病院のサイバー対策に137億円、うち129億円が「回線を減らす」話　〜中小企業にも同じ話が来ると思う

2026年9月12日2026年9月15日

厚労省が、病院のサイバー攻撃対策を強化するそうです。

令和9年度の概算要求で、医療分野のサイバーセキュリティに137億円。

額もそうですが、中身の偏り方がなかなかすごかったので、調べたことをメモしておきます。

137億円のうち129億円が「外部との接続点を減らす」ことに使われる

内訳はこんな感じです。

全体の約94%が、外部接続点の話。

補助率は10分の10、つまり全額国が出します。上限は病床規模で分かれていて、400床以上で6,600万円、200〜399床で4,500万円、20〜199床で2,100万円とのこと。

人材育成に3.4億円、回線の集約に129億円。

えらい振り切ったな。。と思いました。

もちろん人材育成が要らないという話ではないのでしょうが、それにしても、ここまで一点に寄せてくるのは珍しい気がします。

理由は、過去の事例を並べると分かりやすいかと思います。

似た感じですね。

三つとも、入口はベンダーの保守用回線です。

病院には、電子カルテ、画像診断、検査機器、さらには給食の委託先まで、ベンダーごとに外部との回線が引かれている。しかもそれが、病院側の管理下にないことがある。

大阪の件は給食の委託事業者経由でした。責任分界点があいまいだった、と指摘されています。

武蔵小杉の件では、患者約13万人と、職員・実習医学生約1,700名の情報漏えいが確認されたとのこと。

ちなみに武蔵小杉は、私が住んでいるのと同じ川崎市内です。ニュースで見たときは、うわ、と思いました。

つまり厚労省がやろうとしているのは、穴を塞ぐより先に、穴の数を数えて減らすという順番なのでしょう。

「攻撃時の遮断が容易に」という見出しは、そういう意味だと思います。線が20本あったら止められないけど、1本なら止められる。当たり前といえば当たり前ですが。

医療機関は、2023年4月の医療法施行規則の改正で、すでにサイバーセキュリティの確保が義務になっています。

さらに、経済安全保障推進法に医療分野が追加されました（2026年6月公布、施行は2027年12月以内の予定）。

点検の対象として想定されているのは、特定社会基盤事業者に指定されそうな病院、約20件の特定機能病院とのこと。

大病院から順に、という流れですね。

で、ここからが本題というか、私が気になったところ。

中小企業も、構造はまったく同じなんじゃないかと思います。

基幹システムのベンダー、複合機、勤怠システム、POS、監視カメラ、生産設備。それぞれが、それぞれの都合でリモート保守用に外とつながっている。

そして多くの場合、誰も全体の本数を把握していない。

「うちは小さいから狙われない」という話をよく聞きますが、実際に狙われているのは会社の知名度ではなく、放置されたVPN機器のほうです。半田病院も大阪の給食委託先も、規模で狙われたわけではないと思います。

もちろん、中小企業に129億円が降ってくるわけではありません。そこは病院がうらやましい（＾＾;

ただ、やることの順番は真似できるはずです。お金がなくても、数を数えるのはタダなので。

デジタル化の支援に入るとき、私はこれから「外から入ってくる線、何本ありますか」を最初に聞いてみようと思います。

たぶん、即答できる会社はほとんどない。というか、答えられない状態そのものが現状把握になる。

そこから、ベンダーごとの回線を1本にまとめられないか、責任分界点はどこか、という話に持っていく。厚労省がやろうとしていることの、予算ゼロ版ですね。

DXの提案書を書く前に、まずここな気がしています。

そんなところで。

出典