医療機関のサイバー対策、IT資産把握と医師の意識改革がカギ 守井・グランセキュノロジーCISOに聞く

2026年上半期のセキュリティーインシデントについて説明する守井浩司・グランセキュノロジーCISO

DTS（東京・中央区）と、サイバーセキュリティー対策のグランセキュノロジー（東京・新宿区）は9月7日、セキュリティーサービスの協業について記者説明会を都内で開いた。説明会では、グランセキュノロジーの守井浩司CISO（最高情報セキュリティー責任者）が、2026年上半期のセキュリティーインシデントを基に、サイバー攻撃を受ける前のリスク可視化と対策の重要性を説明した。また、個別取材に対し、医療機関のサイバー対策では院内IT資産の把握に加え、医師の意識改革や働き方の見直しが必要との考えを示した。

認証情報やVPN、SaaSが攻撃の入り口に

守井CISOは、2026年上半期に国内企業が公表したインシデントについて、認証情報の漏えい、外部公開システムの脆弱（ぜいじゃく）性を突いた攻撃、クラウドと開発環境からの被害拡大、委託先や海外拠点を含むサプライチェーンを経由した攻撃が目立ったと説明した。

中でも、盗んだ正規の認証情報を使う攻撃では、侵入後の操作が正常に見え、セキュリティー製品による検知をすり抜ける可能性があると指摘。多要素認証に加え、アクセス元の端末や場所、時間、行動などを確認する必要があると話した。

また、PCだけでなく、VPN（仮想私設網）機器や公開ウェブシステム、開発ツール、SaaS（ソフトウエア・アズ・ア・サービス）なども攻撃の入り口になると説明。外部サービスを利用する場合も、ベンダー任せにはせず、障害や攻撃で停止した場合の代替手段、復旧の取り決めを確認しておくことが重要と強調した。

ランサムウエア（身代金要求型ウイルス）対策では、侵入防止だけではなく、被害の拡大を抑え、事業を復旧する「サイバーレジリエンス」の強化が必要と説明した。バックアップの確保に加え、脆弱性を把握した時に「誰が」「いつ」「どのように対応するか」を決め、復旧手順まで準備しておく必要があると語った。

医療機関はまずIT資産の把握を

限られた人員と予算で何を優先すべきかが課題になる。医療現場のセキュリティー対策にも携わる守井CISOに、ネットワークの実態や医師の意識、今後の脅威について聞いた。

――医療機関のネットワークには、どのようなセキュリティー問題がありますか。

守井：例えば、ある病院で当社の内部ネットワークの可視化ツールを使ったところ、分離されているはずのネットワーク間で接続できる状態が見つかった。つまり、病院側は分離していると認識していても、実際には別のネットワークに入り込める場合があるということだ。

攻撃者がこうした盲点を突いて、インターネットを利用する情報系のネットワークから、診療に関係するネットワークへ侵入できれば、手術や医療行為そのものに影響が及ぶ恐れがある。構築した業者の説明だけで判断するのではなく、実際に分離できているかを確認することが重要だ。

――医療機関への攻撃では、VPN機器が引き続き狙われています。

守井：VPNは今後も狙われると考えている。中核病院では対策が進んでいるが、こうした病院とネットワークでつながるクリニックや連携先の医療機関では、十分に対策できていない場合が多い。

中核病院のシステムを利用したり、情報を参照したりできる接続先が攻撃されれば、そこが踏み台になる。その結果、中核病院に被害が及び、さらに共通のシステムを使うほかの医療機関でも、システムを利用できなくなるなど、影響が広がる恐れがある。そのため、自院だけでなく、医療連携のネットワーク全体で考える必要がある。

――VPNは別の仕組みに置き換えるべきでしょうか。

守井：VPNは比較的安く、院内ネットワークに接続するための使いやすい仕組みなので、急になくなるとは考えていない。機器メーカーもソフトウエアの更新や認証の強化など、安全に利用するための対応を進めている。

重要なのは、使い続けるのであれば適切に管理することだ。ソフトウエアの更新に加え、利用者が普段アクセスする時間や場所と異なっていないかを確認する必要がある。

例えば、富山県からアクセスした人が、その15分後に神奈川県からアクセスしていれば、通常の移動では説明できない。こうした場所や行動の変化を捉え、その接続が正しいかを判断する。「ゼロトラスト（ネットワーク内外の全てのアクセスを検証する考え方）」の視点を取り入れた監視が必要だ。

――委託先を経由する攻撃にはどう対応すべきですか。

守井：院内ネットワークにどの事業者が接続しているかは可視化できる。ただ、その接続先のさらに先は、別の組織のルールで運用されているため、自院だけでは管理しきれない。それぞれの事業者が対策する必要がある。

「セキュリティー対策をしているか」という質問票への回答や、厚生労働省などのガイドラインに準拠しているという説明だけで終わらせず、その根拠を確認すべきだ。対策状況を評価する仕組みなどを活用し、安全性を客観的に示してもらうことが重要になる。

そして、一定の安全性が確認できなければ院内ネットワークへの接続を認めないなど、接続や取引の条件に反映することも考えるべきだろう。ネットワークに接続している以上、1つの組織の被害が全体に広がる可能性があるからだ。

AIで攻撃が省力化、少人数でも実行可能に

――ランサムウエアの脅威は今後も続きますか。

守井：金銭を得るための手段として使われているため、攻撃手法が大きく変わらない限り、2027年、2028年も続くと考えている。一方で、攻撃側の体制には変化が出ている。分業化に加え、AI（人工知能）の利用で作業が省力化され、より少人数でも攻撃を実行しやすくなっている。

――AIは攻撃のどのような場面で使われるのですか。

守井：例えば、標的とする組織の情報を大量に調べる作業だ。こうした調査をAIに任せることで、人手を減らしながら、多くの組織に対して攻撃の準備を進められる。

これまで人が分担していた作業の一部がAIに置き換われば、少人数で成果を出しやすくなる。小規模な攻撃組織が増えるだけでなく、組織に属さない個人でも攻撃できる範囲が広がる可能性がある。攻撃者の数や試行回数が増えれば、被害の拡大につながる。

また、攻撃者がAIを使うだけでなく、AIそのものを狙う攻撃にも注意が必要だ。「プロンプトインジェクション（生成AIに不正な指示を紛れ込ませ、本来のルールや制限を無視させる攻撃手法）」などによって、医師がAIサービスに入力した画像などの情報が引き出されるリスクも考えられる。AIの利用をどう管理するかという課題も大きくなってくる。

医師の意識改革と働き方の見直しも必要

――技術的な対策以外に、医療機関特有の課題はありますか。

守井：医療機関は、医師の権限が強く、緊急性を理由に、院外からの接続などでルールが守られないことがある。病院の情報システム部門が制限していても、医師の判断で例外が認められてしまうケースだ。

医療のセキュリティー対策は、技術とコストだけの問題ではない。医師にもリスクを理解してもらい、情報システム部門がアクセス権限や参照できるデータを適切に統制できるようにする必要がある。「緊急だから」と接続を認めたことが、より大きな問題につながる可能性もある。

――院長や事務長だけでなく、診療に当たる医師の意識改革も必要なのですか。

守井：そうだ。私が関わった現場では、経営側には対策の必要性を理解してもらえても、実際に診療を担う医師にルールを守ってもらうことが難しい場合があった。経営層の理解に加え、日常的にシステムを利用する医師の意識を変えていくことが重要だ。

ただ、医師の意識を変えるだけでは難しく、働き方も変えなければならない。医師は非常に忙しく、自宅に帰ってからも仕事をしていることが多々ある。院外からのアクセスを禁止するだけでは、病院にいる時間が長くなるだけで、根本的な解決にならない。

自宅からでも安全に接続できる環境を整えるのであれば、そのための費用を支援することも必要だ。補助金などの行政の支援や制度の活用と合わせて考えていかないと、現場の努力だけでは解決が難しい。

――医療機関が取り組むべき最初のサイバーセキュリティー対策は。

守井：まず、病院側の立場でIT資産を把握することだ。ベンダーに任せていても、全ての資産が十分に管理されているとは限らない。ベンダーの管理台帳と、病院側が把握している資産、実際に接続されている機器が一致しているかを確認する必要がある。

患者や医療従事者向けのWi-Fiについても同じだ。「昼間だけ接続する」「特定の時間だけ利用する」といったルールがあっても、実際に守られているかを把握しなければならない。

何がつながり、どこでルールから外れた利用が起きているかが分からなければ、必要な対策も決められない。全てに一律の対策を講じると費用が大きくなるため、まず実態を把握し、対策の優先順位を付けることが重要だ。

DTSとグランセキュノロジー、協業で資産の可視化から対策・運用まで支援

DTSとグランセキュノロジーはIT資産やサイバーリスクを可視化する「Mitokude（みとくで）」を基軸とした協業を7月から開始した。グランセキュノロジーのセキュリティーサービスと、DTSのシステム構築、セキュリティー対策、監視・運用を組み合わせてセキュリティー対策を支援する。

グランセキュノロジーは説明会で、内部ネットワーク上の機器を自動検出するセキュリティーサービス「Mitokude.local（みとくでドットローカル）」の提供開始も発表した。機器への専用ソフトウエアの導入を必要としないエージェントレス方式で、管理外の端末などの「シャドーIT」を検出する。脆弱性情報や構成情報をひも付け、侵入後に想定される攻撃経路も可視化する。料金は利用規模や環境に応じた個別見積もる。

外部公開資産を可視化する既存セキュリティーサービスの「Mitokude.pub（みとくでドットパブ）」と合わせることで、組織の内外からリスクを把握できる。両社は、協業を通じて、顧客が認識していない課題の発見から対策の実装、運用、再評価までを継続して支援し、限られた人員と予算でもリスクの高い部分に対策を集中できるサービスを展開する。