チェックリスト2-⑥は、パソコンやサーバ、ルータなどに最新の更新プログラムを当てているかを聞く項目です。
更新を当てる作業は、保守契約のある業者が行っていることがほとんどです。院内では「どの機器に、誰が、いつ当てているか」を業者に確かめれば、記入に必要な材料がそろいます。
サポートが切れたOSや、電子カルテの都合で更新を当てられない機器があっても、すぐに慌てる必要はありません。業者と相談して代わりの対策を決め、目標日を書いておけば進められます。
2-⑥で聞かれていること
令和8年度版チェックリストの2-⑥は、次の文です。
セキュリティパッチ（最新ファームウェアや更新プログラム）を適用している。
セキュリティパッチは、ソフトや機器に見つかった弱点（脆弱性＝攻撃に使われるおそれのある欠陥）をふさぐための修正プログラムです。
ファームウェアは、ルータやVPN装置などの機器の中に組み込まれているソフトのことです。パソコンのWindows Updateだけでなく、こうした機器の更新も2-⑥に含まれます。
マニュアルは2章の対象を、サーバ・端末・ネットワーク機器を含む「医療情報システム全般」としています。
なぜパッチが必要なのか
マニュアルは、ウイルス対策ソフトを入れて正しく使っていても、すべての不正なソフトを見つけられるわけではないとしています。
そのため、ウイルス対策ソフトの定義ファイル（パターンファイル）を新しくすることに加えて、弱点が報告されているソフトにパッチを当てることを、まず行う対策として挙げています。
ガイドライン第7.0版（システム運用編）も、近年の攻撃では機器のファームウェアやプログラムの弱点、サポートが終わった機器が攻撃の起点になる事案が多いと書いています。
業者側の確認用にもある項目
2-⑥は、医療機関が書く「医療機関・薬局確認用」と、業者に書いてもらう「事業者確認用」の両方に載っている項目です。
事業者確認用では、業者が「はい・いいえ・対象外」から選びます。
| 業者の回答 | 意味 |
|---|---|
| はい | 保守契約の範囲に入っていて、業者が対応できている |
| いいえ | 保守契約の範囲に入っているが、まだ対応できていない（目標日を書く） |
| 対象外 | 保守契約の範囲外。その機器の更新は医療機関の側が責任を持つ |
「対象外」が返ってきた機器は、院内で誰が更新を当てるかを決めておく必要があります。チェックリストの様式にも、責任の分かれ目に食い違いがないか業者から必ず確認するよう書かれています。
進め方は5つの手順
2-⑥は、機器を「更新を当てられるもの」と「当てられないもの」に分けて考えると、話が整理しやすくなります。
2-⑥は「当てる機器」と「当てられない機器」に分けて進める
- 1台帳で機器とOSを書き出すパソコン・サーバ・ルータ・VPN装置。OSの種類とバージョンも書く
- 2業者に更新の状況を聞く誰が、いつ、どの機器の更新を当てているか
- 3当てられる機器は計画どおり当てる影響の少ない機器から順に当てて、動きを確かめる
- 4当てられない機器は代わりの対策サポートが切れた機器などは、業者と相談してネットから離すなどの対策を決める
- 5結果を院長に報告して残す更新の状況と、サポート切れの機器の一覧を年1回は確認する
1. 台帳で機器とOSを書き出す
最初に、院内にどんな機器があるかを確かめます。2-①の機器台帳に、OSの種類とバージョンの列があれば、それがそのまま使えます。
ガイドライン（企画管理編）は、台帳に使っているソフトのバージョンなどを書くよう求めています。台帳の作り方は機器台帳の作り方で解説しています。
2. 業者に更新の状況を聞く
ガイドラインは、医療機関の責任者がシステムの担当者に対して、ソフトやファームウェアの更新の状況、弱点への対応状況を確かめるよう指示し、報告を受けることを求めています。
診療所では、この「担当者」は業者になることが多いはずです。下の依頼文を使って、機器ごとの状況を一覧でもらいます。
3. 当てられる機器は、影響の少ないところから
更新を当てると、電子カルテなど他のソフトの動きに影響が出ることがあります。マニュアルは、テスト用の環境で確かめてから当てることが重要だとしています。
テスト環境の用意が難しい場合は、影響の少ない機器から順に当てて、動きを確かめる方法が挙げられています。たとえば受付のパソコン1台で先に当てて、問題がなければほかのパソコンに広げる、という進め方です。
厚生労働省の研修資料（MIST）では、更新が出たら重要度と影響を業者と相談し、重要度に応じて更新の計画を立てるよう示されています。
4. 当てられない機器は、代わりの対策を決める
ガイドライン（システム運用編）は、事前に業者へ更新を当てられるかを確かめ、難しい場合はリスクへの対策を相談したうえで、代わりの対策をとるよう求めています。
企画管理編でも、サポートが終わった機器を使っている場合は、製造販売業者などと連携して、補う対策をとることとされています。
どの対策が合うかは、機器の使い方によって違います。業者と話すときは「この機器はネットにつながる必要があるか」「USBメモリをつなぐ必要があるか」から確かめると、話が具体的になります。
5. 結果を院長に報告して残す
ガイドラインは、経営層への報告に、更新の実施状況と、サポートが終わった機器やソフトの状況を含めるよう求めています。
業者からもらった一覧に、院長が確認した日を書いて保管しておけば、立入検査の前に見直すときも楽になります。
サポートが終わったOSがある場合
サポートが終わる（EOS＝End of Support）と、メーカーからセキュリティの更新が届かなくなります。弱点が見つかっても、ふさぐ手段がない状態になります。
マニュアルは補足として、古いOSを使っていて動作確認ができず、パッチが当てられていない場合があること、そうした機器が攻撃の対象になることがあるため、この項目を通じてシステムの状況を確認することが重要だとしています。
Windows 10 のサポートは終わっている
Microsoftの公式ページでは、Windows 10（HomeとPro）のサポートは2025年10月14日に終了したとされています。
法人向けには、有料の拡張セキュリティ更新（ESU）があり、サポート終了から最大3年間、セキュリティの更新を受けられると書かれています。ESUで届くのはセキュリティの更新で、新しい機能は含まれません。
院内にWindows 10のパソコンが残っていれば、ESUを使うのか、入れ替えるのかを業者と相談しておきます。
医療機器や組み込み用のWindowsは期限が違う
検査装置や医療機器につながるパソコンには、長く使う前提の「LTSC」という版のWindowsが入っていることがあります。
たとえばMicrosoftの公式ページでは、Windows 10 IoT Enterprise LTSC 2021の延長サポートは2032年1月までとされています。
同じ「Windows 10」でも、版によってサポートの期限が大きく違います。台帳にはOSの名前だけでなく、版まで書いておくと、期限を調べるときに迷いません。
医療機器がサポート終了を迎えたときは、医療機器の安全管理責任者と、医療情報システムの安全管理責任者が連携して管理するよう、ガイドラインに書かれています。
2-⑥を「はい」にできるか
マニュアルには、サポートが切れたOSが1台でもあれば必ず「いいえ」にする、という決まりは書かれていません。
ただ、更新が届かない機器が残っている以上、「最新の更新を適用している」とは言いにくい状態です。入れ替えの予定や代わりの対策が決まるまでは「いいえ」にして、令和8年度中の目標日を書いておくのが確実です。
目標日の書き方はチェックリストの書き方で解説しています。
ルータとVPN装置の更新も忘れずに
パソコンの更新は業者が自動で当てていても、ルータやVPN装置のファームウェアは見落とされやすい機器です。
警察庁の資料（令和7年の情勢）では、ランサムウェアの被害を受けた組織へのアンケートで、侵入経路はVPN機器が6割以上を占めたとされています。攻撃者は修正されていない弱点や、漏れた認証情報などを悪用すると書かれています。
徳島県のつるぎ町立半田病院の調査報告書では、VPN装置は導入当初からソフトの更新が行われておらず、公表されていた弱点が放置された状態で、そこを悪用して侵入した可能性が高いとされています。
ガイドラインのQ&Aは、外部とつながらない閉じたネットワーク（閉域網）であっても、VPN装置の弱点を使った攻撃が複数起きているとして、更新・ウイルス対策・監視を行うよう示しています。
ガイドラインは、自分たちで情報を集めたり更新を当てたりすることが難しい場合、クラウド型のVPNや、自動で更新される製品を選ぶことが望ましいともしています。
リモート保守に使う機器の確かめ方は、リモートメンテナンスとVPNの確認方法で解説しています。
業者に頼むこと
更新の状況は、契約している業者ごとに聞くのが早く確実です。電子カルテ・レセコン・ネット回線など、保守契約のある会社に次のように頼めば、そのまま使えます。
いつもお世話になっております。厚生労働省のサイバーセキュリティ対策チェックリスト2-⑥に対応するため、機器の更新の状況を整理しています。 貴社が納品・保守している当院のパソコン・サーバ・ルータ・VPN装置について、機器ごとのOSやファームウェアの名前とバージョン、最後に更新を当てた日、メーカーのサポート期限を一覧でいただけますでしょうか。 あわせて、更新を当てていない機器があればその理由と代わりの対策、今後の更新の進め方（誰が、どのくらいの頻度で当てるか）も教えてください。
届いた一覧で「更新を当てていない」「サポート期限が過ぎている」機器があれば、それが代わりの対策を相談する対象です。
研修資料では、運用管理規程にセキュリティパッチを当てる方針を書いておくことも勧められています。規程の書き方は運用管理規程の作り方にまとめています。
次にシステムを入れ替えるときは、更新を定期的に当てられる保守契約にしておくことも、マニュアルで重要とされています。
今日やること
- 台帳でOSの名前と版を確かめる。Windows 10のパソコンや、古いルータがないかを見る
- 電子カルテ・レセコン・回線の業者に、上の依頼文で更新の状況とサポート期限の一覧を頼む
- 更新を当てられない機器があれば、代わりの対策と入れ替えの予定を業者と決め、2-⑥の目標日を書く
