介護施設のセキュリティ対策|今日からできる5つとチェックリスト

介護の現場も、サイバー被害と無関係ではありません
2026年の脅威ランキングも、1位はランサム攻撃
今日からできる、介護施設のセキュリティ対策5つ
コピーして使える、介護施設のセキュリティチェックリスト
よくある質問
まとめ: 今日やるのは、1つだけ
参考資料(2026年10月16日に確認)

介護の現場も、サイバー被害と無関係ではありません

介護施設は、利用者さんの氏名・心身の状況・ご家族の連絡先といった、とても重い個人情報を、毎日パソコンや記録システムで扱っています。ここが止まれば、記録の確認も、申し送りも、請求の準備も止まります。

警察庁が2026年9月に公表した資料によると、2026年上半期のランサムウェア(データを暗号化して身代金を要求する攻撃)の被害報告は123件で、2020年下半期以降の半期ごとの集計で最も多くなりました。このうち79件、約64%が中小企業です(警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」)。介護事業所の多くも中小規模なので、「うちは小さいから狙われない」とは言いにくい状況です。

この記事では、情報システムの専門家でなくても、今日から現場でできる5つの対策と、そのまま使えるチェックリストをまとめます。

2026年の脅威ランキングも、1位はランサム攻撃

IPA(情報処理推進機構)が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」で、組織向けの1位は「ランサム攻撃による被害」でした(IPA)。上位5位を、介護の現場に置き換えてみます。

順位	脅威(IPAの表記)	現場に置き換えると(例)
1	ランサム攻撃による被害	記録ソフトや共有フォルダのデータが暗号化され、開けなくなる
2	サプライチェーンや委託先を狙った攻撃	記録ソフトの会社や保守業者、取引先を経由して入り込まれる
3	AIの利用をめぐるサイバーリスク	利用者さんの情報を、確認なしに生成AIへ入力してしまう
4	システムの脆弱性を悪用した攻撃	古いOSやルーター、更新していない機器から入られる
5	機密情報を狙った標的型攻撃	事業所宛てを装ったメールの添付ファイルを開いてしまう

右の列は、筆者による「例」です。実際の被害事例ではありません。

警察の資料では、被害の原因として「機器のID・パスワードが非常に安易だった」「不必要なアカウントが適切に管理されていなかった」ことが挙げられ、バックアップはオフライン環境での保管が求められています(栃木県警察の資料)。資料が挙げる原因は、どれも基本的な管理の話です。

今日からできる、介護施設のセキュリティ対策5つ

全部を一度にやる必要はありません。上から順に、できるところからで大丈夫です。

パスワードは「初期値のままにしない・共有しない」

警察の資料が原因に挙げていたのは、機器のID・パスワードが安易だったことと、不要なアカウントを管理していなかったことです。

ルーター・記録ソフト・共有パソコンの初期パスワードを変える
「全員同じID」をやめて、職員ごとのIDに分ける(誰がいつ見たか分からなくならないように)
退職者や実習生のアカウントを消す

OSと機器の「更新」を後回しにしない

IPAの組織向け脅威ランキングで、「システムの脆弱性を悪用した攻撃」は4位でした。更新は、穴を塞ぐ作業です。

Windowsやソフトの更新を、止めたままにしない
ルーターやVPN機器のファームウェアを、業者に確認して最新にする
メーカーのサポートが終わったパソコンや機器を、使い続けない

メールの添付とURLは、開く前に1回止まる

標的型攻撃は5位、ビジネスメール詐欺は10位でした。どちらも、メールが入り口になります。

送信元のメールアドレスを、表示名だけでなく最後まで見る
「至急」「請求書」「アカウント停止」といった急かす文面は、特に立ち止まる
少しでも変だと思ったら、メールを開かずに、管理者や業者に電話で確認する

バックアップは、ネットにつながらない場所にも1つ取る

警察の資料でも、オフライン環境でのバックアップ保管が求められていました。つながったままのバックアップは、一緒に暗号化されてしまうことがあるからです。

記録・請求のデータを、定期的に外付けの保存先へコピーし、コピーが終わったら取り外して保管する
「データがちゃんと戻せるか」を、一度試しておく

業者と相談先の連絡先を、紙で1枚にしておく

「サプライチェーンや委託先を狙った攻撃」は2位でした。いざという時に、誰に連絡するかが分からないと、最初の一手が遅れます。

記録ソフトの会社、保守業者、ネット回線の業者、施設長や法人本部の連絡先を、印刷して置いておく(パソコンが開けないときにも見られるように)
相談先として、都道府県の「介護生産性向上総合センター」等で、セキュリティも含めて相談できる体制が、調査報告書で提言されています。対応はセンターごとに異なるため、まずは問い合わせて確かめてください(介護情報基盤の運用に向けた調査報告書)

おまけ: 生成AIを使うときの線引き

IPAのランキングで「AIの利用をめぐるサイバーリスク」は3位でした。記録の文章を整えるのにAIを使うなら、利用者さんの氏名・生年月日・病名など、個人を特定できる情報は入れない。まずこれだけ決めておきましょう。主なAIサービスの個人情報の扱いは、ChatGPT・Claude・Gemini、個人情報を扱うなら安全なのは？で比べています。

コピーして使える、介護施設のセキュリティチェックリスト

上の5つを、そのまま確認できる形にしました。印刷して、ユニット会議や管理者の見回りで使ってください。分からない項目は、空欄のままで構いません。それが、最初に業者へ聞くことになります。

パスワード・アカウント

☐ ルーター・記録ソフト・共有パソコンの初期パスワードを変えている
☐ 「全員同じID」を使っていない(職員ごとのIDになっている)
☐ 退職者・実習生・不要になったアカウントを消している

更新

☐ Windowsやソフトの更新を、止めたままにしていない
☐ ルーター・VPN機器のファームウェアが最新か、業者に確認した
☐ サポートが終わったパソコン・機器を使っていない

メール

☐ 送信元のアドレスを最後まで確認する習慣がある
☐ 「至急」「請求書」「アカウント停止」のメールは、開かずに電話で確認すると決めている
☐ 「変だ」と思ったメールを見せる相手(管理者)が決まっている

バックアップ

☐ 記録・請求データのコピーを、ネットにつながない場所にも持っている
☐ データを戻せるか、一度試したことがある

連絡先・相談先

☐ 記録ソフトの会社・保守業者・ネット回線の業者・法人本部の連絡先を、紙で用意している
☐ 電話する順番を、職員全員が知っている
☐ 都道府県の介護生産性向上総合センター等に、セキュリティの相談ができるか問い合わせた

生成AI

☐ 利用者さんの氏名・生年月日・病名などは、AIに入力しないと決めている

もう少し詳しく見たい方は、IPAが公開している「5分でできる!情報セキュリティ自社診断」もおすすめです。中小企業向けのガイドライン第4.0版(2026年3月27日公開)の付録3として載っていて、2026年4月21日にはExcel版も公開されました(IPA「中小企業の情報セキュリティ対策ガイドライン」)。