介護・福祉施設のランサムウェア対策｜利用者情報保護と事業継続

2025年12月19日作成

コラム

介護・福祉施設は、高齢者や障害者など、社会的に支援を必要とする方々の生活を支えています。これらの施設が扱う利用者情報は、健康状態、障害の内容、家族関係など、極めてセンシティブな「要配慮個人情報」を含みます。ランサムウェア攻撃により利用者情報が漏洩すれば、利用者とその家族に深刻な影響を与えます。介護記録が暗号化されれば、適切なケアの提供にも支障が生じます。一方で、介護・福祉施設は人員・予算の制約が大きく、IT専任者を配置できる施設は限られています。本記事では、介護・福祉施設が実践すべきランサムウェア対策を解説します。3省2ガイドラインを踏まえた利用者情報の保護から、介護記録システムのバックアップ、医療機関との連携時の注意点、限られた予算での優先対策まで、施設のセキュリティ対策の実践的な情報を提供します。

介護・福祉施設は、利用者の尊厳を守りながら、日々のケアを提供しています。そのサービスの質は、利用者情報の適切な管理と活用に支えられています。本章では、介護・福祉施設が直面するランサムウェアの脅威と、その対策について包括的に解説します。

介護・福祉施設が狙われる理由と被害の影響

介護・福祉施設へのランサムウェア攻撃は、利用者情報の漏洩やサービス提供の停止という深刻な事態を招く可能性があります。なぜ介護・福祉施設が攻撃対象となるのか、その背景を理解することが重要です。

標的となる理由

介護・福祉施設がランサムウェア攻撃者にとって標的となりやすい理由は複数あります。

第一に、要配慮個人情報を保有しています。利用者の健康状態、障害の内容、病歴など、個人情報保護法で特に保護が求められる情報が集中しています。

第二に、セキュリティ対策の遅れがあります。介護・福祉施設の予算は、利用者へのサービス提供に優先的に配分されることが多く、ITセキュリティへの投資が十分でない場合があります。

第三に、IT専任者が不在であることが多いです。多くの介護・福祉施設では、IT専任者を配置できず、介護職員が兼務でIT管理を行っている状況です。

第四に、医療機関との連携があります。介護施設は医療機関と情報を共有することが多く、このネットワーク接続が攻撃の経路となる可能性があります。

被害の影響

利用者情報の漏洩: 健康状態、障害の内容、家族関係、経済状況など、極めてセンシティブな情報が漏洩すれば、利用者とその家族に深刻な影響を与える。個人情報漏洩の中でも特に深刻なケース
介護記録の喪失: 日々の介護記録、アセスメント情報、ケアプランなどが暗号化・喪失されれば、適切なケアの継続が困難になる
サービス提供の停止: 介護ソフト、利用者管理システムが停止すれば、介護報酬の請求、シフト管理、連絡業務などに支障が生じる
利用者・家族からの信頼失墜: 情報漏洩は、利用者と家族からの信頼を大きく損なう。介護サービスは信頼関係が基盤であり、その影響は深刻

利用者情報（要配慮個人情報）の保護

介護・福祉施設が扱う利用者情報の多くは、個人情報保護法上の「要配慮個人情報」に該当し、特に厳格な管理が求められます。

要配慮個人情報とは

要配慮個人情報とは、本人に対する不当な差別、偏見その他の不利益が生じないように、その取扱いに特に配慮を要する個人情報です。具体的には、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実、身体障害・知的障害・精神障害等の障害があること、健康診断その他の検査の結果などが該当します。

介護・福祉施設が扱う利用者情報の多くは、この要配慮個人情報に該当します。そのため、一般の個人情報以上に厳格な管理が必要です。

健康情報: 持病、服薬情報、健康状態、バイタルデータなど
障害情報: 身体障害、知的障害、精神障害の内容、障害者手帳の等級など
その他のセンシティブ情報: 家族関係、経済状況、生活保護受給の有無など

保護対策

アクセス制御: 利用者情報へのアクセスは、業務上必要な職員に限定する。担当利用者、担当業務に応じた権限設定を行い、不正アクセスを防止する
暗号化: 利用者情報を保存するデータベース、ファイルを暗号化する。特に、USBメモリ等への持ち出し時は必ず暗号化を行う
保管期間の管理: 介護記録の保管期間（介護保険法では2年間）を管理し、期間経過後は適切に廃棄する。不要な情報を持ち続けないことで、漏洩リスクを軽減する
職員教育: 要配慮個人情報の取り扱いについて、全職員への研修を実施する。フィッシング対策、ソーシャルエンジニアリングへの警戒も含める

介護記録システムの保護

介護記録システム（介護ソフト）は、日々のケア記録、アセスメント、ケアプランの作成・管理を行う重要なシステムです。

介護記録システムの種類

介護ソフト（オンプレミス型）: 施設内のサーバやPCにインストールして使用するタイプ。データは施設内に保管される
介護ソフト（クラウド型）: インターネット経由でサービスを利用するタイプ。データはクラウド上に保管される。近年はクラウド型が増加傾向
タブレット記録: タブレット端末を使用して、現場で直接記録を入力するシステム。クラウドサービスと連携していることが多い

保護対策

バックアップ体制: 介護記録データを定期的にバックアップし、オフラインで保管する。クラウド型の場合も、自社でバックアップを取得しておくことが望ましい。詳細はバックアップ戦略を参照
アクセス制御: 介護記録システムへのアクセス権限を適切に設定する。退職者のアカウント削除も速やかに行う
クラウドサービスの選定: クラウド型介護ソフトを選定する際は、セキュリティ認証の取得状況、データの保存場所、バックアップ体制、障害時の対応などを確認する

3省2ガイドラインへの対応

介護・福祉分野でも、医療情報を扱う場合は3省2ガイドライン（3省3ガイドライン）への対応が求められます。

介護・福祉分野への適用

3省2ガイドラインは、主に医療機関向けに策定されていますが、医療・介護の連携が進む中、介護・福祉施設にも関連する内容が含まれています。特に、医療機関と情報を共有する場合や、訪問看護など医療サービスを提供する場合は、ガイドラインへの対応を検討する必要があります。

対応すべき主要項目

カテゴリ	主要項目	対応のポイント
組織・体制	管理体制の整備	情報セキュリティの責任者を定め、管理体制を構築
技術的対策	アクセス制御	利用者情報へのアクセス権限を適切に管理
技術的対策	暗号化	重要データの暗号化、通信の暗号化
技術的対策	バックアップ	定期的なバックアップ、復旧テスト
技術的対策	マルウェア対策	ウイルス対策ソフトの導入と更新
物理的対策	機器の管理	PC、タブレットの持ち出し管理、施錠保管
人的対策	職員教育	情報セキュリティ研修の実施

医療機関との連携時の注意点

介護・福祉施設は、利用者の医療情報を共有するため、医療機関と連携することが多くあります。この連携においてもセキュリティの確保が重要です。

連携のリスク

情報共有に伴うリスク: 医療機関との情報共有の際に、適切なセキュリティ対策が取られていなければ、情報が漏洩するリスクがある
ネットワーク接続のリスク: 医療機関とネットワークで接続している場合、一方がランサムウェアに感染すると、他方にも影響が及ぶ可能性がある

安全な連携方法

セキュアな情報共有手段: FAX、平文メールではなく、暗号化されたファイル共有サービスやセキュアなメッセージングサービスを使用する
アクセス権限の管理: 医療機関との情報共有範囲を明確にし、必要最小限の情報のみを共有する。誰がどの情報にアクセスできるかを管理する
インシデント時の連携: 自施設または連携先でセキュリティインシデントが発生した場合の連絡体制を事前に取り決めておく

限られた予算での優先対策

介護・福祉施設は人員・予算の制約が大きいですが、その中でも効果的な対策を優先的に実施することが重要です。

優先対策

優先度	対策項目	コスト目安	効果
高	バックアップのオフライン化	数千円〜	被害時の復旧手段確保
高	OSおよびソフトウェアの更新	無料	既知の脆弱性からの保護
高	パスワード管理の強化	無料	パスワードスプレー対策
中	職員向けセキュリティ教育	無料〜数万円	フィッシング対策、意識向上
中	ウイルス対策ソフトの更新	年間数千円/台〜	マルウェアからの保護
低	EDR製品の導入	月額数千円/台〜	高度な攻撃の検知・対応

外部サービスの活用

介護向けセキュリティサービス: 介護・福祉分野向けに特化したセキュリティサービスを活用する。業界の特性を理解したサポートを受けられる
クラウドバックアップ: クラウドベースのバックアップサービスを活用し、データを安全に保管する。施設内のみにデータを置くよりもリスクを分散できる
サイバー保険: サイバー攻撃による損害を補填するサイバー保険への加入を検討する。万が一の際の経済的負担を軽減できる。詳細はサイバー保険の活用を参照

事業継続計画（BCP）

ランサムウェア被害からの復旧には時間を要することがあります。その間も利用者へのサービスを継続するためのBCPが重要です。

介護サービスの継続

介護サービスは、利用者の生活に直結しており、長期間の停止は許容されません。システムが停止した場合でも、ケアの提供を継続するための備えが必要です。

システム停止時の対応: 介護記録システムが使用できない場合の代替手段を準備する。紙ベースでの記録用紙、連絡先リストなどを用意しておく
紙での記録への切り替え: 電子記録が使用できない間、紙での記録を行い、復旧後に電子化する手順を定めておく
利用者・家族への連絡: インシデント発生時に利用者・家族へ連絡する手順を定めておく。サービスへの影響、対応状況などを伝える

詳細はIT-BCP策定ガイドも参照してください。

よくある質問（FAQ）

Q: 小規模施設でもランサムウェア対策は必要ですか？: A: はい、規模に関係なく対策は必要です。小規模施設であっても、利用者の要配慮個人情報を扱っており、ランサムウェア被害を受ければ事業継続に深刻な影響が生じます。また、情報漏洩が発生すれば、施設の規模に関係なく法的責任を問われます。予算に制約がある場合は、バックアップのオフライン化、パスワード管理の強化など、費用対効果の高い対策から着手することをお勧めします。
Q: 利用者情報が漏洩した場合の報告義務は？: A: 個人情報保護法に基づき、一定の要件を満たす場合には個人情報保護委員会への報告と本人への通知が義務付けられています。特に、要配慮個人情報が漏洩した場合は、この義務の対象となる可能性が高いです。また、行政（市区町村、都道府県）への報告が求められる場合もあります。漏洩が発覚した場合は、速やかに報告義務の有無を確認し、必要な対応を取ってください。詳細は法的責任と報告義務を参照してください。
Q: クラウドの介護ソフトは安全ですか？: A: クラウド型介護ソフトの安全性は、サービス事業者のセキュリティ対策に依存します。一般的に、実績のあるクラウドサービスは、施設が自前でサーバを運用するよりも高いセキュリティを提供している場合が多いです。ただし、サービス選定時には、セキュリティ認証の取得状況、データの暗号化、バックアップ体制、障害時の対応などを確認することが重要です。また、自施設側のアクセス管理（パスワード、多要素認証など）も適切に行う必要があります。
Q: IT担当者がいない場合どうすればよいですか？: A: 多くの介護・福祉施設ではIT専任者を配置できないのが実情です。その場合、外部のITサポートサービスを活用することを検討してください。また、クラウド型の介護ソフトを利用すれば、サーバ管理の負担を軽減できます。日常的な対策（OSの更新、不審メールの報告など）は、職員全体で分担することも可能です。重要なのは、インシデント発生時の連絡先（システムベンダー、警察、行政等）を明確にしておくことです。
Q: 医療機関との情報共有は危険ですか？: A: 適切な方法で行えば危険ではありません。医療・介護連携は利用者のケアに必要であり、情報共有自体を避けることはできません。重要なのは、共有する情報の範囲を必要最小限にすること、セキュアな手段で情報を共有すること、共有先のセキュリティ対策状況を確認することです。FAXや平文メールでの機密情報送信は避け、暗号化されたファイル共有サービスやセキュアな連携システムの利用を検討してください。

まとめ

介護・福祉施設へのランサムウェア攻撃は、利用者の要配慮個人情報の漏洩、介護記録の喪失という深刻な事態を招きます。利用者の尊厳を守り、信頼に応えるためにも、情報セキュリティ対策は不可欠です。

対策の第一歩は、自施設が保有する利用者情報の現状を把握することです。どのような情報を保有しているか、どこに保存されているか、アクセス権限は適切か、バックアップは取られているか——これらの基本的な確認から始めてください。

3省2ガイドラインを参考にしながら、予算・人員の制約の中でも優先度の高い対策から着実に実施することで、リスクを軽減することができます。外部サービスの活用も有効な選択肢です。

ランサムウェアの基礎知識に立ち返りながら、予防対策を計画的に進めていくことが重要です。

免責事項

【ご注意・免責事項】

本記事は一般的な情報提供を目的としており、個別の状況に対する専門的助言ではありません
3省2ガイドラインは最新版をご確認ください
実際に被害に遭われた場合は、以下の公的機関にご相談ください
- 警察相談専用ダイヤル：#9110
- 消費生活センター：188
- IPA情報セキュリティ安心相談窓口：03-5978-7509
法的な対応が必要な場合は、弁護士などの専門家にご相談ください
セキュリティ対策の導入は、専門家やベンダーと相談の上ご判断ください
記載内容は作成時点の情報であり、攻撃手口やガイドラインは更新される可能性があります