病院を狙うサプライチェーン攻撃の実態とは？エンドポイント管理の盲点と具体対策を解説

サプライチェーン攻撃とは、取引先や委託先、利用しているソフトウェアやサービスを経由して侵入するサイバー攻撃の一種です。近年、医療業界を対象としたランサムウェア被害が相次ぎ、病院が診療停止に追い込まれる深刻なインシデントも発生しています。

特に病院は、電子カルテベンダーや医療機器メーカー、外部保守会社など、多数の事業者と連携する構造を持っています。こうした“つながり”は業務を支える一方で、攻撃者にとって侵入口になり得ます。自院が攻撃の標的でなくても、委託先経由で不正アクセスや情報流出が発生する可能性がある点が大きな特徴です。

本記事では、病院におけるサプライチェーン攻撃の仕組みと侵入経路を整理したうえで、見落とされがちな“エンドポイント管理”の重要性と、現実的な対策の方向性について解説します。

１：なぜ病院がサプライチェーン攻撃の標的になるのか

病院がサプライチェーン攻撃の標的になりやすい背景には、医療情報という高い価値を持つデータの存在と、業務を停止できないという特有の事情があります。さらに、電子カルテベンダーや医療機器メーカー、外部保守業者など、多くの事業者と連携する構造もリスクを高める要因です。

ここでは、病院がサプライチェーン攻撃の標的になりやすい理由を整理します。

高価値な医療情報と「停止できない」業務

病院が扱う診療情報や個人情報には、氏名や住所だけでなく、既往歴や検査結果など、要配慮個人情報が含まれています。これらの医療情報は長期的な悪用が可能であり、ダークウェブ上で高値で取引される例も報告されています。さらに、病院は24時間体制で診療を行っており、システム停止は患者の安全や診療の継続に直結します。「業務を止められない」という事情は、ランサムウェア攻撃において“支払いに応じやすい組織”と見なされる要因にもなり得ます。このように、「情報価値の高さ」と「停止できない業務体制」という2つの要素が、病院をサイバー攻撃の標的になりやすい要因となっています。

深刻化するサイバー攻撃の現実

実際に、病院を狙ったサイバー攻撃は増えています。直近の2026年には関東圏の大学附属病院のナースコールシステムサーバーがランサムウェア被害を受け、病棟ナースコール端末の動作不良や当該サーバーに保存されていた約1万人の個人情報漏洩が生じたとされています。また、2022年10月には関西にある医療機関でもランサムウェア攻撃を受け、電子カルテを含む院内システムが停止する事態が発生しました。外来や救急の受け入れに支障が生じるなど、医療提供体制に大きな影響が及びました。

外部ベンダー・委託先への依存構造

病院では、電子カルテシステムのベンダー、医療機器メーカー、保守業者、クラウドサービス事業者など、多くの外部事業者と接続・連携しています。これらの事業者が適切なセキュリティ対策を講じていなかった場合、その経路を通じて侵入される可能性があります。自分たちの病院が十分な対策を行っていても、委託先や関連事業者が攻撃を受ければ、その影響が波及する点がサプライチェーン攻撃の特徴です。つまり、病院にとってのリスクは「自分たちの病院の対策」だけでは完結せず、外部との“つながり”全体を前提に考える必要があります。

こうした複合的な要因は、サイバー攻撃が単なる情報の流出にとどまらず、診療そのものに直接影響を与えるリスクがあることを示しています。病院では、電子カルテや医療機器、外部保守回線などがネットワーク上で相互に連携しており、さらに多くの業務を外部事業者に委託しています。このような構成は利便性を高める一方で、攻撃の影響が広がりやすい環境を生み出す要因にもなり得ます。こうしたシステム設計や運用体制のあり方に内在するリスク、つまり攻撃の影響を広げやすい土壌そのものを「構造的リスク」と呼びます。病院はその特性上、この構造的リスクを抱えやすい環境にあるといえます。

２：病院におけるサプライチェーン攻撃の侵入経路

病院におけるサプライチェーン攻撃は、特定の一箇所から侵入するとは限りません。
電子カルテや医療機器、外部保守業者の接続環境など、日常的に利用している仕組みが侵入口となる可能性があります。特に、複数の事業者やシステムが連携する病院では、接続点の多さがリスクの広がりにつながります。

ここからは、病院で想定される主な侵入経路を整理します。

電子カルテ・医療機器を経由した侵入

電子カルテシステムやネットワーク接続型の医療機器は、病院の中核を担う重要なインフラです。しかし、これらのシステムが外部ベンダーの更新サーバーや保守環境と接続されている場合、その経路が攻撃の入口となる可能性があります。

更新サーバー経由

ソフトウェアのアップデート機能を悪用し、不正なプログラムを混入させる攻撃は近年増加しています。病院側は通常業務として更新を実施するため、正規のアップデートと見分けがつきにくい点が特徴です。

リモート保守経由

医療機器や電子カルテの保守のために、外部ベンダーがリモート接続を行うケースも少なくありません。接続環境の脆弱性や認証情報の漏えいがあれば、その経路を通じて侵入される可能性があります。

委託業者の端末・認証情報の悪用

サプライチェーン攻撃では、自院のシステムそのものではなく、委託業者の端末や認証情報が悪用されるケースもあります。

持ち込みPC

保守業者が持ち込むノートPCが十分に管理されていない場合、マルウェア感染端末が院内ネットワークに接続されるリスクがあります。

共有アカウント

業務効率を優先するあまり、共有アカウントが使用されている場合、アクセス履歴の特定が困難になり、不正利用の検知が遅れる可能性があります。

VPN認証情報漏えい

外部接続用のVPN認証情報が漏えいした場合、正規ユーザーになりすました侵入が発生することもあります。

管理されていない端末という盲点

多くの病院で見落とされがちなのが、「管理対象になっていない端末」の存在です。サプライチェーン攻撃は、こうした管理の隙間から侵入することがあります。

• 台帳に載っていない端末：一時利用のPCや検証用端末が、そのまま運用に残っているケース
• パッチが適用されていない端末：医療機器付属PCなど、更新が後回しにされやすい端末
• 一時的に接続されたまま管理されていない“野良端末”
• ネットワークに接続された医療機器用端末

これらの端末が可視化されていなければ、侵入経路を正確に把握することは困難です。

サプライチェーン攻撃の手口は年々巧妙化していますが、その原因の多くは、未更新のシステムや脆弱な認証設定など、基本的な管理不足にあります。
この攻撃は、必ずしも高度なハッキング技術によるものとは限りません。むしろ、日常の管理の抜け漏れを突く形で発生するケースも少なくありません。病院においては、まず院内のすべてのエンドポイントを把握できているかどうかが、リスク低減の出発点となります。

３：厚労省ガイドラインでも求められる対策とは

病院におけるサプライチェーン攻撃のリスクは、特別な想定ではありません。厚生労働省が公表している「医療情報システムの安全管理に関するガイドライン」においても、外部委託先の管理や端末管理の重要性が明確に示されています。同ガイドラインでは、

• 外部委託先の管理
• アクセス制御
• 端末管理
• ログの取得・保管

など、医療情報を安全に取り扱うための基本的事項が整理されています。
特に重要なのは、業務を委託している事業者や保守ベンダーに対する管理責任が、医療機関側にもあるとされている点です。つまり、サプライチェーン全体を意識した対策が前提となっています。

出典：厚生労働省「医療情報システムの安全管理に関するガイドライン　第6.0版（令和5年5月）」

ガイドラインの内容は定期的に改訂されているため、最新版を確認しながら実態に即した対策を講じることが重要です。医療機関における情報セキュリティ対策は、単なる形式的な対応ではなく、日常的な運用の中で継続的に強化していくことが求められます。

ガイドラインを“形式対応”で終わらせないために

ガイドラインへの対応は、規程や書類を整備するだけでは十分とは言えません。

実際に、

• すべての端末を把握できているか
• 更新管理が継続的に行われているか
• 外部業者の接続環境が統制されているか

といった運用レベルまで管理できているかどうかが問われます。

サプライチェーン攻撃の多くは、こうした“運用の隙間”から発生します。形式的な対応にとどまらず、日常的な管理体制として機能させることが不可欠です。

おすすめ
【コラム】サプライチェーン攻撃対策とは？最新手法・事例から学ぶ企業の実践ポイントを解説

４：自院は大丈夫？サプライチェーン攻撃リスク簡易チェック

ここまで、病院が狙われる背景や侵入経路、厚労省ガイドラインの内容を見てきました。では、自分達の病院の体制はどこまで対応できているでしょうか。

サプライチェーン対策簡易チェック

１．端末とソフトの管理

□　院内で使用しているすべての端末を把握できている
□　医療機器を含むネットワーク接続機器を台帳で管理している
□　OSやソフトウェアの更新状況を定期的に確認している

２．外部委託先・ベンダー管理

□　保守ベンダーの接続方法（VPN等）や接続可能な時間帯を把握している
□　共有アカウントの利用を制限または管理している
□　再委託の有無と範囲を把握している

３．認証・アクセス管理（監視を含む）

□　ネットワークや医療情報システムへのアクセスに多要素認証を導入している
□　不要になったアカウント（退職者・契約終了者など）の削除が徹底されている
□　不審なログインやアクセスを検知できる仕組みがある

簡易チェックの結果はいかがでしたか？
1つでも把握できていない項目があれば、そこがリスクの入り口になる可能性があります。

参考：厚生労働省「医療機関等におけるサイバーセキュリティ対策チェックリスト（令和７年５月）」

より詳しく自院の対策状況を確認したい場合は、資料のダウンロードや専門家への問い合わせ・支援の活用も有効です。

５：サプライチェーンリスクを低減するための現実的対策

サプライチェーン攻撃を完全に防ぐことは容易ではありません。しかし、侵入されにくい環境を整え、被害を最小限に抑えることは可能です。ここでは、病院が現実的に取り組める対策を整理します。

１．すべての端末・医療機器の可視化

サプライチェーン攻撃の多くは、「把握できていない端末」から始まります。

まず重要なのは、

• 院内のPC
• 医療機器
• 持ち込み端末
• ベンダー接続端末

を含め、ネットワークに接続される機器を正確に把握することです。
台帳が最新状態で維持されていなければ、適切な更新管理やアクセス制御は行えません。
可視化はすべての対策の出発点です。

２．更新管理の徹底（パッチ管理）

OSやソフトウェアの脆弱性は、攻撃者にとって主要な侵入口です。

特に医療機関では、

• 更新が止まっている端末
• 古いOSを使い続けている機器
• 医療機器のファームウェア未更新

といった状態が放置されがちです。
定期的な更新状況の確認と、適用漏れの是正を継続的に行うことが重要です。

３．外部ベンダー接続の統制

保守やリモートメンテナンスのための接続は、便利である一方、攻撃の入口にもなり得ます。

といった基本的な統制を徹底することで、リスクを大きく下げることができます。
特に共有アカウントや単純なパスワードの運用は、攻撃リスクを高める要因となります。

４．運用を“属人化”させない仕組みづくり

サプライチェーンリスクは、担当者の経験や記憶に依存した運用では管理しきれません。

といった仕組みによって、日常的にリスクを可視化できる状態を作ることが重要です。

これらの対策は、特別なセキュリティ施策というよりも、「基本を確実に実行すること」に近いものです。しかし、端末数が多く、医療機器や外部ベンダーとの接続が複雑な病院環境においては、手作業だけで管理を続けることは現実的とは言えません。エンドポイント管理ソリューションの導入により、資産管理やパッチ適用状況の監視を効率化することが可能です。

おすすめ
【コラム】IT資産管理とは？目的・必要性から管理ツールの機能・選び方までわかりやすく解説

サプライチェーン攻撃への備えは、“高度な対策”よりも“継続できる管理体制”にかかっています。

まとめ：病院のサイバー対策は“端末管理”から始まる

サプライチェーン攻撃は、特別な組織だけが狙われるものではありません。多くの外部ベンダーや医療機器、クラウドサービスと連携している医療機関は、その構造自体に的にリスクを抱えているからです。

厚生労働省のガイドラインでも示されている通り、外部委託先の管理やアクセス制御は、医療機関側の責任として求められています。インシデント発生時の迅速な復旧体制やバックアップの確保も重要です。しかし、これらの対策を実効あるものにするためには、前提として「端末が正しく管理されていること」が欠かせません。さらに重要なのは、そもそも侵入を許さない環境を構築することです。
「把握できていない端末」、「更新されていない機器」、「管理されていない外部接続」こうした“見えない隙間”こそが、サプライチェーン攻撃の入り口になります。
だからこそ、対策の第一歩は高度なセキュリティ製品の導入を優先するのではなく、まずは端末の可視化と継続的な管理体制の確立が大切です。
院内のすべての端末を把握し、更新状況を確認し、外部接続を統制する。この基本が徹底されていれば、サプライチェーン攻撃のリスクは大きく低減できます。

日々の診療業務に追われる中で、台帳の更新やパッチ状況の確認を人手だけで続けるのは現実的ではありません。だからこそ、端末情報や更新状況を一元的に把握できる環境を整え、無理なく継続できる管理体制を構築することが重要になります。
そのための選択肢の一つとして、ISM CloudOneのようなエンドポイント管理サービスがあります。インターネット接続環境があれば、院内外を問わず端末の状況を可視化し、更新状態を確認することも可能です。

大切なのは、完璧な対策を一度に目指すことではなく、「現場に負担をかけずに続けられる仕組み」を整えることです。医療提供体制を守るための第一歩として、まずは端末管理のあり方を見直すことから始めてみてはいかがでしょうか。