サイバー攻撃が医療を止める日——人工呼吸器の先にある「いのち」を、誰が守るのか

夜中の3時、人工呼吸器のアラームが鳴る。在宅で暮らす重度障害のある人にとって、それは日常の一コマだ。家族やヘルパーが駆けつけ、チューブを確認し、モニターの数値を読む。その一連の動作の裏側で、いま静かに広がっているリスクがある。——サイバー攻撃だ。

病院の電子カルテが止まる。人工呼吸器の遠隔モニタリングが途切れる。電動車椅子の制御ソフトに脆弱性が見つかる。こうした事態は、もはやSF映画の話ではない。医療機器がネットワークにつながることで生活の質が上がった人ほど、「つながりが断たれたとき」のダメージは大きい。とりわけ、日常的に医療機器と共に生きる障害のある人や難病患者にとって、サイバーセキュリティは文字どおり「命綱の問題」だ。

厚生労働省が2024年度に策定を進めている「医療機器におけるSBOM導入・運用ガイドライン案」と、デジタル庁が開催する医療DXセミナーの議論を手がかりに、この問題を「制度」と「暮らし」の両面から考えたい。

1. 医療機関へのサイバー攻撃——「30%増」の数字が意味するもの
2. SBOMとは何か——「部品表」が命を守る仕組み
3. 医療DXの光と影——「便利になる人」と「取り残される人」
4. 「オフラインの備え」を制度に組み込む
5. 小さな希望——「想定する」ことから始まる

医療機関へのサイバー攻撃——「30%増」の数字が意味するもの

近年、医療機関を標的としたサイバー攻撃は急増している。厚生労働省や警察庁の公表資料によれば、国内の医療機関におけるランサムウェア被害の報告件数はここ数年で顕著に増加しており、2022年度には複数の大規模病院で電子カルテシステムが数週間にわたり停止する事態が発生した。大阪急性期・総合医療センターの事例では、約2か月間にわたって通常診療が制限され、救急搬送の受け入れにも影響が出た。

この「2か月」という数字を、ある人の暮らしに置き換えてみてほしい。たとえば、週3回の人工透析を受けている腎不全の患者。あるいは、定期的な呼吸器の設定変更が必要なALS（筋萎縮性側索硬化症）の当事者。彼らにとって、かかりつけ病院のシステムが2か月止まるということは、命を預ける先が突然消えるのに等しい。

さらに見落とされがちなのは、攻撃の影響が「病院の中」だけで完結しないことだ。在宅医療の現場では、クラウド型の遠隔モニタリングシステムが普及しつつある。患者のバイタルデータがリアルタイムで医療機関に送られ、異常があればすぐに対応できる仕組みだ。しかし、このネットワークが攻撃を受ければ、在宅で暮らす障害のある人の「見守りの目」が一瞬にして失われる。病院に行けない人ほど、オンラインの安全に依存しているという逆説がここにある。

SBOMとは何か——「部品表」が命を守る仕組み

厚生労働省が導入を推進しているSBOM（Software Bill of Materials：ソフトウェア部品表）は、医療機器に組み込まれたソフトウェアの構成要素をすべてリスト化し、可視化する仕組みだ。たとえるなら、食品の「原材料表示」のソフトウェア版と考えるとわかりやすい。

なぜこれが重要なのか。現代の医療機器——人工呼吸器、輸液ポンプ、植込み型心臓ペースメーカー、電動車椅子の制御システム——には、数十から数百のソフトウェア部品（オープンソースライブラリなど）が使われている。そのうちのひとつにでも脆弱性が見つかれば、攻撃者はそこを突破口にできる。しかし、これまで多くの医療機器メーカーは、自社製品にどのソフトウェア部品が使われているかを網羅的に把握できていなかった。

SBOMが整備されれば、ある脆弱性が公表されたとき、「この脆弱性は、どの医療機器に影響するのか」を即座に特定できるようになる。パッチ（修正プログラム）の適用も迅速化される。米国ではFDA（食品医薬品局）が2023年にSBOMの提出を医療機器の承認要件に組み込んでおり、日本のガイドライン案もこの国際的な流れに沿ったものだ。

ただし、現場への導入には課題もある。中小の医療機器メーカーにとって、SBOMの作成・維持にかかるコストは決して小さくない。業界団体の試算では、初期導入に数百万円、継続的な運用に年間数十万円から数百万円の費用がかかるとされる。このコストを誰が負担するのか——メーカーか、医療機関か、それとも公的な補助で支えるのか。制度設計の段階で、この問いに答えを出す必要がある。

医療DXの光と影——「便利になる人」と「取り残される人」

デジタル庁が主催する医療DXセミナーでは、電子カルテの標準化やオンライン診療の拡充など、医療のデジタル化がもたらす恩恵が語られている。確かに、障害のある人にとってデジタル化の恩恵は大きい。通院が困難な人がオンラインで診察を受けられること、服薬情報がクラウドで一元管理されること、リハビリの進捗がデータで可視化されること——これらはすべて、生活の質を底上げする力を持っている。

しかし、ここで立ち止まって考えたいことがある。デジタル化が進めば進むほど、「デジタルが止まったとき」の被害は大きくなるということだ。そして、その被害を最も深刻に受けるのは、代替手段を持ちにくい人たちだ。

視覚障害のある人が音声読み上げソフトを通じて電子処方データを確認している場合、システム障害が起きれば情報へのアクセス自体が断たれる。知的障害のある人が、支援者と共有しているクラウド上の健康管理記録にアクセスできなくなれば、日々の体調変化を伝える手段が失われる。身体障害のある人が電動車椅子のファームウェア更新中に不具合が生じれば、移動そのものが止まる。

つまり、医療DXの推進とサイバーセキュリティの強化は、表裏一体の課題なのだ。そしてその「裏」の部分——攻撃を受けたとき、システムが落ちたとき、どうやって命を守るか——について、障害当事者の視点から議論されている場面は、まだあまりにも少ない。

「オフラインの備え」を制度に組み込む

では、私たちに何ができるのか。いくつかの方向性を提案したい。

第一に、医療機関のBCP（事業継続計画）に「障害のある患者への個別対応」を明記すること。現在、多くの病院がサイバー攻撃を想定したBCPを策定し始めているが、その内容は「電子カルテが使えない場合の紙カルテ運用」など、一般的な対応にとどまっていることが多い。人工呼吸器や吸引器を使う在宅患者との連携手順、代替通信手段（FAX、衛星電話など）の確保、福祉避難所との連携といった、障害特性に応じた具体的な手順を盛り込む必要がある。

第二に、SBOMガイドラインの策定プロセスに当事者の声を反映させること。現在のガイドライン案は、主に医療機器メーカーと医療機関を対象としたものだ。しかし、最終的にそのリスクを身体で引き受けるのは、機器を使って暮らしている当事者本人だ。「私たちのことを、私たち抜きに決めないで（Nothing About Us Without Us）」の原則は、サイバーセキュリティの分野でも貫かれるべきだ。

第三に、在宅で医療機器を使う人への「オフライン・キット」の整備と公的支援。停電時のバッテリー確保は災害対策として進んできたが、サイバー攻撃によるネットワーク遮断を想定した備えはほとんど議論されていない。遠隔モニタリングが途切れた場合の手動モニタリング手順書、緊急連絡先のアナログ版リスト、最低限のオフライン動作が保証された機器の選定基準など、「デジタルが止まっても命は止めない」ための具体策が必要だ。