BDOが医療業界の個人情報保護とAIリスクを警告！FBI報告でランサムウェア攻撃の最多標的に、患者情報漏洩の影響と医療機関が取るべき対策

BDOは、医療業界における個人情報保護、サイバーセキュリティ、AI利用に伴うデータ管理の重要性を解説しました。FBIの「2025 Internet Crime Report」によると、医療分野はランサムウェア攻撃で最も標的とされた業種であり、データ侵害でも3番目に多く標的となっています。医療機関やその委託先では、患者の診療情報や支払い情報の漏洩だけでなく、診療の遅延や医療機器の利用停止による患者の安全への影響も懸念されています。BDOは、アクセス権限の管理、委託先の継続的な監督、AIによる個人情報利用の透明性確保などを重要な対策として挙げています。

BDOが医療業界の個人情報保護とサイバーリスクを解説

BDOが公開した「Privacy and Data Governance in Healthcare: What the Industry Needs To Know」では、医療機関が直面する個人情報保護とデータガバナンスの課題が取り上げられています。

医療機関が保有する個人健康情報（PHI：Personal Health Information）には、既往症、治療計画、支払い情報、個人を識別できる情報などが含まれます。これらは適切な医療サービスの提供に必要である一方、サイバー攻撃者にとって価値の高い情報でもあります。

特に重要なのは、医療情報の漏洩が患者のプライバシーだけでなく、医療サービスの継続性や安全性にも影響する可能性があるという点です。

BDOは、従来のセキュリティ対策に加え、AI利用の拡大、外部委託先の管理、医療情報を共有するシステムのアクセス制御など、複数の領域を横断した対応が必要だと説明しています。

FBI報告で医療分野はランサムウェア攻撃の最多標的に

BDOが引用したFBIの「2025 Internet Crime Report」によると、医療分野はランサムウェア攻撃の標的となった業種の中で最多となり、データ侵害の標的としても3番目に位置しています。

ランサムウェア攻撃では、情報システムが利用できなくなることで医療機関の業務が停止し、患者情報へのアクセスや医療サービスの提供に支障が生じる可能性があります。

また、個人健康情報が侵害された場合、医療機関だけでなく患者にも経済的な被害が及ぶおそれがあります。

BDOは、診療に必要な情報へのアクセスが遅れたり、機器が使用できなくなったりすることで、患者の安全性に関わる問題が発生する可能性を指摘しています。

なお、今回の取得情報は医療業界全体のリスクを解説したものであり、特定の医療機関への新たな攻撃や個別の情報漏洩事件を発表したものではありません。

医療機関が注意すべき主なセキュリティリスク

BDOが取り上げた医療分野のリスクを、影響と必要な管理対策に分けて整理すると次のようになります。

リスク	想定される影響	重要な対策
ランサムウェア攻撃	情報システムの停止、診療情報へのアクセス遅延、医療サービスへの影響	ネットワーク分割、早期検知、迅速な隔離、対応訓練
患者情報の漏洩	既往症、治療計画、支払い情報などの流出	アクセス権限の管理、監視、個人情報保護体制の強化
外部委託先の管理不足	委託先を経由した個人情報保護上の問題	契約前の確認と継続的なリスク評価
AIによる個人情報利用	利用目的や判断過程が不透明になるリスク	利用データの把握、目的の確認、透明性と説明可能性の確保
医療情報共有システム	複数の医療機関やシステム間でアクセス管理が複雑化	リアルタイム監視、アクセス状況の可視化
組織内部の不適切なアクセス	職員などによる意図的または偶発的な不正アクセス	継続的な教育、アクセス権限の適正化

これらのリスクは個別に発生するだけでなく、複数の問題が重なる可能性もあります。そのため、技術的な対策と組織的な管理を組み合わせることが重要です。

規制当局は文書だけでなく実際の対応能力を重視

BDOによると、医療分野の規制当局や執行機関は、セキュリティポリシーやインシデント対応計画を文書として整備するだけでなく、実際に対応できる体制が構築されているかを重視する方向にあります。

具体的には、机上演習、ネットワーク分割、アクセス権限の適切な管理、攻撃の迅速な検知と隔離などが挙げられています。

不正アクセスの早期発見が重要な理由

BDOは、サイバー攻撃者がシステムへ不正侵入した後、数週間から数か月にわたって内部に潜伏する場合があると指摘しています。

侵入直後に目立った障害が発生しない場合でも、攻撃者がシステム内部に存在している可能性があるため、障害の有無だけを判断材料にすることは適切ではありません。

医療機関では、通常と異なるアクセスや権限利用を検知できる仕組みと、異常が発見された際に影響範囲を限定するための隔離能力が求められます。

また、インシデント対応計画が実際に機能するかを確認するため、机上演習などを通じて対応手順を検証することも重要です。

外部委託先からの情報漏洩リスクにも注意

BDOは、医療機関が業務を外部へ委託しても、その業務に関連するリスクまで委託先に移転できるわけではないと説明しています。

患者情報を扱う外部事業者でプライバシー上の問題が発生した場合、委託元の医療機関にも責任や対応上の問題が及ぶ可能性があります。

そのため、委託先の選定時には、適用されるプライバシー規制への対応状況や適切なデータ保護対策の実施状況を確認する必要があります。

さらに、委託先のリスク評価は契約時の一度だけで終わらせず、継続的に実施することが重要です。

医療機関の担当者は、委託先が取り扱う個人情報の範囲、アクセス権限、セキュリティ対策の運用状況を確認し、契約後も管理状況を見直すことが望まれます。

医療AIの普及で個人情報保護の新たな課題

医療業界では、患者へのサービス向上や業務効率化を目的としてAIの活用が進んでいます。

一方、AIツールが機能するためにはデータが必要であり、医療機関では患者の個人情報がその対象となる場合があります。

BDOは、AIの利用に際して、データの透明性と説明可能性を確保する必要があると説明しています。

AIにどの情報を利用させているか把握する

医療機関は、AIがどのデータにアクセスできるのか、その情報をどのように利用して判断しているのかを理解できる管理体制を整える必要があります。

また、個人情報をAIで利用する際には、そのデータを使用する明確な目的が存在するかを確認することも求められます。

AIを導入すること自体が問題なのではなく、利用する個人情報や判断過程を管理できないことがリスクとなります。

実務上は、AIツールごとの利用目的、取り扱う情報の種類、データへのアクセス範囲を確認し、適用される規制や組織内の管理方針に適合しているか評価することが重要です。

医療情報共有システムの利便性とプライバシー保護

複数の医療機関やシステム間で患者情報を共有できる統合型医療プラットフォームは、患者の利便性や医療サービスの選択肢を広げる可能性があります。

しかし、情報が複数のネットワークやシステムを移動するようになると、誰が個人情報にアクセスできるのかを管理することが難しくなります。

BDOは、医療情報共有による利便性と、プライバシー保護や規制への対応を両立させる必要があると説明しています。

特に、システム間の情報連携が拡大する環境では、アクセス状況をリアルタイムで監視し、個人情報にアクセス可能な利用者やシステムを可視化することが重要になります。

医療機関では、情報共有を開始する前に必要なアクセス権限を整理し、運用開始後も権限や監視状況を継続的に確認することが有効です。

内部職員による不適切なアクセスと継続教育

医療機関の個人情報保護リスクは、外部からのサイバー攻撃だけではありません。

BDOは、組織内部の職員などによる意図的または偶発的な不適切なアクセスも、個人情報保護上のリスクになると説明しています。

これに対して、医療機関は一度限りの研修ではなく、継続的なプライバシー・セキュリティ教育を実施することが重要です。

AIなどの新しい技術が導入される場合には、その技術に関連するリスクや適切な情報の取り扱いについても教育内容を更新する必要があります。

また、BDOは規制当局側も高度な分析ツールを利用しており、監査や異常検知の能力を高めていると指摘しています。

このため、組織内の教育とアクセス管理を実際に運用し、必要に応じてその実施状況を確認できる体制を整えることが重要です。

医療機関が優先して実施すべき確認方法と対策

BDOが示した課題を踏まえると、医療機関の情報システム担当者や個人情報保護担当者は、現在の運用状況を次の手順で確認できます。

1. 個人健康情報へのアクセス権限を確認する

患者の診療情報や支払い情報などにアクセスできる職員、委託先、システムを確認します。業務上必要な範囲を超える権限がないかを点検し、不要な権限が見つかった場合は見直します。

2. サイバー攻撃の検知と隔離能力を確認する

不審なアクセスを早期に検知できるか、侵害されたシステムを迅速に隔離できるかを確認します。ネットワーク分割の状況も点検し、対応計画が実際に機能するかを机上演習で検証します。

3. 外部委託先の管理状況を再評価する

患者情報を取り扱う委託先について、契約時の確認内容と現在の運用状況を照合します。個人情報保護対策やアクセス管理の状況を継続的に評価する仕組みがあるか確認します。

4. AIの利用目的とアクセスデータを確認する

医療機関で利用しているAIツールについて、利用目的、アクセス可能な個人情報、判断過程の説明可能性を確認します。利用目的が明確でない情報の取り扱いについては、運用方法を再検討します。

5. 医療情報共有システムの監視状況を確認する

複数の医療機関やサービス間で情報を共有する場合、アクセス可能な利用者とシステムを把握します。アクセス状況の可視化とリアルタイム監視が適切に行われているか点検します。

6. 職員教育とインシデント対応訓練を見直す

内部の不適切なアクセスを防ぐため、継続的な教育を実施します。新しいAIツールや医療情報システムの導入時には教育内容を更新し、対応訓練を通じて実際の運用上の課題を確認します。

患者が医療情報の取り扱いについて確認できること

今回のBDOの解説は主に医療機関向けですが、患者にとっても、自身の健康情報がどのように取り扱われているかを理解することは重要です。

医療機関が複数のサービスや外部事業者と情報を共有する場合、患者は医療機関が案内するプライバシーに関する説明を確認し、個人情報の利用目的や共有範囲について疑問があれば問い合わせることができます。

また、利用する医療サービスで個人情報保護上の問題が案内された場合には、医療機関が公表する説明内容や利用者向けの対応方法を確認することが重要です。

今回の取得情報には、特定の患者を対象とした情報漏洩通知や、個別の手続きが必要となる事案は記載されていません。

よくある質問（FAQ）

医療機関がランサムウェア攻撃を受けると患者にも影響しますか？

はい。BDOは、診療情報へのアクセス遅延や医療機器が使用できなくなることによって、医療サービスの提供や患者の安全に影響する可能性を指摘しています。ただし、実際の影響は攻撃を受けたシステムや被害状況によって異なります。

医療機関がAIを使用すると患者情報が漏洩するのですか？

AIを使用しただけで情報漏洩が発生するという意味ではありません。BDOが問題としているのは、AIがアクセスする個人情報や利用目的、判断過程を適切に管理できない場合のリスクです。透明性と説明可能性を確保した管理が重要とされています。

患者情報を外部委託先に預ければ医療機関の責任はなくなりますか？

いいえ。BDOは、業務を委託しても関連するリスクまで外部へ移転できるわけではないと説明しています。医療機関は、委託先の個人情報保護対策を契約時だけでなく継続的に確認する必要があります。

セキュリティ対策の規程やマニュアルを作成すれば十分ですか？

BDOによると、規制当局は文書の整備だけでなく、実際の対応能力も重視する方向にあります。机上演習、アクセス権限の管理、ネットワーク分割、迅速な検知と隔離などを実際に運用できることが重要です。

今回のBDOの発表は新たな医療機関へのサイバー攻撃を意味しますか？

いいえ。取得テキストは、医療業界全体の個人情報保護、データガバナンス、サイバーセキュリティ、AI関連リスクを解説した内容です。特定の医療機関に対する新たな攻撃の発生を示すものではありません。

まとめ：医療機関には個人情報保護とAIガバナンスの実効性が求められる

BDOの解説では、医療分野がランサムウェア攻撃やデータ侵害の重要な標的となっていることに加え、AI利用や医療情報共有の拡大によって、個人情報保護の管理対象が複雑化していることが示されています。

医療機関にとって優先すべきなのは、患者情報へのアクセス権限の適正化、サイバー攻撃の早期検知と隔離、委託先の継続的な監督、AIの利用目的とデータアクセスの透明性確保です。

また、セキュリティ規程を整備するだけでなく、対応訓練や継続教育を通じて実際に機能する管理体制を構築することが求められます。

BDOは「Global Privacy, AI, and Data Governance for Resilience and Trust」で、規制上のリスク、評判への影響、事業上のリスクを低減しながら、技術革新を支えるための測定・追跡可能なガバナンス体制の重要性を取り上げています。

医療機関では、個人情報を保護する仕組みが存在するかだけでなく、それが日常業務やインシデント発生時に実際に機能するかを継続的に確認することが重要です。

出典：BDO「Privacy and Data Governance in Healthcare: What the Industry Needs To Know」および同記事で引用されたFBI「2025 Internet Crime Report」。