令和6年度（2024年）の診療報酬改定では、医療機関におけるサイバーセキュリティ対策が重要なテーマとなっています。近年、サイバー攻撃によって病院システムがダウンしたり、患者の個人情報が流出する事例が相次いでおり、医療機関の運営と患者の安全が危険にさらされています。こうした現状に対応するため、政府は診療報酬の改定に際して、病院のサイバーセキュリティ対策を評価項目に取り入れ、セキュリティの強化を促しています。
医療機関に対するサイバー攻撃は世界的に増加傾向にあり、日本の医療現場も例外ではありません。特にランサムウェアによる攻撃が増え、医療機関の業務が一時停止したり、復旧に多大な時間と費用がかかるケースが報告されています。令和6年度の診療報酬改定では、こうした背景を受け、医療機関におけるサイバーセキュリティの強化を支援するため、診療録管理体制加算を見直し、加算点数の評価基準にサイバーセキュリティ要件を追加しました。
医療機関におけるサイバー攻撃のリスクは、患者のプライバシー侵害や治療の遅延、業務の停止など多岐にわたります。たとえば、サイバー攻撃によって電子カルテシステムが停止した場合、診療が円滑に行えなくなるだけでなく、救急対応や手術スケジュールに支障をきたす恐れもあります。サイバー攻撃のリスクを低減するためには、医療情報システムの適切な保護が欠かせません。
令和6年度の診療報酬改定では、サイバーセキュリティの取り組みを評価するため、診療録管理体制加算が見直されました。新たに設けられた「診療録管理体制加算1」では、医療機関がサイバーセキュリティ対策を一定水準以上に整えているかが評価基準となり、IT管理体制の強化が実質的に推奨されています。
診療録管理体制加算1は、医療機関がサイバーセキュリティ対策を整備することを条件とした評価項目で、従来の加算よりも点数が高く設定されています。この加算を得るためには、以下のようなサイバーセキュリティの必須要件を満たすことが求められます。
これにより、医療機関は加算点数を得ることで収益増が期待できると同時に、リスク軽減を目的とした具体的な対策を促進できます。
医療情報システム安全管理責任者は、病院内の情報システムのセキュリティ対策全般を管理する役割を担います。特に、情報漏洩やシステム障害を防ぐための方針策定、外部業者との協力体制の構築、そして日常的なセキュリティ強化の指導が主な業務に含まれます。インシデント発生時には迅速な対応を行い、必要に応じて上層部への報告や、外部関係者との連携を図ることで、システム復旧までの一貫した管理を行います。
近年のサイバー攻撃は、システム全体に感染してバックアップデータまでも暗号化する高度なものが増えています。このような攻撃に備え、データをオフラインで定期的にバックアップする体制は不可欠です。導入のポイントとしては、バックアップデータをネットワークから切り離し、定期的に保存する方法が推奨されます。
医療機関におけるサイバーセキュリティ対策は、患者のプライバシー保護と医療サービスの継続性確保のために不可欠です。令和6年度診療報酬改定では、具体的な対策例として「医療情報システム安全管理ガイドライン第6.0版」に沿った取り組みが推奨されています。
医療情報システム安全管理ガイドライン第6.0版は、医療機関に求められる最新のサイバーセキュリティ対策の標準を示しています。このガイドラインは、システムへの不正アクセスや情報漏洩を防止するためのフレームワークとして活用され、セキュリティの3大原則（機密性・完全性・可用性）を基盤にしています。
医療機関のセキュリティ対策の実施状況を確認するために、チェックリストの活用が効果的です。チェックリストには、外部からのアクセス制御、ウイルス対策ソフトの最新化、定期的なセキュリティ診断など、基本的な項目が含まれています。
クラウドサービスは、医療データの効率的な管理を支援する一方で、特有のリスクも伴います。クラウドサービス利用時の管理ポイントとして、契約前に提供会社のセキュリティポリシーやデータ保護体制を確認し、定期的なセキュリティ診断の実施や、重要データの暗号化など、万が一のリスクに備えた対策が推奨されます。
令和6年度の診療報酬改定におけるサイバーセキュリティ対策の強化は、医療機関の収益にも影響を与えます。特に、診療録管理体制加算1を取得することで、一定の収益増が見込めるため、これを目的にサイバーセキュリティ対策に取り組む医療機関も増加しています。
診療録管理体制加算1を取得することで、医療機関は入院患者1人あたり140点（1点＝10円の場合、1,400円）を加算することができます。年間入院患者数が1,000人の場合、加算により約140万円の収益増が期待でき、セキュリティ対策にかかる費用の一部を補填することが可能です。
診療報酬改定での収益増加を最大限に活用するためには、サイバーセキュリティ対策の費用対効果を検討することが欠かせません。サイバーセキュリティ対策を怠ることで、システム障害や情報漏洩が発生した場合、多額の復旧費用や患者対応コストが発生するリスクがあるため、コスト対効果は高いといえます。
医療機関は近年、サイバー攻撃の主要なターゲットの一つとなっており、特にランサムウェア攻撃による業務停止や患者情報の漏洩が増加傾向にあります。万が一攻撃を受けた際に業務を維持し、患者の安全を守るため、対策の現状や課題を明確にし、組織全体のセキュリティ意識を高めることが不可欠です。
医療機関へのサイバー攻撃は、ランサムウェアやフィッシング詐欺を中心に年々増加しています。これらの攻撃により、患者情報が流出したり、医療機関のシステムが一時的に停止する事例が報告されています。情報漏洩が発生した場合、医療機関は法的措置や損害賠償の対象となり、信用失墜や経済的負担が避けられないため、早急な対策が必要とされています。
医療機関がサイバー攻撃を受けても、業務を継続できる体制を整えるためには、事業継続計画（BCP）の策定が欠かせません。BCPは、システム障害やランサムウェア攻撃など、あらゆる事態に備え、患者の診療や治療を中断しないための計画です。
医療機関がサイバーセキュリティを強化する上で、スタッフ一人ひとりのセキュリティ意識向上が重要です。定期的な教育と訓練によって、従業員がサイバー攻撃の手口や対策について正しく理解することが求められます。これにより、医療機関全体の防御力が高まり、サイバー攻撃の被害を最小限に抑えることが可能となります。
診療報酬の0.88％引き上げを受け、医療機関は従業員の賃上げを実施する必要があります。原則として、2024年に2.5％、2025年に2.0％の賃上げが目標です。定期昇給とは別に基本給の引き上げが求められます。賃金増率が低い場合は、外来・在宅ベースアップ評価料（Ⅱ）などの上乗せ評価も検討しましょう。適切な賃上げを実施することで、従業員のモチベーション向上や人材確保につながり、医療サービスの質を維持・向上させることが可能です。
初診料や再診料、入院基本料などの診療報酬が改定されるため、医療機関はこれらの基本料金を見直す必要があります。改定内容に合わせて料金設定を調整し、ホームページなどに掲載している場合は、速やかに情報を修正しましょう。正確な料金情報を患者に提供することは、信頼関係を築く上で不可欠です。また、基本料金の見直しは、医療機関の収入に直接影響するため、経営状況を考慮しながら慎重に進める必要があります。
医療機関は、マイナ保険証を利用できる環境を構築し、電子カルテや電子処方箋の共有サービスの導入・利用を検討する必要があります。医療DXを推進することで、業務効率化や人件費削減が期待できます。医療情報取得加算が新設されたため、マイナ保険証を使った効率的な情報取得を実施することで、診療報酬の加算も可能です。セキュリティ対策を講じながら、最新のシステムを導入し、患者サービスの向上と医療機関の効率的な運営を目指しましょう。ICTを活用し、働き方改革を推進することも重要です。
経産省の資料では、サイバーセキュリティに関する組織体制において、IT、デジタル部門の開発、運営者・事業部門などの「実務者・技術者層」、セキュリティ部門・監査部門などの「戦略マネジメント層」、取締役・執行役員などの「経営層」、の3つに分類され、必要なスキルや具体的にやるべきこと（タスク）が定義されています。
該当の対象者に向けた研修を展開しているおすすめの会社を合わせて見られるようにしているので、検討している受講者の欄からご覧ください。
CompTIA CASP+やCySA+など上位資格を学べる研修ラインナップ。CompTIAプラチナパートナーとして上位資格を一気通貫で学べる国内数少ない会社です。
実務や技術者が仮想空間で手を動かしながら実践的にスキルを習得できる点が特徴です。
CompTIA（Pentest+、CASP+、CySA+他）、EC-Council（CEH、CCT他）、ICT（OT）、SecuriST、インシデント対応、ペネトレーションテスト、フォレンジック など
セキュリティ事故などインシデント対応者に必要な知識を学べる専用プログラムが特徴。
基礎的な知識から、デジタルフォレンジックやマルウェア解析など専門技術を内製できる企業向けにもコースを展開しています。
インシデントレスポンス、マルウェア解析、セキュリティオペレーション、デジタルフォレンジック、脆弱性ハンドリング、情報セキュリティ事故対応 など
企業のリスクマネジメントを支援するコンサルティング業務を主軸としており、企業経営の推進力を高めるリスクマネジメント力が身に着く研修を提供しています。
経営層向けだけで3段階のコースを展開し、着実なステップアップができます。
経営層向けサイバーセキュリティ対応能力向上、CSIRT構築、情報セキュリティ入門、組織サイバーレジリエンス力向上 など
