病院・診療所の標的型メール訓練：安全管理ガイドラインの位置づけと進め方

医療業界の現状

病院や診療所は、患者さんの病名や検査結果など、特に配慮が必要な情報を多く扱います。さらに、電子カルテなどのシステムが止まると、診療そのものが止まってしまいます。

警察庁によると、令和8年上半期に報告されたランサムウェア（データを暗号化して身代金を求める不正プログラム）の被害123件のうち、「医療、福祉」は9件でした。同じ資料では、令和8年2月に医療機関がランサムウェア攻撃を受け、ナースコールシステムに障害が出たほか、約13万人の患者の個人情報が漏えいしたと発表した事例が紹介されています。

ガイドラインでの教育・訓練の位置づけ

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年に第7.0版が公表されました。教育・訓練については、次のように書かれています（要旨）。

編	記載
企画管理編（遵守事項）	個人情報の安全管理に関する職員への教育・訓練を、採用時と定期的に実施する。実施状況を定期的に経営層に報告する
企画管理編（解説）	教育・訓練は定期的に、就業時間内に行う。サイバー攻撃被害の事案も踏まえ、公表資料を参考に教育を行う
経営管理編（遵守事項）	情報セキュリティ対策に関する統制の対象者全員に、定期的な教育・訓練を行う。統制の対象には、システム関連事業者の担当者や派遣社員など、直接雇用していない人も含める
経営管理編（解説）	教育・訓練は、過度の負担にならない範囲で定期的に行う

ガイドラインは標的型メール訓練という方法を名指ししてはいませんが、全員を対象にした定期的な教育・訓練と、経営層への報告を求めています。

なぜ訓練が必要か

メールは入口の一つ

警察庁によると、ランサムウェアの侵入経路はVPN機器（外から院内ネットワークにつなぐ装置）が約5割を占め、メールの添付ファイルによる感染は少なくなっています。それでもメールへの備えが要るのは、次の理由からです。

• フィッシングメールでVPNやメールのIDとパスワードを盗まれると、院内ネットワークへの侵入や、取引先への不審なメール送信につながる（IPA）
• メールのフィルタリングをすり抜けた攻撃メールは、受け取った人の報告で見つけられる。IPAは、人が「第二の検知」になり得るとしている

装われやすい相手

厚生労働省は、新型コロナウイルスを題材に、厚生労働省や自治体を装った攻撃メールや、医師の研究結果をかたって添付ファイルを開かせようとするメールが出回ったとして注意を呼びかけました。医療機関では、次のような相手を装う文面を想定しておきます。

• 厚生労働省や自治体などの公的機関
• 学会・研究機関や、ほかの医療機関の医師
• 医療機器・電子カルテなどのシステム事業者
• 院内のシステム担当やメールサービス

訓練の進め方のポイント

対象者

• 交代勤務の職員：夜勤や休みの人がいるため、配信を1日に集中させず、1〜2週間の期間を取ります。報告の窓口も、夜間に誰が受けるかを決めておきます
• 医師・看護師・事務：職種ごとにメールの使い方が違います。結果は職種別に見られるようにします
• 委託先・派遣の職員：ガイドラインは統制の対象に含めるとしています。訓練メールを送る場合は、委託先との合意を先に取ります
• 個人のメールアドレスを持たない職員：訓練メールは届かないため、教育（動画や説明会）で補います

頻度と時期

採用時と定期的な実施が求められているため、「4月の採用時研修＋年1〜2回の訓練」のように、年間計画で決めておくと続けやすくなります。訓練後の教育は、就業時間内に受けられるようにします。回数の考え方は「訓練の頻度」で解説しています。

文面の作り方

想定する相手	件名の型	本文の要素
公的機関	「感染症対策に関する通知」	通知番号らしき記載、添付ファイルの確認を求める
学会・研究機関	「研究会開催のご案内」	演題や日程、申し込みリンク
システム事業者	「電子カルテ保守作業のお知らせ」	作業日時、手順書の添付
院内のシステム担当	「パスワード有効期限のお知らせ」	期限の日付、ログイン画面へのリンク

添付ファイルを開かせる型は、マルウェアの手口とあわせて教えると理解が深まります。「Emotetとは」も参考にしてください。

診療への影響を避ける

訓練メールで業務が止まらないよう、事前に院長や医療情報システム安全管理責任者の承認を取り、救急など緊急性の高い部署への配信時間に気をつけます。結果は職員の評価には使わず、経営層への報告と、次の教育の改善に使いましょう。サービスの比べ方は比較表を参考にしてください。

まとめ

• 厚生労働省のガイドライン第7.0版は、職員への教育・訓練を採用時と定期的に行い、経営層へ報告することを遵守事項として示しています
• ランサムウェアの主な入口はVPN機器ですが、メールで盗まれたIDやパスワードが侵入につながるため、報告を中心にした訓練が役立ちます
• 公的機関・研究機関・システム事業者を装う文面を用意し、交代勤務や委託先の職員も含めて計画しましょう
• 配信期間を長めに取り、就業時間内の教育と、診療に影響しない配信の工夫を組み合わせます