概要
令和8年3月19日付けの事務連絡（医薬局医療機器審査管理課・医薬安全対策課）が、医療機器に接続するVPN装置などのネットワーク機器について、サイバーセキュリティ対策の徹底を求めました。名宛人は都道府県を通じた関係事業者、つまり製造販売業者です。VPN（仮想的な専用回線を作る技術）装置の脆弱性や認証情報を悪用したランサムウェア被害が増えていることが背景です。求められる対応は、責任分界の確認、機器の点検、認証強化やアクセス制御の実施の3点です。医療機関側にも別途、医政局から再徹底の周知が行われています。
1. 背景と目的
1.1 増加するVPN経由のランサムウェア被害
近年、ランサムウェア（データを暗号化して身代金を要求する不正プログラム）によるサイバー攻撃が活発化しています。特にVPN装置を悪用した外部からの侵入が目立ちます。医療機関の情報システムが感染すると、保有データが暗号化され、電子カルテが使えなくなります。診療への支障や患者の個人情報の窃取といった甚大な被害につながる可能性があります。
1.2 医療機器に付属するネットワーク機器という盲点
医療機器そのものだけでなく、リモートメンテナンスに使うVPN装置などの付属機器も攻撃対象です。これらは製造販売業者が保守契約に基づき管理していることが多く、医療機関側から見えにくい存在です。この事務連絡は、医療機器メーカーが管理する付属ネットワーク機器のセキュリティに目を向けさせることを狙っています。
1.3 医療機関側への周知との連動
同日付けで、医療機関に対しても医政局医療情報担当参事官室から「VPN装置等のネットワーク機器におけるサイバーセキュリティ対策の再徹底について（周知依頼）」が発出されています。医療機関と製造販売業者の双方に同時に働きかける構図です。両者の連携が対策の前提になります。
2. 主要要件
2.1 責任分界の確認
第1に、リモートメンテナンスに使うVPN装置などの付属機器について、責任分界を明確にします。医療機器本体以外の機器であっても、保守契約等に基づき、医療機関との間で誰が何を管理するかを確認します。攻撃を受けたときに対応の主体が曖昧だと、初動が遅れます。契約上の切り分けを整理しておくことが求められます。
2.2 製造販売業者が管理する機器の点検
第2に、製造販売業者に管理責任がある機器について点検を行います。点検内容は具体的に示されています。ファームウェア（機器を制御する組み込みソフト）等のバージョンが最新であることを確認します。サポートが終了している機器が存在しないことも確認します。サポート終了が判明した場合は、その旨を医療機関へ情報提供します。医療機関と連携のうえ、機器更新などの適切な対応を行います。
2.3 認証強化とアクセス制御
第3に、VPN装置について具体的なセキュリティ対策を実施します。認証の強化、アクセス制御の実施、その他の適切な対策が挙げられています。脆弱性への対応だけでなく、認証情報の悪用を防ぐ観点が重視されています。攻撃者がVPNの認証を突破して内部へ侵入する経路を塞ぐ狙いです。
3. 実務対応
3.1 保守対象機器の棚卸し
まず、自社が保守する医療機器に付随するVPN装置やネットワーク機器を洗い出します。どの医療機関に、どの機器を、どの契約で提供しているかを一覧化します。棚卸しがなければ、バージョン点検もサポート状況の把握も始められません。
3.2 ファームウェアとサポート状況の点検フロー
洗い出した機器ごとに、ファームウェアのバージョンとサポート期限を確認します。サポート終了品が見つかった場合は、医療機関への情報提供と更新提案をセットで進めます。この点検は一度きりではなく、継続的に回す運用にしておくことが望まれます。攻撃手法も脆弱性情報も日々更新されるためです。
3.3 外部の注意喚起情報の参照
内閣官房国家サイバー統括室から、令和8年2月18日付けで医療セプター（医療分野の情報共有・分析組織）や重要インフラ事業者等に対し、VPN装置に起因するランサムウェア被害の増加について注意喚起が行われています。対応にあたっては、こうした外部情報も適宜参照します。行政や関連機関から発信される脆弱性情報を、自社の点検基準へ取り込む姿勢が有効です。
まとめ
今回の事務連絡では、医療機器に接続するVPN装置などのネットワーク機器に対するサイバーセキュリティ対策として、責任分界の確認、機器の点検、認証強化・アクセス制御の実施が製造販売業者に求められています。ランサムウェア被害の増加を踏まえ、保守対象機器の棚卸しやファームウェアの更新状況、サポート期限の確認を継続的に行う体制の構築が重要です。
一方で、実際の運用では「医療機関との責任分界をどのように整理すべきか」「保守契約の内容は十分か」「既存のVPN装置が現在のセキュリティ要件を満たしているか」など、製造販売業者ごとに判断が難しいケースも少なくありません。通知の内容を正しく理解し、自社の保守・品質保証・市販後安全管理体制へ適切に反映させることが求められます。
弊社（一般社団法人薬事支援機構）では、医療機器メーカー・製造販売業者向けに、医療機器のサイバーセキュリティ対応に関する規制・通知の解釈、QMSを踏まえた運用体制の整備、各種薬事対応まで幅広く支援しています。VPN装置を含むネットワーク機器の管理体制や通知への対応方法でお困りの際は、お気軽に弊社へお問い合わせください。
