医療・介護現場のFAX・紙媒体と情報セキュリティー

1. 紙とFAXが残る構造：通信手段ではなく責任分界の問題

医療・介護現場でFAXが残る理由は、機械が古いからだけではありません。送信先が固定されている、到達確認がしやすい、相手のシステム仕様を知らなくても送れる、紙で保管・回覧・押印できる、という運用上の利点があります。特に多職種連携では、事業所ごとに使うソフト、権限、通信環境、担当者のICT習熟度が異なるため、最小公倍数として紙とFAXが残りやすくなります。

一方で、FAXは誤送信、読みにくさ、再入力、検索性の低さ、保管スペース、紛失、複製管理の難しさを抱えます。紙は安心に見えても、管理台帳がなければ誰がいつ何を見たか追跡しにくく、机上や複合機に置かれたままになる危険もあります。紙は安全、デジタルは危険という整理では不十分です。

重要なのは、媒体ごとにリスクを分けることです。FAXは送信前の宛先確認、送信後の到達確認、受信紙の回収、廃棄、保存場所が論点になります。メールやクラウド共有は、本人確認、アクセス権、リンク期限、端末管理、監査ログ、退職者アカウントの停止が論点になります。媒体を選ぶ前に、何を証跡として残すかを決める必要があります。

2. データ連携で減らすべきもの：PDF化ではなく転記と確認待ち

DXという言葉だけが先行すると、紙をPDFにする、FAXをメール添付にする、共有フォルダへ置く、という置き換えで終わりがちです。しかし業務改善として本当に減らしたいのは、同じ情報を何度も入力すること、受け取った情報を探すこと、最新版かどうかを確認すること、担当者へ届いたかを電話で追いかけることです。

ケアプランデータ連携標準仕様の考え方は、紙面を画像化することではなく、予定・実績・提供票などの情報を、相手システムが処理できるデータとして扱う方向です。CSVや標準仕様のような形式は地味ですが、転記ミス、確認待ち、再入力、ファイル名の揺れを減らす土台になります。

ただし標準仕様があっても、全事業所が同じ速度で移行するわけではありません。移行期には、紙、FAX、PDF、メール、クラウド、専用システムが併存します。だからこそ、どの情報は紙で受けてもよいか、どの情報は電子データでなければ困るか、どの情報は二重管理してはいけないかを、事業所内のルールとして明確にします。

3. PPAPを避ける：同じ経路で鍵を送らない

パスワード付きZIPをメールに添付し、直後に同じメール経路でパスワードを送る方法は、盗み見られる経路が同じであれば防御になりにくいという問題があります。攻撃者がメールボックスへ入っていれば、添付ファイルとパスワードの両方を読めます。さらに、添付ファイルはウイルス検査や内容確認を難しくする場合があります。

代替策は、相手の環境によって変わります。クラウド共有を使う場合は、リンクを知っている全員が見られる設定を避け、相手のアカウントを指定し、期限、閲覧権限、ダウンロード可否、監査ログを確認します。どうしてもメール添付を使う場合でも、パスワードは電話や既知の別経路で伝える、送信前に宛先を複数人で確認する、機微情報は最小限にする、といった運用が必要です。

医療・介護の情報は、送り間違えた後に取り戻しにくい情報です。便利さだけで共有方法を選ぶのではなく、送信先の本人性、アクセスできる期間、退職者の権限、転送の可否、削除後の扱いを確認します。情報共有はスピードよりも、誤送信を起こしにくい設計が優先されます。

1. 手書きの強み：本人の前で考えを形にできる

訪問面談では、パソコン画面へ視線が固定されると、本人や家族が話しづらくなることがあります。紙に短く図示しながら確認すると、支援者だけが入力している状態ではなく、本人と一緒に状況を整理している感覚が生まれます。介護保険の申請、サービス調整、退院後の生活準備のように、本人が全体像をつかみにくい場面では、紙の即時性が役に立ちます。

手書きは、予定表、関係図、緊急連絡先、服薬の流れ、生活動線、転倒しやすい場所など、文章にしにくい情報をすぐに表せます。情報が未整理の段階では、きれいな電子文書よりも、書き換えられるラフなメモの方が対話を進めやすいことがあります。

ただし、紙メモは正式記録そのものではありません。本人の発言、確認した事実、支援者の見立て、次回確認事項を区別し、必要な内容は速やかに業務システムや正式記録へ移します。手書きは判断の入口として使い、保存・共有・検索はデジタルで担う、という分担が現実的です。

2. 紙メモのリスク：紛失よりも「転記されないこと」が危ない

紙メモのリスクは、紛失だけではありません。メモに残した相談内容が正式記録へ移らない、担当者だけが意味を知っている、略語が多く後から読めない、緊急度が共有されない、という問題が起こり得ます。紙メモは便利ですが、事業所内で共有されなければ業務の属人化を強めます。

紙からデジタルへ移すときは、すべてを長文で入力する必要はありません。日時、誰から、何について、何を確認し、何が未確認で、次に誰が対応するかを残します。重要なのは、後から別の職員が読んでも最低限の判断ができることです。

廃棄も運用の一部です。個人情報が含まれる紙を普通ごみに捨てない、シュレッダーや溶解処理を使う、持ち出した紙は戻す、複合機周辺に置きっぱなしにしない。こうした単純な行動が、データ保護の土台になります。

3. 現場の分担ルール：紙は入口、データは正本

小規模事業所では、最初から完全電子化を目指すよりも、正本をどこに置くかを決める方が効果的です。正式記録は業務システム、暫定メモは面談ノート、共有資料は権限付きフォルダ、契約・同意文書は紙またはPDF、というように役割を分けます。

紙で受けた情報は、スキャンして終わりではありません。ファイル名、保存場所、検索キーワード、原本の扱い、廃棄時期を決めます。PDFが大量にあっても、どこに何があるか分からなければ、紙の山が電子の山に変わっただけです。

手書きを守ることと、紙に依存することは違います。本人との対話に役立つ紙は残し、転記ミスや確認待ちを生む紙は減らす。この区別が、介護現場に合った現実的なDXです。

1. 脅威モデル：暗号化だけでなく、窃取・恐喝・業務停止まで見る

現在のランサム攻撃は、ファイルを暗号化するだけとは限りません。攻撃者が先にデータを持ち出し、暗号化の解除と非公開を別々の材料にして圧力をかける「二重恐喝」や、暗号化せず窃取だけで脅すデータ恐喝も想定する必要があります。バックアップがあっても、個人情報の流出、取引先への波及、メールやクラウドIDの乗っ取りは残ります。

まず「何を失うと支援が止まるか」を業務から逆算します。利用者・家族の連絡先、ケアプランや支援記録、医療機関・事業所との連携情報、請求データ、メール、クラウドストレージ、認証アプリ、管理者ID、バックアップ管理画面が代表例です。システム名だけでなく、担当者、保存場所、委託先、管理者、復旧に必要な順序まで台帳化します。

RTO（目標復旧時間）は「何時間・何日以内に業務を戻すか」、RPO（目標復旧時点）は「どこまでのデータ消失を許容するか」です。たとえば緊急連絡は数時間、請求は数日というように業務別に決めます。全データを同じ優先度にすると、復旧時に判断できません。

2. 「製品を入れた」で終わらせず、六つの機能で管理する

NIST Cybersecurity Framework 2.0は、対策を統治・特定・防御・検知・対応・復旧の六つに整理します。ウイルス対策ソフトやファイアウォールは「防御」の一部にすぎません。経営判断、資産台帳、監視、連絡、復旧が欠けると、侵入後に被害が拡大します。

3. IDを最優先で守る：パスワード変更だけでは不十分

メール、VPN、クラウド、バックアップの管理画面が同じIDに集約されるほど、ID侵害は一台の端末感染より大きな被害を生みます。パスワードを盗まれても認証を突破されにくいフィッシング耐性MFAを、メール・VPN・管理者・重要クラウドから優先します。

FIDO2／WebAuthn対応のセキュリティキーやパスキーは、正しいドメインと暗号学的に結び付くため、偽サイトへ認証情報を渡しにくい方式です。SMSや承認通知型MFAも無対策より有効ですが、番号移転やMFA疲労攻撃、偽サイトによる中継を想定し、重要IDからより耐性の高い方式へ移行します。

異動・退職・委託終了時は、同日中の無効化、セッション失効、APIキー・共有リンク・端末証明書の回収までを一つの終了手順にします。パスワードだけを変更しても、発行済みセッションや不正なOAuthアプリが残る場合があります。

4. 端末とネットワークで「侵入後の横展開」を止める

EDR（Endpoint Detection and Response）は、端末上の不審な挙動を継続監視し、調査・隔離につなげる仕組みです。導入だけでなく、誰が警告を監視し、何分以内に判断し、端末を隔離できるかまで契約・運用に含めます。通知先が退職者のメール、夜間は誰も見ない、という状態では防御になりません。

• 更新：インターネット公開機器、VPN、メール、ブラウザー、PDF閲覧ソフト、バックアップ製品を優先し、期限と例外を管理する。
• 実行制御：標準ユーザー運用、アプリケーション許可リスト、インターネット由来Officeマクロの遮断、Officeから子プロセスを起動する挙動の監査・遮断を、業務互換性を確認して段階導入する。
• 不要機能の停止：外部公開RDP、SMBv1、使っていないリモート管理、古い認証方式を停止する。必要なRDPはVPN・MFA・接続元制限・ログ監視を組み合わせる。
• セグメンテーション（分離）：業務端末、来訪者Wi-Fi、サーバー、バックアップ、管理用ネットワークを分け、必要な通信だけを許可する。全端末が互いに自由通信できる「平坦なLAN」を避ける。
• 名前解決とWeb：保護DNS、URLフィルタ、危険サイト遮断を使い、端末側の警告だけに頼らない。

介護ソフトや医療連携先の仕様で例外が必要な場合は、端末・通信先・期間・責任者を限定し、例外のまま忘れないための見直し日を設定します。強い設定を一律に入れて業務停止を起こすのではなく、監査モードで影響を把握し、例外を小さくしたうえで遮断へ移行します。

5. サプライチェーン防御：委託先の「信用」ではなく接続条件を管理する

保守会社、クラウド、複合機、Web制作、請求、バックアップ、遠隔支援など、事業所の外にある仕組みも攻撃面です。取引先を信頼しているかではなく、どのIDで、どこへ、いつ、何ができるかを管理します。

6. バックアップは「存在」ではなく、攻撃下で復元できるかを試す

本番と同じネットワーク・同じ管理者IDで書き換えられるバックアップは、攻撃者にも消されます。少なくとも一つはオフラインまたはイミュータブル（保存期間中に改変・削除しにくい方式）にし、バックアップ管理用IDと管理面を本番環境から分離します。

実務では「3-2-1-1-0」を目標にできます。データを3部、2種類の媒体・保存方式、1部を別拠点、1部をオフラインまたはイミュータブルに置き、復元テストのエラーを0件にする考え方です。製品名ではなく、削除耐性、暗号化、保存世代、監視、復元時間で評価します。

身代金の支払いは、復号、データ削除、再侵入防止を保証しません。支払いの是非だけに議論を集中させず、事業継続、法務、個人情報、保険、警察・専門機関への相談を含む意思決定手順を平時に整えておきます。

7. 検知と初動：兆候・権限・連絡先を事前に決める

侵入を完全に防ぐ前提ではなく、早く見つけて範囲を限定します。端末の大量ファイル変更、EDR停止、バックアップ削除、夜間の管理者ログイン、MFA再登録、異常なメール転送規則、新しいOAuthアプリ、短時間の大量ダウンロード、普段と異なる国外・匿名化サービスからの接続は、優先度の高い兆候です。

• 隔離：侵害の可能性がある端末・サーバーは、可能なら電源を落とさずネットワークから隔離し、専門家の指示を得ます。自己判断で初期化・再起動・ログ削除を行い、証拠を失わないようにします。
• ID保護：疑わしい端末とは別の安全な端末から、セッション失効、認証情報変更、MFA再登録、管理者・転送規則・OAuth同意の確認を行います。
• 影響範囲：侵入時刻、侵害ID、接続先、持ち出しの有無、暗号化範囲、委託先・関係機関への波及を時系列で確認します。「暗号化された端末だけ」を調べて終わらせません。
• 連絡：経営責任者、情報管理責任者、保守・クラウド、インシデント対応会社、保険、法務、警察、JPCERT/CC等の連絡先を紙でも保持します。
• 報告・本人通知：個人データの漏えい等またはそのおそれがある場合は、事案と適用要件を確認し、個人情報保護委員会への報告・本人通知を含めて速やかに判断します。

8. 小規模事業所の90日実装ロードマップ

すべてを一度に導入するより、重大事故を大きく減らす順に進めます。責任者・期限・確認証跡を一行ずつ付け、設定しただけで終わらせず、実際に検知・隔離・復元できることを確かめます。

最終的な評価指標は「製品を何台入れたか」ではありません。MFA未適用の重要ID数、重大更新の未適用日数、監視アラートの判断時間、期限切れ委託権限数、復元テスト成功率、RTO・RPO達成率など、事故時の実効性を測れる数値にします。

9. 経営が毎月確認するKPI・KRI：数字と例外をセットで見る

KPIは対策の実施度と能力、KRIは残っている危険を示します。すべての組織に共通する法定の合格値ではありません。対象範囲、分母、除外理由、証拠日を固定し、現状値から事業影響に沿った目標を設定します。

1. 受信前の防御：利用者の注意力だけに責任を負わせない

メール防御は、送信ドメイン、受信ゲートウェイ、URL、添付、端末、IDの各層で行います。自組織のドメインにはSPF・DKIM・DMARCを設定し、なりすまし送信を減らします。DMARCは自ドメインの詐称対策であり、すべての受信詐欺を自動的に防ぐ仕組みではないため、受信側の検査と組み合わせます。

• DMARCを監視から段階強化：SPF・DKIMの正当な送信元を整理し、レポートで誤判定を確認してからquarantine、rejectへ移行する。
• 危険な形式を遮断：実行形式、スクリプト、ディスクイメージ、コンテナ、業務で不要な特殊形式を拒否し、見直し日を決める。
• パスワード付き圧縮ファイル：検査を回避しやすいため原則隔離し、正規のファイル共有ポータルなど別経路へ切り替える。
• URL検査：受信時だけでなくクリック時にも評価し、短縮URL、QRコード、リダイレクト、表示名と実リンクの不一致を確認する。
• サンドボックス／CDR：高リスク部署では、添付を隔離環境で解析するサンドボックスや、文書から能動要素を除くCDR（Content Disarm and Reconstruction）を検討する。
• 外部送信者表示：外部メールを明示し、表示名だけが内部職員と同じメールを目立たせる。ただし表示だけを最終防御にしない。

2. 添付を開いても「コードを実行させにくい」端末へ

「添付を開かない」は現場では成立しにくいルールです。請求、計画書、医療・介護連携で文書を受け取る以上、開封後の実行を制限する必要があります。

文書のプレビューにも脆弱性はあり得るため、「プレビューなら絶対安全」とはしません。更新済みの管理端末、隔離された閲覧環境、ファイル共有ポータルを使い、機密度と送信元に応じて確認レベルを上げます。

3. AI文章・音声・映像：見破るより、重要操作を一人で完結させない

生成AIは誤字を減らし、過去の公開情報や流出情報を使って相手に合わせた文面を大量に作れます。声の複製や偽映像も、上司・取引先・家族になりすます材料になります。自然な文章、知っている声、オンライン会議に本人らしい顔が映ったことを、本人確認の根拠にしてはいけません。

• 別経路確認：メール・会議内の電話番号を使わず、登録済みの番号、公式サイト、既存契約書、社内連絡先から折り返す。
• 二者承認：振込、口座変更、MFA再登録、管理者権限付与、大量データ提供、個人情報の持ち出しは、依頼者と承認者を分ける。
• 変更保留：振込先・連絡先・ファイル共有先の変更は即時反映せず、既知の担当者へコールバックし、一定時間の保留を置く。
• 秘密の合図に依存しすぎない：確認語を使う場合も、漏えいや聞き取りを想定し、既知番号への折り返しと承認記録を併用する。
• 発信者番号・表示名を信用しない：発信番号やメール表示名は偽装され得ます。内容が正しいかを業務記録・依頼番号・契約チャネルで照合します。

4. 「シャドーAI」から利用者情報を漏らさない

攻撃者によるAI悪用だけでなく、職員が未承認の生成AIへ業務文書を貼り付けることも重大なリスクです。便利だからという理由で、利用者・家族・医療・介護・請求・職員の個人情報、契約書、認証情報、未公開の事故情報を個人アカウントのAIへ入力しません。

5. 実務の判定表：送信者ではなく、求められた行動で危険度を上げる

6. クリック後の初動：何をしたかで対応を分ける

早い報告ほど被害を限定できます。「開いただけ」「リンクを押した」「認証情報を入力した」「添付を実行した」「金銭・権限・データを動かした」を区別し、時刻、メール件名、送信元、URL、端末名、行った操作を記録します。証拠となるメールやログを自己判断で削除しません。

同じメールを受け取った全端末からの隔離、悪性URL・ハッシュ・送信元のブロック、類似メール検索を組織側で行います。利用者一人の端末だけ直して終わると、別の職員や委託先で侵害が続く可能性があります。

7. 教育の目的は「見破る率」だけでなく、報告までの時間を短くすること

巧妙な詐欺を100％見破ることはできません。訓練では、失敗者を探すのではなく、どの入口で止まったか、報告まで何分かかったか、管理者が隔離・セッション失効・組織内検索を実行できたかを測ります。

• 四半期ごとに、添付、共有リンク、MFA再登録、AI音声による緊急依頼を一つずつ机上演習する。
• 通報先をメール以外にも用意し、メール障害・アカウント侵害時にも連絡できるようにする。
• 「押してしまったらすぐ連絡。隠さない。責めない」を明文化し、報告者へ結果をフィードバックする。
• 訓練結果を、メール設定、端末設定、承認手続、委託先契約、ログ保持の改善へ戻す。