診療報酬に「サイバーセキュリティ」が組み込まれた

セキュリティ投資をめぐる経営層との対話に、新しい材料が増えました。「160点」と聞いてピンと来た方には、すでにお分かりかもしれません。

2026年6月の診療報酬改定で新設された「電子的診療情報連携体制整備加算」。

従来の「医療DX推進体制整備加算」「医療情報取得加算」を廃止・統合したこの加算には、入院医療向けの入院時加算（加算1：160点、加算2：80点）が設けられています。

そして、この入院時加算の取得要件には、具体的なサイバーセキュリティ対策が明示的に組み込まれました。

これまで院内のセキュリティ投資は、「必要だとは分かっているが、優先順位を上げる決定的な理由に欠ける」という状況に置かれがちだったのではないでしょうか。経営層もIT・情報システム部門も、対策の重要性自体は理解していても、それを「今、投資すべき理由」として説明できる材料が手元になかった、という方も多いはずです。

今回の改定は、その状況に変化をもたらします。サイバーセキュリティ対策が、「対応すれば診療報酬として還元される投資」という、経営判断の土台に乗る形になったのです。

何が要件として課されたのか

入院時加算の取得には、主に以下の対策が求められます。

– 厚生労働省「医療情報システムの安全管理に関するガイドライン」への準拠

– 専任の医療情報システム安全管理責任者の配置と、年1回以上の全職員向けセキュリティ研修

– 電子カルテ・オーダリング・レセコンの複数方式バックアップ（一部はオフライン保管）

– サイバー攻撃やシステム障害を想定したBCP（業務継続計画）の策定と定期的な演習

 

これらはいずれも、近年急増する医療機関へのランサムウェア攻撃を念頭に置いた実践的な要件です。単に「ガイドラインを読んで対応した」という形を整えるだけでなく、実際に攻撃を受けた状況でも診療を継続できる体制まで踏み込んで求められている点が特徴です。ガイドライン7.0版を見据えた対策に関する記事についても是非読んでみてください。

 

この変更が医療業界のサイバーセキュリティに与える影響

① セキュリティ投資の「経営課題化」

これまで院内のセキュリティ対策は、情報システム部門の一担当者に委ねらる傾向にあったかと思います。しかし加算が収益に直結することで、経営層がセキュリティ投資の意思決定に関与する方向に傾くことになるでしょう。予算が付きやすくなる一方で、「投資対効果」を説明できる体制が院内に必要になります。

② 「対策した証拠」を残す必要性

加算の算定要件を満たしていることは、監査・指導の場で証明を求められることになります。「対策しています」という口頭の説明では足りず、ログ・証跡・インシデント対応記録といった客観的なエビデンスが必要になります。ここが、従来の医療機関の運用で最も不足していた部分だと言えるかもしれません。

③ バックアップ自体を「守る」ということ

オフラインバックアップが要件化されたのは、ランサムウェアがバックアップそのものを狙う手口が一般化したためです。攻撃者はまずバックアップを暗号化・削除して復旧不能にし、その上で本番環境のデータを人質に取ります。バックアップを「取る」だけでなく「攻撃から守る」発想が不可欠になったのです。

 

EDR・NGAVがこれらの要件をどう満たすか

ここで中核的な役割を果たすのが、NGAV（次世代アンチウイルス）とEDR（Endpoint Detection and Response）です。これらは似ているようで役割が異なり、組み合わせることで効果を最大化するものです。

 

NGAV：未知の攻撃を「入口で止める」

従来型のアンチウイルスは、既知のウイルスのパターン（シグネチャ）に依存していました。しかし、医療機関を襲う最新のランサムウェアは、日々亜種が生まれ、既知のパターンでは残念ながら検知しきれません。

NGAVは、AIや機械学習を用いてファイルの「振る舞い」から悪性を判断することができます。シグネチャに存在しない未知のマルウェアであっても、不審な挙動を検知して実行前にブロックできます。これは加算要件の前提となる「不正プログラム対策」の現実的な解となります。

EDR：すり抜けた攻撃を「検知し、対応する」

どれほど強固な入口対策も、事実として、すべての攻撃を100%は防げません。EDRは「侵入される」ことを前提に、侵入後の不審な動きを検知し、封じ込め、追跡するための技術です。

 

EDRが加算要件に直接寄与するポイントは明確です。

特に「証拠を残す」という観点で、EDRは決定的な解決策と言えます。「誰がいつ、どの端末で、何をしたか」を継続的に記録しながら脅威をあぶり出すEDRは、加算算定の根拠を求められた際の客観的エビデンスそのものです。

 

結論：医療機関が取るべきアクション

2026年の診療報酬改定は、医療機関に対して「セキュリティ対策の有無」が収益につながる仕組みを導入しました。これを踏まえ、医療機関が優先すべきアクションを、僭越ながら例として整理していきます。

【即時】 自院の電子カルテ・ネットワーク環境が安全管理ガイドラインに準拠しているか棚卸しし、不足項目を洗い出す。NGAVが旧来型アンチウイルスのままなら、未知の攻撃に無防備である可能性が高い。

【3ヶ月以内】 専任の安全管理責任者を指定し、NGAV＋EDRの導入計画を策定する。両者を全エンドポイントに展開し、ログの長期保管とランサムウェアの自動遮断を設定することで、加算要件のエビデンスを確保する。

【6ヶ月以内】 ランサムウェアを想定したBCPを策定し、机上演習を実施する。EDRが収集した実際の脅威情報をもとにシナリオを設計すれば、形骸化しない実践的な訓練になる。

セキュリティ対策は単なる「コスト」ではありません。患者の安全と診療の継続性を守り、かつ診療報酬を確実に得るための「経営インフラ」です。NGAVで入口を固め、EDRで侵入後を制す──この多層防御が、これからの医療機関の標準装備になります。

これまでの内容を踏まえてCybereasonが提供する備え

これまで述べてきたように、この新制度においてデータを保護しすることは経営インフラとして重要な備えとなります。これを技術的に支えるのが、NGAVとEDRです。

Cybereasonは、この三層を一つのプラットフォームで提供しています。

  • NGAV：AIと機械学習によるふるまい検知で、未知のマルウェア・ランサムウェアを実行前にブロック。シグネチャ更新を待たずに、ゼロデイ攻撃にも対応します。
  • EDR：端末上のあらゆる挙動をリアルタイムに記録・可視化し、攻撃の連鎖（MalOp：Malicious Operation）として一つのストーリーで提示。インシデント発生時の影響範囲特定と隔離をワンクリックで実現し、ガイドラインが求めるアクセスログ取得・監査証跡の確保にも貢献します。

さらに、これらのセキュリティ監視を代行し、現場やセキュリティチームの負荷を大きく下げられるのがMDRというサービスです。

  • MDR：Cybereasonの分析専門チームが、24時間365日の監視・分析・対応を代行。専任のセキュリティ担当者が不在の医療機関でも、ガイドラインが想定する運用水準を現実的なコストで実現できます。

医療現場で求められるのは、止まらない診療と守られる患者情報の両立です。Cybereasonは、規制対応のためだけでなく、医療提供を継続するための備えとして、NGAV/EDR/MDRのパッケージで医療機関のセキュリティを支えます。

 

※本記事は2026年7月時点の情報に基づきます。

診療報酬改定への対応、EDR・NGAVの導入に関するご相談はお気軽にお問い合わせください。