。そのため、基幹インフラ制度の対象とすることで、セキュリティ強化を図る狙いです。

サイバー対処能力強化法の適用と医療機関の負担軽減への課題

医療分野が基幹インフラとして追加された場合、「サイバー対処能力強化法」の対象となります。
サイバー対処能力強化法は、「能動的サイバー防御」の取組のひとつとして2025年5月より公布されている新しい法律です。
この法律では、基幹インフラの事業者には、インシデント情報を国に報告することが義務付けられています。また、脆弱性に対して必要な措置を講ずることが求められます。
基幹インフラとして追加されることで、サイバーセキュリティ対策の強化が期待される一方で、医療機関は公定価格である診療報酬が収入の中心となっていることから、基幹インフラ制度の対応による負担の増加が考えられます。そうした留意点も踏まえながら、引き続き精査する方針としています。