リモートメンテナンスの確認の仕方と、VPN装置が狙われる理由

リモートメンテナンスは、業者が院外から、院内の電子カルテなどを保守する仕組みです。その入口になるVPN装置が、ランサムウェアのいちばん多い侵入経路になっています。

チェックリストの2-②は、リモート保守を使っている機器があるかを業者に確認する項目です。確認するときは、機器の有無だけでなく、誰が装置を更新するのかまで聞いておくのがポイントです。

リモートメンテナンスとは

電子カルテやレセコン、検査機器などの業者は、トラブル対応や更新のたびに来院するのではなく、インターネット経由で院内の機器に入って作業することがあります。これがリモートメンテナンス（遠隔保守）です。

来院を待たずに直してもらえる便利な仕組みですが、そのぶん院内のネットワークに、外から入れる入口ができます。

入口になる機器がVPN装置です。VPNは、インターネットを通りながら、決まった相手とだけ暗号化した通り道を作る仕組みです。

ガイドライン第7.0版のシステム運用編は、リモートメンテナンスについて、攻撃者にとって「正規のルートを装って侵入できる絶好の裏口」になり、サイバー攻撃の起点になりうると書いています。

なぜVPN装置が狙われるのか

侵入経路の6割以上がVPN機器

警察庁の令和7年の統計では、ランサムウェアの被害を受けた組織のうち、侵入経路が分かった92件について、VPN機器からの侵入が66.3%でした。リモートデスクトップと合わせると87.0%になります。

警察庁は、近年の手口として、インターネットに露出した機器から遠隔で侵入するものが多く、メールの添付ファイルからの感染は少ないと説明しています。

狙われる理由は3つ

公表された病院の調査報告書や厚生労働省の注意喚起を読むと、狙われた理由はほぼ共通しています。

1. 弱点（脆弱性）が直されないまま放置されていた。メーカーが修正版を出していても、装置に当てられていなかった
2. パスワードが短い、推測しやすい、使い回されていた。漏れたIDとパスワードがそのまま使われた
3. どこからでもつなげる設定だった。接続元を制限しておらず、世界中から入口を試せた

情報処理推進機構（IPA）も2025年10月に、VPN機器などで深刻な脆弱性が相次ぎ、実際に悪用されているとして注意を呼びかけています。乗っ取られた機器が、ほかの組織への攻撃の踏み台にされるおそれもあるとしています。

問題は「誰の担当か」のすき間で起きる

VPN装置の弱点が放置される背景には、医療機関と業者のあいだの責任のすき間があります。

厚生労働省は2026年3月の周知依頼で、医療機関は業者に保守されていると考えている一方、業者は保守の対象ではないと考えていることが原因で、管理や設定が適切に行われず被害に遭う事例が多発している、と書いています。

2021年に被害を受けたつるぎ町立半田病院の調査報告書も、同じ構図を指摘しています。電子カルテの業者はVPN装置の設定を把握しておらず、VPN装置を担当した業者は弱点を知りながら自分の範囲外だと考えていました。

「業者がやってくれているはず」をなくし、装置ごとに担当を決めておく。これが2-②を確認する本当の目的です。

2-②の確認の仕方。業者に聞く5つのこと

厚生労働省が2026年3月に示した「VPN装置のセキュリティ対策に関する確認事項」をもとにすると、業者に聞くことは次の5つにまとまります。

1. リモート保守に使っている機器はどれか。院内にVPN装置やルータなどの入口がいくつあるか
2. VPN装置の更新（アップデート）は誰の責任か。保守契約に含まれているか、契約書のどこに書いてあるか
3. VPN装置はメーカーのサポートが続いている製品か。サポートが終わっていないか
4. 常時つながったままになっていないか。必要なときだけつなぐ形にできるか
5. 入口の守りはどうなっているか。多要素認証や接続元の制限があるか、管理画面がインターネットから見えていないか

依頼の文面は、次のような形で十分です。

いつもお世話になっております。厚生労働省のサイバーセキュリティ対策チェックリスト（2-②）の確認のため、貴社がリモート保守に使用している機器について、次の点を教えてください。

1. リモート保守に使用している機器（VPN装置・ルータ等）の設置場所・台数・製品名
2. 当該機器のファームウェア更新が、保守契約の範囲に含まれるかどうか
3. 当該機器がメーカーのサポート期間内の製品かどうか
4. 接続の方式（常時接続か、作業時のみの接続か）
5. 多要素認証・接続元の制限の有無

〔回答希望日〕までにご回答いただけますと幸いです。

回答が戻ったら、その内容を責任者に報告します。マニュアルでも、確認した結果を医療情報システム安全管理責任者などに報告するよう書かれています。

台帳に「外からの入口」も載せる

業者から聞いたVPN装置やルータは、機器の台帳（2-①）に必ず載せます。マニュアルでも、2-②は2-①で整理した情報をもとに確認する流れになっています。

厚生労働省が病院を現地調査したときには、台帳で把握されていない機器や外部との接続部があり、外部接続部は医療機関ごとに7〜47か所あったと整理されています。検査機器ごとに保守回線がある、といった形です。

診療所では数はずっと少ないはずですが、電子カルテ・レセコン・検査機器・画像システムなど、業者ごとに別々の入口があることは珍しくありません。全部を1枚の台帳にまとめておくと、入口を減らす相談もしやすくなります。

保守作業のルールも決めておく

入口を確認したら、保守作業そのもののルールも決めておきます。ガイドラインのシステム運用編には、次のことが書かれています。

• 保守の担当者には専用のアカウントを使ってもらい、誰が何をしたかを記録する
• 保守は原則として事前に申請してもらい、承認する。障害時などは事後の承認も想定されている
• リモート保守のときは必ずアクセスログを残し、作業が終わったら作業計画と照らし合わせて確認する
• 製品の出荷時の管理者ID（Administratorなど）は使わず、担当者ごとのIDで作業してもらう

小規模な医療機関向けの保守委託機関編では、外部との接続は必要なときだけに限ること、VPN装置を含むネットワーク機器の更新を業者の保守範囲に含めることを原則にするよう書かれています。

ガイドラインが挙げる、リモート保守の守り方

ガイドライン第7.0版のシステム運用編は、リモート保守のリスクに応じて選んで実施する対策を一覧にしています。専門用語を言い換えると、次のとおりです。

すべてを院内でやる必要はありません。どれを業者が実施しているかを、事業者確認用やMDS/SDSで確かめるのが現実的です。

記録（ログ）を残す約束もしておく

半田病院と大阪急性期・総合医療センターの事例では、VPN装置の記録が残っておらず、侵入経路を断定できませんでした。

小規模な医療機関向けの保守委託機関編は、侵入経路を特定するために、業者が持っているログを、どんな内容・条件・範囲で提供してもらえるかを事前に確認しておくよう求めています。保守契約を見直すときに、あわせて確認してください。

装置の更新が難しいときは

ガイドラインは、VPN装置の更新が難しいと見込まれる場合、クラウド型のVPNや、自動でアップデートされる製品を選ぶことが望ましいとしています。

また、ルータなどの管理画面やログイン画面がインターネットから見えていることが、侵害の原因になっているとして、露出させないよう求めています。装置を入れ替えるときは、業者にこの2点を確認してください。

厚生労働省が求める「最低限の措置」

2024年8月の周知依頼では、特に急いで対応すべき最低限の措置として、次の3つを挙げています。

• パスワードを強くして、使い回さない。VPN装置のIDとパスワードの漏えいは侵入に直結する。4桁など短い例もあった
• 外部との接続点を業者と一緒に確認し、アクセス制御とログの保存を確かめる。閉じたネットワークのつもりでも、把握していないVPN装置が置かれていることがある
• ネットワーク機器の弱点には、更新を速やかに当てる。被害を受けた医療機関では、更新が行われていない事例が多数あった

今日やること

1. 保守契約のある業者すべてに、上の5つを問い合わせる（事業者確認用・MDS/SDSの依頼と一緒に）
2. 回答をもとに、VPN装置やルータを機器の台帳に書き込む
3. 「誰が更新するか」が決まっていない装置があれば、業者と担当を決める

ここまでできれば、チェックリストの2-②は「はい」です。入口の数を減らす、常時接続をやめる、といった次の一歩は、業者と相談しながら進めてください。