第221回国会の発言まとめ

ありがとうございます。 　生成ＡＩなど技術も進化する、サイバー攻撃の方法も日々進化していくという中で、ガイドラインについても不断の見直しを行っていくということを御答弁いただき、ありがとうございました。 　元々、前回の改定というのは、振り返ってみると、三年前、二〇二三年だったわけです。お話にもあったような技術の進化のスピードというのを考えると、数年に一度改定するというのでは、技術の進歩に対して、ガイドラインのアップデート、対応が追いつかないのではないかと考えます。 　ここでお伺いいたしますが、ガイドラインの改定が必要であると判断されてから、実際にそこから改定に向けた検討をスタートして、作業部会を設置してというような作業を行われると思いますけれども、ガイドラインが必要であるというふうに厚労省で判断をされてから、実際に改定版のガイドラインができ上がって、発出されるまでというところにはどの程

お答え申し上げます。 　このガイドラインにつきましてでございますけれども、ガイドラインの改定に要する期間ということでございますが、改定の規模、それから内容によってその期間については異なりますけれども、例えば、直近の五・二版から六・〇版への改定の際には、改定作業班の立ち上げから発出まで約十か月を要したという状況でございます。 　本ガイドラインの改定の際には、医療機関への浸透にも一定の時間や負担がかかることもありまして、新たな脅威が発生する都度、短時間で部分的に改定を行うというようなことは想定をしておりませんけれども、今回の事案につきまして、これは関係省庁とも連携しながら、想定される課題や課題に対応する施策、これを整理しながら速やかに適切に対応していきたいというふうに考えております。

ありがとうございます。 　ガイドラインというのは、位置づけとしてもこれはやはり重みがあったりとか、おっしゃるように医療機関にある程度周知期間を持ちたいというところなので、若干ハードルが高いというところは承知をいたしました。 　ただ、とはいえ、クロード・ミュトスのような大きな脅威ですとか大きな変化があった際には、必ずしもガイドラインによらないような形、ＱアンドＡであるとか事務連絡、通知のような形で注意喚起を促すような仕組みも必要なのではないかと思います。例えば、ガイドラインについても部分改定のようなやり方であるとか、また、ガイドラインの改定にとどまらない、医療機関に対する周知や注意喚起といったものも行うべきではないかと思いますけれども、今回のミュトスの事案に対応して、そういったものを行う予定はありますでしょうか。

お答えを申し上げます。 　御指摘のとおり、ガイドラインにつきましては、一定の期間を今、五・二版から六・〇版に関しては十か月という時間をかけておりますけれども、その都度都度、脅威の内容、それから課題として挙がったようなものの内容に応じて適切に、一部注意喚起で流したり、また、速やかな改定を行うといったようなことも必要だというふうに考えておるところでございます。 　御指摘のミュトスの件でございますけれども、これにつきましても、発生した事案ですとか、それから分析の結果といったものを分析した上で、各医療機関において実行可能な対策、これを検討するということが非常に重要だと考えておりまして、その際についてはしっかり対応していきたいというふうに考えておるところでございます。

ありがとうございます。 　ちょっと話が戻るんですけれども、改定について、通常ですと、通常ですとというか、前回ベースでいくと十か月近くかかるというのは、結構、周知期間を別に取るにしても、時間がかかるなというふうに認識しているんですけれども、この十か月、厚労省が改定した方がいいんじゃないかというふうに決めてから実際に改定が行われるまで、具体的にはどのようなプロセスがあるかということについて、お答えできる範囲で教えていただけますか。

様々なケースがございます。基本的には、サイバーセキュリティーに対する課題として私どもが認識をしたもの、例えば、医療機関に対するサイバー攻撃といったことがあり、それを私どもが情報として受け取り、そしてそれを分析したところ、やはり医療機関全体にしっかりとした対策を求める必要があるということで認識したような場合、これにつきましては、その認識をもって、今のサイバーセキュリティーのガイドラインを見直した上に出すというような段取りを踏んでおる、段取りといいますか、手続というか流れを取っておるというところでございます。

ありがとうございます。 　これは私が想定していた回答とちょっと違ったんですけれども、私が厚生労働省の方に話を聞いたときに出てきたお話というのが、ガイドラインの改定に当たっては調達をする必要がある、ガイドラインに向けた作業部会の運営であったりとか、資料の原案作りであったりとか、そういったところというのは、一部、事業者に委託のようなことをしていると。そういったことなので、やはりその調達のための様式を作って、それを調達して、引き受けてもらってというようなこともあるので、必ずしも厚労省の中で全てが完結しているわけじゃないからちょっと時間がかかっているというような話もございましたので。 　私は、厚生労働省全体として、もっとサイバーセキュリティー対策に対して人だとかお金だとかをつけた方がいいと思っておりますので、そういった体制の強化も含めて、中長期的には検討をいただければと思います。 　次の質問

お答え申し上げます。 　議員が御指摘された、様々進化する新たな技術というところでございますけれども、その導入の必要性というものにつきましては、新たな技術が出てきますので、どんどん私どもとしても不断に検討していく必要があるというふうに考えております。 　私どもの厚生労働省においてまとめております医療情報システムに関する安全管理ガイドライン、この策定においては、医療機関への周知に加え、過去に医療機関において発生したランサムウェア感染の事案などを踏まえつつ、医療機関の管理者が遵守すべき事項として、サイバーセキュリティーの確保のために必要な措置の省令への位置づけですとか、医療法に基づく医療機関への立入検査の要綱へのサイバーセキュリティー確保のための取組状況の位置づけなどの対応を行っておるところでございます。 　一方で、各医療機関では、その有する医療機能等を踏まえた情報システムが構築をされてお

ありがとうございます。 　おっしゃるとおり、医療機関によって実情が様々違いますので、ガイドラインのような形で一律にというのではなくて、より実態調査などを踏まえつつ、個別に、特にリスクが高いところであるとかに対して対応していくというところについて、引き続き進めていただければと思います。 　次の質問に参ります。 　こうした、お話の中にもありましたけれども、医療機関が実際にランサムウェアの被害に遭うというようなケースも発生しております。そうしてくると、もちろん、医療機関のサイバーセキュリティー対策を強化していくということにはお金がかかる部分もございます。ただ、総合的に考えてみると、システム復旧費用ですとか、診療停止による損失、患者の情報漏えいへの対応費用といったものについて考えると、かえって対策をした方がためになるのではないかと思っております。こうした一件当たりのランサムウェアの被害規模に

お答え申し上げます。 　まず、被害の額の把握ということでございますけれども、厚生労働省として、現在、ランサムウェアによって被害を受けた病院の被害額ということについては把握をしておりません。