ランサムウェアによる被害が、医療・介護現場でも深刻な問題として浮上しています。独立行政法人情報処理推進機構（IPA）が発表する情報セキュリティ10大脅威において、ランサムウェア被害は組織向け脅威として10年連続で1位を記録しており、一過性の流行ではなく恒常的なリスクとして備えるべき課題と位置づけられています。2025年だけでも複数の医療機関でランサムウェア被害が公表され、最大約30万人分の個人情報漏えいの可能性が報告された事案もありました。

医療・介護現場が標的にされやすい背景には、電子カルテや請求システムが停止すると業務継続が困難になるという構造的な脆弱性があります。攻撃者から見れば「早期復旧を迫られやすく、身代金の支払い圧力がかかりやすい」標的として認識されているのが実態です。サイバー攻撃を契機に経営が債務超過に陥った事例も報告されており、もはや一施設の問題ではなく経営存続に直結するリスクとして捉える必要があります。

制度面でも対応が強化されています。2023年4月施行の医療法施行規則改正により、サイバーセキュリティの確保は医療機関の管理者が守るべき義務として明確に位置づけられました。また個人情報保護のガイダンスでは、利用者が死亡した後の情報も引き続き安全管理措置が必要とされており、外部委託先（給食・清掃・医療事務等）の情報取扱いについても委託元が定期的に確認する義務を負うとされています。DXベンダーや介護記録システムの提供会社との契約においても、この視点は不可欠です。

AIや生成AIを業務に活用する際には、さらに注意が必要です。介護・医療データは個人情報保護法上の「要配慮個人情報」に該当し、海外クラウドサーバーへのデータ送信を含む越境移転には厳格な要件が課されます。AIベンダーが学習にデータを使わない設定になっているかどうかの確認は、システム導入時の基本的な確認事項として押さえておく必要があります。

DXを推進するほどサイバーリスクも高まるという構造的なジレンマに対する答えは、「導入後に対策を追加する」ではなく、「設計段階からセキュリティを組み込む」という発想の転換にあります。デジタル化とセキュリティは対立するものではなく、最初から一体で設計するものとして捉え直すことが、これからの施設運営の前提となっています。