病院のUSB持ち込みはなぜ危険？厚生労働省ガイドラインが求める外部媒体制限とマルウェア対策の具体策

厚生労働省ガイドラインとセキュリティチェックリストが求める「USB対策」

持ち込みUSBや外部からの持ち込みPCに対するマルウェア対策は、今や「やったほうが良いこと」ではなく、公的機関が明記する「必須の遵守事項」となっています。厚生労働省が発行している各種ガイドラインやチェックリストの内容を確認してみましょう。

「医療情報システムの安全管理に関するガイドライン 第7.0版」の要求事項

厚生労働省が定める同ガイドラインの「システム運用編」では、情報セキュリティの観点から厳格な運用が求められています。 具体的には、
システムの構築時、適切に管理されていない外部記録媒体の使用時、外部からの情報受領時（データ）を受領する際には、「コンピュータウイルス等のマルウェアが混入していないか確認すること」
が明確に定められています。

持ち出し・持ち込み制限と運用管理の徹底

同ガイドラインでは、外部記録媒体や情報機器の持ち出し・持ち込みに関する手順の策定を強く推奨しています。 データの暗号化やアクセスパスワードの設定、利用者の台帳管理はもちろんのこと、
サーバルームなどの「セキュリティ境界（管理区域）」への可搬型記録媒体の持ち込み制限
が明記されています。誰でも自由にUSBを挿せる環境は、ガイドライン違反とも言える脆弱な状態なのです。

「医療機関におけるサイバーセキュリティ対策チェックリスト（令和7年度版）」による厳格化

さらに、医療機関が優先的に取り組むべき事項をまとめた最新の「医療機関におけるサイバーセキュリティ対策チェックリスト」でも、USB対策は明確に問われています。 同リストの項目「2-⑨」では、

「USBストレージ等の外部記録媒体や情報機器に対して接続を制限しているか」

がチェック項目として挙げられています。このチェックリストは、医療法に基づく立入検査（第三者確認）の際にも確認されるものであり、「制限していない」「把握していない」という回答は、病院のセキュリティ管理体制が不十分であることを意味します。

これらの公的基準が示す通り、病院におけるUSBや外部記録媒体の運用は、制限をかけ、かつ確実にマルウェア検査を実施できる仕組みを整えることが急務なのです。

病院における「USB・可搬媒体運用」の3つの落とし穴

ガイドラインの重要性を理解し、すでに「USBの持ち込み禁止ルール」を定めている病院も多いでしょう。しかし、実際の医療現場では、対策が形骸化しているケースが散見されます。ここでは、多くの病院が陥りがちな3つの落とし穴を指摘します。

落とし穴1：職員の善意に頼った「ルールだけの規制」（シャドーIT化）

「私物USBの持ち込みは禁止」「使用時は台帳に記入する」といった就業規則や運用ルールを設けていても、システム的な制御（制限）が伴っていなければ効果は半減します。 「急いでデータを移したい」「台帳記入が面倒」という理由で、こっそり私物のUSBメモリが電子カルテ端末に接続されるケースも起こっています。さらに、ガイドラインが求める「可搬媒体の定期的な棚卸し」も手動運用では限界があり、システム管理者が把握しきれないデバイスが院内で勝手に使われる「シャドーIT」の危険な温床となります。

落とし穴2：ウイルス対策ソフトを入れているから大丈夫という過信

「各PCにウイルス対策ソフト（アンチウイルス）を入れているから、マルウェア対策はできている」という過信も危険です。 従来のウイルス対策ソフトは、既に世に出回っている「既知のウイルス」のパターンファイルと照合して防御する仕組みが主流です。しかし、日々進化する未知のランサムウェアには対応しきれない場合があります。実際にガイドラインでも、ソフトの導入だけで満足せず、EDR（Endpoint Detection and Response）等の「振る舞い検知」機能の活用や、最新パッチの迅速な適用など、多層的な防衛を求めています

「古いOSのまま稼働している検査機器」や「アップデートが適用されていない端末」にUSBが接続された瞬間、セキュリティの網をすり抜けて一瞬で感染が拡大してしまいます。

落とし穴3：業者や持ち込みPCによる、管理区域への不用意な接続

医療機器メーカーの保守業者や、外部から派遣された医師が持ち込むノートPCなども大きなリスクです。
これらの端末は、病院側のセキュリティ統制下（Active Directory等の管理下）にないことが多く、自宅や他院でマルウェアに感染したまま院内に持ち込まれるリスクがあります。 そうした端末が、サーバルームや電子カルテ端末と同等のネットワークに不用意に接続されることは、まさに「トロイの木馬」を城内に招き入れる行為に他なりません。

解決策：ガイドラインに準拠した検疫と制限を自動化する「PC検疫 けんちくん®」

ここまで解説した通り、「ルールによる縛り」や「既存のウイルス対策ソフトへの依存」だけでは、病院のシステムを守り切ることはできません。必要なのは、人間の善意や記憶に頼らない「システムによる物理的な接続制限と自動検疫」です。

この医療機関特有の課題をスマートかつ確実に解決するシステムが、システムサポートが提供する「PC検疫 けんちくん®」です。

「PC検疫 けんちくん®」とは？

「PC検疫 けんちくん®」は、病院内に持ち込まれた外部PCや、接続されようとするUSBメモリ等の外部記録媒体に対して、院内の基幹ネットワーク（電子カルテ網など）へ接続・使用する「前」に、オフライン環境で安全性をチェックする水際対策システムです。

持ち込みPCに対しては、専用USBを挿すだけで「セキュリティ対策（OSパッチ、ウイルス対策ソフトの稼働等）が病院の基準を満たしているか」を数十秒で判定。USB等の記憶媒体に対しては、本体内蔵の対策エンジンでウイルスを検知・駆除し、電子カルテ網へのマルウェア侵入を物理的に遮断（水際対策）します。

病院が「PC検疫 けんちくん®」を導入する3つのメリット

① 厚労省ガイドラインやチェックリストの要件を確実にクリア

厚生労働省が求める「外部記録媒体の接続制限」や「持ち込み機器の安全確認」といった厳しい医療セキュリティ要件に対し、形骸化しやすい紙の管理台帳ではなく、システムを用いた確実な「水際対策」を実現します。これにより、サイバーセキュリティ対策チェックリスト（体制確保の項目など）にも自信を持って「対応済み」と回答・証明できるようになります。

② 医療スタッフやベンダーに負担をかけない「QRコード」による簡単操作

医療現場は常に多忙であり、複雑な操作は形骸化の元です。「PC検疫 けんちくん®」は、持ち込みPCに専用USBを挿し、画面に表示されたQRコードをリーダーで読み取るだけ（※特許取得済技術）。

事前ソフトのインストールは一切不要（完全エージェントレス）で、ITの専門知識がない医療スタッフや守衛、外部ベンダーでも数十秒で判定を完了できます。

③ インシデント発生時にも迅速な原因特定が可能なログの一元管理

万が一、院内で不審な挙動が検知された場合でも、「いつ・誰が・どの端末（またはUSBメディア）を検査し、結果がどうだったか」という改ざん不可能な客観的ログがシステムに自動蓄積されています。自己申告によるチェック漏れをなくし、監査時にはログレポートを提出するだけで運用の健全性を一発で証明できます。

【詳細・お問い合わせはこちら】
持ち込み端末・USB対策にお悩みのシステム管理者様、病院経営者様は、ぜひ以下のサービスサイトから詳細をご確認ください。
▶ 「PC検疫 けんちくん®」サービスサイト

まとめ：患者の命と医療情報を守るために、今すぐ確実な検疫体制を

高度化するランサムウェア攻撃から病院を守るためには、インターネットの出入り口を監視するだけでなく、院内という「内側の死角」を塞ぐことが不可欠です。

もはや、職員への注意喚起や運用ルールだけで持ち込みUSBや外部PCの脅威を防ぐことはできません。これからの医療機関に求められているのは、「ルールからシステムの自動制御への移行」です。

厚生労働省の「医療情報システムの安全管理に関するガイドライン」および「サイバーセキュリティ対策チェックリスト」に準拠することは、単なるコンプライアンス対応ではなく、患者の命と大切な医療情報を守るための絶対条件です。

サイバーセキュリティの「最後の砦」を物理的・システム的に守り抜くために。まずは確実なPC検疫・USB接続制限を実現する「PC検疫 けんちくん®」の導入検討から、強固な医療情報セキュリティへの第一歩を踏み出してみてはいかがでしょうか。