医療機関のサイバーセキュリティ対策とホームページ：院長が押さえたい基本

医療機関のサイバーセキュリティに、なぜホームページも関係するのか

院内の電子カルテは、多くの場合、外のインターネットとは切り離されたり、限られた経路だけでつながったりするように作られています。一方でホームページは、誰でも、いつでも、世界中から見られるように公開されているものです。言い換えると、ホームページは「鍵をかけずに玄関を開けておくこと」が前提の建物のようなもので、だからこそ建物そのものの傷みや古さに気を配る必要があります。

ホームページは、レンタルサーバーと呼ばれる貸し倉庫のような場所に置かれ、その中でPHP（ホームページを動かすためのプログラムの土台）やWordPress（ページを更新するための仕組み）といった部品が動いています。これらの部品は時間がたつと弱点が見つかり、作り手が修正版を出します。修正版に入れ替えないまま放っておくと、外から悪用されるおそれが残ります。

たとえば2026年10月には、PHPの開発チームが深刻な弱点2件の修正を予告し、IPA（情報処理推進機構）の注意喚起（2026年10月21日）が出されました。外部からサーバーを操られるおそれがある種類のもので、弱点はWordPressではなくPHP本体にあるため、WordPressを新しくしていてもPHPが古ければ対象になり得ます。詳しい経緯は2026年10月のPHPの脆弱性についての記事でまとめています。

厚生労働省のガイドラインとの向き合い方

医療機関の情報の守り方については、厚生労働省が「医療情報システムの安全管理に関するガイドライン」を公開しています。院内の情報システムをどう管理するか、誰が責任を持つか、困ったときにどう動くかなど、医療機関が考えておきたいことがまとめられた手引きです。

このガイドラインは内容が見直されることがあり、どの範囲がどの医療機関にどこまで求められるかは、版や医院の状況によって読み方が変わります。この記事ではその解釈には立ち入らず、ホームページの管理を考えるときの入口として、ガイドラインの存在を知っておくという位置づけで紹介します。

• 情報の守り方を「担当者まかせ」にせず、医院として誰が見るかを決めておくという考え方
• 外部の会社に任せている部分も、何を任せているのかを把握しておくという考え方
• 何か起きたときの連絡先や手順を、あらかじめ決めておくという考え方

こうした考え方は、ホームページの管理にもそのまま当てはまります。ただし、ご自身の医院で具体的に何をどこまで行うべきかは、ガイドラインの本文や関係機関の案内で確かめていただくのが確実です。詳しくは厚生労働省が公開している現行のガイドラインをご確認ください。

クリニックのホームページで起きやすいこと

では、ホームページではどのようなことが起きやすいのでしょうか。よく伺うお話をもとに、代表的なものを表にまとめました。どれも「見た目では気づきにくい」ことが共通しています。

書き換えや転送は、院内のパソコンで見ると普段どおりに表示されることもあります。そのため「うちは大丈夫そう」と感じていても、実は対応が必要な状態だった、ということも珍しくありません。気になるサインの見分け方は乗っ取りを確認する方法の記事でご紹介しています。

院内でできる基本の備え

専門知識がなくても、院長や事務長が押さえておけることはあります。大がかりな作業ではなく、「知っておく」「決めておく」ことが中心です。次の順番で進めると整理しやすくなります。

1. ホームページの関係者を書き出すホームページを作った会社、今更新している人、レンタルサーバーの契約者、ドメイン（ホームページの住所）の契約者を紙1枚に書き出します。分からない欄があること自体が、大切な発見です。
2. 管理画面の入り方を確認するレンタルサーバーやWordPressの管理画面に、医院として入れる状態かを確かめます。パスワードは院内で決めた方法で保管し、退職したスタッフが使っていたものは変えておきます。
3. 部品の古さを確かめるPHPやWordPressのバージョンが古いままになっていないかを、管理画面や制作会社への問い合わせで確かめます。2026年10月のPHPの件では、修正版は8.5.12、8.4.27、8.3.36、8.2.35です。8.1以前は公式の修正版がありません。
4. バックアップの有無を確かめるホームページの中身の控え（バックアップ）がどこに、いつの時点のものがあるかを確認します。何かあったときに元に戻せるかどうかは、ここで決まります。
5. 困ったときの連絡先を決めるホームページがおかしいと気づいたとき、誰が、どこへ連絡するかを決め、院内で共有しておきます。夜間や休診日の連絡先も決めておくと安心です。

PHPのバージョンの見方はPHPのバージョンを確認する方法で、画面の場所を含めて詳しくご紹介しています。多くのレンタルサーバーでは、PHPのバージョンは契約者が管理画面で選ぶ仕組みになっています。

これらの手順は、一度にすべて終わらせる必要はありません。たとえば今月は関係者の書き出し、来月は管理画面の確認というように、少しずつ進めても十分に意味があります。大切なのは、医院として「どこまで分かっていて、どこが分からないか」を言える状態にしておくことです。分からない部分がはっきりすれば、外の専門家に相談するときも話が早く進みます。

「誰が何を見ているか」を表にしておく

医院のホームページは、制作会社、レンタルサーバー会社、更新を担当するスタッフなど、複数の人や会社が少しずつ関わっていることが多いものです。その結果、「全員が、誰かが見ているだろう」と思い込んでいる隙間ができやすくなります。次のような表を作っておくと、隙間が見えるようになります。

担当の欄が「不明」になった項目は、今の制作会社に確認するのが近道です。連絡が取れない場合の進め方は制作会社と連絡が取れない時の対処法を参考にしてください。表は一度作ったら終わりではなく、契約の更新やスタッフの交代のたびに見直すと、いつでも現状が分かる状態を保てます。

外の専門家の力を借りるときの考え方

ここまでの内容を院内だけで進めるのは、日々の診療を抱える中では負担が大きいかもしれません。外の専門家に頼る場合は、「何を任せ、何を医院が把握しておくか」を分けて考えるのがおすすめです。任せる部分が増えても、関係者の一覧と連絡先だけは医院の手元に置いておきましょう。

• 定期的に部品の古さを確かめ、更新まで行ってくれるか
• 何か起きたとき、夜間や休診日でも連絡を受け付けてくれるか
• 担当者が決まっていて、医院の事情を分かったうえで相談できるか
• 今の制作会社との契約を変えずに、足りない部分だけ補えるか

HPドクターは、クリニック向けのホームページ保守サービスです。月額10,000円〜30,000円（税別）、初期費用0円の担当制で、緊急時は24時間受け付けています。今の制作会社との契約はそのままで、足りない部分を補う形でもご利用いただけます。まずは無料の自動診断で今の状態をつかみ、気になる点があれば専門家による無料のセカンドオピニオンをご活用ください。