地域における共通基盤・集中管理体制によるサイバーセキュリティの実証のための研究

文献情報

• 文献番号: 202503012A
• 報告書区分: 総括
• 研究課題名: 地域における共通基盤・集中管理体制によるサイバーセキュリティの実証のための研究
• 研究課題名（英字）: -
• 課題番号: 25AC1004
• 研究年度: 令和7(2025)年度
• 研究代表者(所属機関): 黒田 知宏(国立大学法人京都大学 医学部附属病院)

研究分担者(所属機関)

• 武田　理宏(大阪大学大学院医学系研究科　情報統合医学講座　医療情報学)
• 谷川　琢海(北海道科学大学　保健医療学部)
• 橋本　智広(大津赤十字病院　事務部　医療情報課)
• 川眞田　実(大阪国際がんセンター　医療技術部　放射線診断部門)
• 肥田　泰幸(東都大学　幕張ヒューマンケア学部臨床工学科)
• 鳥飼　幸太(国立大学法人群馬大学　医学部附属病院)
• 油谷　曉(京都大学　医学部附属病院 医療情報企画部)
• 楠田　佳緒(京都大学　大学院医学研究科附属 医療DX教育研究センター)
• 芦原　貴司(滋賀医科大学循環器内科)
• 高倉　弘喜(国立情報学研究所　アーキテクチャ科学研究系)

• 研究区分: 厚生労働科学研究費補助金 行政政策研究分野 政策科学総合研究（臨床研究等ＩＣＴ基盤構築・人工知能実装研究）
• 研究開始年度: 令和7(2025)年度
• 研究終了予定年度: 令和8(2026)年度
• 研究費: 11,550,000円
• 研究者交替、所属機関変更: -

研究報告書（概要版）

研究目的

医療機関を取り巻くセキュリティ人材の不足は深刻化している。少ない人材で喫緊のセキュリティ対策を実施するためには、優秀なセキュリティ人材を集約した指導的な医療機関（集中管理機関）を設置し、関連医療機関のセキュリティ対策の支援を行わせることで、短期的な情報セキュリティ確保を図るとともに、医療と工学技術に伴に明るい臨床工学技士・診療放射線技師を主たる対象としたセキュリティ教育を実施させることで、長期的なセキュリティ人材の養成を図ることが適当である。
本研究では、2023年度厚労科研（201221069A）で示した指導的立場のセキュリティ人材（グループA人材）を有する医療機関（集中管理機関）同士が互いにセキュリティチェックを行う相互チェックの取り組みを通じてセキュリティチェックの手順書と監査項目を策定するとともに、これを複数のグループA人材を有さない医療機関（被指導機関）に適用してその実効性について検証する活動を実施する。この際、セキュリティチェックの効率性と有効性を向上するため、情報資産危険性自動評価技術の共通利用の枠組みを確立する。この枠組みは、集中管理機関が被評価機関の指導を行う際にも活用する。
加えて、グループC人材を有する被指導機関がランサムウェア攻撃等のサイバー攻撃を受けたことを想定したIT-BCP対応訓練を、被指導機関と集中管理機関が共同して実施することで、集中管理機関と被指導機関の役割を明確にした共同IT-BCP手順書を確立するとともに、グループC人材の実践的教育としての合同IT-BCP訓練の実効性について検証する活動を実施する。

研究方法

本研究は、1）集中管理機関同士の相互チェックに必要文書（セキュリティチェック手順書、セキュリティ監査項目一覧）の策定とチェックの実施（相互チェック）、2）集中管理機関と被指導機関との共同IT-BCP手順書の策定と合同IT-BCP訓練の実施（合同IT-BCP訓練）、の二つの研究からなる。
1）相互チェック研究は、（1A）監査項目リストの策定、（1B）相互チェック手順書の策定、（1C）相互チェックの実施、の三つの研究から構成される。本研究では初年度に（1A）を、二年度の前期までに（1B）を実施する。
2）合同IT-BCP訓練研究は、（2A）IT-BCP計画の策定、（2B）訓練シナリオの策定、（2C）訓練の実施、の三つの研究から構成される。本研究では初年度に（2A）を、二年度の前期までに（2B）を実施し、二年度後期に（2C）を実施する。

結果と考察

1）相互チェック研究においては、本年はまず（1A）監査項目リストの策定を実施するとともに、（1B）相互チェック手順書の策定準備に着手した。（1A）においては、八つの監査手法と、三つの観点から詳細に検討され、相互チェックのみならず、IT-BCP計画策定に適用出来る構成に纏められた。（1B）においては、先行する医療安全分野の相互チェック手順に関する調査に基づいて、毎年監査する基本項目と、最新の脅威や課題に応じた重点項目を組みあわせることが効果的であること、及び、相互チェック全体を企画・運営する事務局的組織が必要であることを見出した。
2）合同IT-BCP訓練研究においては、本年はまず（2A）IT-BCP計画の策定を行うとともに、（2B）訓練シナリオの策定の準備をすすめた。（2A）においては、公開されているIT-BCPや電子カルテシステム停止時マニュアル、及び、サイバー攻撃被害報告書を調査しGroup C人材がGroup A人材へ支援を要請すべき項目等を洗い出して、手順書に纏めた。（2B）においては、訓練対象医療機関を選定し、被災時に掌握が必要な自院のネットワーク医療機器一覧を調査する方法を確立し「共通基盤」のモデルを整えるとともに、訓練シナリオ案の策定を進めた。
本研究の遂行を通して、医療サイバーセキュリティは、高度な技術導入の問題ではなく、極めて泥臭い状況掌握の活動の積み重ねによって実施できるものであることが再確認されたとともに、たとえ「指導的な医療機関」であっても、泥臭く膨大な作業である状況掌握の活動は、必ずしも十分実施できておらず、これを支える「共通基盤」たる技術導入が極めて大きな役割を果たしうることが確認出来た。

結論

本研究では、サイバーセキュリティ人材が不足する中で、相互チェック・合同IT-BCP訓練を通じてセキュリティ向上と人材育成を同時に進める枠組みを作ろうとするものである。
本年度の研究では、その前提となる現状を知るための仕組みを「共通基盤」として設定し、その適用を通じて現状を把握するとともに、論理的に求められるチェックリスト・手順書・シナリオを作ることを並行して進めた。これらの活動によって、二年度に実施する、相互チェックと合同IT-BCP訓練の準備が整ったと考えられる。

公開日・更新日

• 公開日: 2026-07-17
• 更新日: -

収支報告書

• 文献番号: 202503012Z