厚生労働省が令和9年度の概算要求に計上した、医療機関のサイバーセキュリティ対策137億円。前年度の当初予算額は1億円と併記されており、そのまま読むと桁違いの増額に見えます。ただし内訳をたどると、この数字の意味は増加の幅よりも、予算の約94%が一点に寄せられている配分のほうにありました。
厚生労働省は令和9年度予算の概算要求に、医療機関のサイバーセキュリティ対策として137億円を計上した。令和8年度当初予算額は1億円。5事業で構成され、中核は外部接続点の適正化を支援する「医療機関におけるサイバーセキュリティ確保事業」の129億円である。
補助率は10分の10で、上限は400床以上が6600万円、200〜399床が4500万円、20〜199床が2100万円。このほか特定社会基盤事業者への指定が想定される病院などの点検に2.3億円、IPAの支援者リスト活用を促す人材活用推進に3.4億円、研修と初動対応支援に1.2億円、NICTのCYNEXを用いた演習実施助成に5500万円を充てる。全額が「強く豊かな日本」投資枠に位置づけられている。
137億円は、5つの事業を束ねた1つのパッケージ
厚生労働省の令和9年度概算要求は、「医療機関のサイバーセキュリティ対策」を137億円の1行にまとめています。ただし要求資料は、その中身が5つの事業を統合的に運用するものであることを明示しています。
5事業の内訳
内訳は、外部接続点の適正化・維持管理・セキュリティ強化に129億円、特定社会基盤事業者への指定が想定される病院などの点検に2.3億円、専門人材の活用推進に3.4億円、研修と初動対応支援に1.2億円、演習実施助成に5500万円。医療DXの全体像を示した資料では、これを「外部接続点の点検・適正化」約132億円と「サイバーセキュリティ人材活用推進・育成」約5億円の2本に整理しています。
なお、この137億円が乗っている「強く豊かな日本」投資枠は、令和9年度予算から導入された新しい枠組みです。通常歳出とは別に置かれ、要求の上限を設けません。枠そのものの仕組みについては、フィジカルAI・量子・半導体に官民370兆円。高市政権「日本成長戦略」が描く2040年の日本で解説しています。
| 事業名 | 要求額 | 内容 |
|---|---|---|
| 医療機関におけるサイバーセキュリティ確保事業 | 129億円 | 外部接続点の適正化・維持管理・セキュリティ強化 |
| 医療機関におけるセキュリティ人材活用推進事業 | 3.4億円 | IPAの支援者リスト活用促進、人材活用パッケージの作成 |
| 医療分野におけるサイバーセキュリティ点検事業 | 2.3億円 | 特定社会基盤事業者への指定が想定される病院の点検 |
| 医療分野におけるサイバーセキュリティ対策調査事業 | 1.2億円 | 研修とインシデント初動対応支援 |
| 医療分野におけるサイバーセキュリティ演習実施助成 | 5500万円 | 学術団体・職能団体による演習開催への費用助成 |
| 合計 | 約137億円 | 5事業を統合的に運用 |
厚生労働省「令和9年度概算要求」より作成。端数処理のため合計は一致しない。
予算の9割超が「入口を集約し、見続ける」ことに向かっている
注目したいのは配分です。確保事業の129億円は要求全体の約94%にあたります。令和6〜7年度には、全国の電子カルテ導入病院を対象に外部接続点の見える化支援が行われました。令和9年度はその次の段階です。見つかった接続点を物理的・論理的に集約し、管理・監視を継続できる状態へ変えるところまで、支援の対象が広がります。
この設計には根拠があります。見える化の結果、多くの医療機関で接続点が多数存在し、管理が困難になっている実情が明らかになった、と要求資料は記しています。ベンダーごとに別々に接続され、病院側が全体像を把握できていない。管理外の機器や、対応が追いついていない脆弱性が、そのまま攻撃対象になる。
武蔵小杉病院で起きたこと
2026年2月の日本医科大学武蔵小杉病院の事案では、外部接続点の脆弱性が実際の侵入経路になりました。侵入口となったのは、医療機器保守用のVPN装置です。漏洩が確認された患者情報は当初「約1万人」と公表され、2月27日の第5報で約13万人へ拡大しています。これとは別に、職員と2021年以降の臨床実習医学生約1700名の情報漏洩も公表されました。ナースコールサーバーの仕様上、入院歴の有無にかかわらず患者基本情報が自動的に送信・蓄積される仕組みだったため、範囲が広がったと同院は説明しています。
この事案の第1報段階については、日本医科大学武蔵小杉病院、ナースコールシステムへのランサムウェア攻撃で約1万人の患者情報が漏洩で報じています。当時の公表値は約1万人で、その後に更新された数字が現在の約13万人です。ネットワークにつながる医療機器が増えるほど攻撃対象面が広がるという論点も、あわせて扱っています。
外部とつながる経路がどこへ伸び、その先のシステムが何を抱えているのか。これを平時から把握しておくことは、インシデントが起きたときに影響範囲を調べるうえで重要な前提になります。129億円は、その把握と集約に加えて、管理・監視や認証の強化までを支える費用です。
逆の結果になった例もあります。九州大学病院でランサムウェア被害か｜患者43人の手術動画流出のおそれ、LockBitの影では、被害を受けた端末が診療用ネットワークから切り離されていたため、電子カルテへの波及が避けられました。分けておくという地味な設計が、最後の砦になった構図です。
補助率10分の10という設計
確保事業の補助率は10分の10です。病床規模別に補助対象経費の上限が設けられ、その範囲では国が全額を負担します。上限は400床以上が6600万円、200〜399床が4500万円、20〜199床が2100万円。
サイバーセキュリティ対策には追加の投資が必要で、医療機関にとって財源の確保は課題になり得ます。補助率10分の10は、その初期負担を抑える強い設計です。要求資料がこの補助率を採った理由を明示しているわけではありませんが、着手のハードルを制度の側から下げる設計になっていることは確かです。
令和9年度は支援の範囲も広がります。適正化そのものに加えて、監視、認証の強化、管理の省力化、外部サービスの利用費用までを対象に含める。要求資料は、SASEなどのクラウドサービスの利活用も推進すると明記しています。SASEはネットワーク機能と複数のセキュリティ機能をクラウド側で統合する考え方です。従来型の構成に限定せず、クラウド上の選択肢も含めて整えてよいという方針が、要求の段階で示された形になります。
「前年度1億円」をどう読むか
要求資料には、この137億円の前年度当初予算額が1億円と併記されています。数字だけを見れば桁違いの増額ですが、倍率として受け取ると実像から離れます。
確保事業には令和7年度補正予算で15億円が計上されています。同名の先行事業は令和6〜7年度に実施されており、令和9年度の要求は、見える化から適正化・維持管理まで対象を大きく広げるものです。そして令和9年度予算の概算要求に当たっての基本的な方針（令和8年7月30日閣議了解）は、補正予算依存から脱却し、恒常的な施策を当初予算に計上するよう求めています。
したがって、137億円全体を補正予算からの単純な移し替えと見ることはできません。ただし、補正で継ぎ足す形を減らし、当初予算で継続的な施策を組むという政府の方針と整合する要求ではあります。そして医療機関にとっての意味は、金額の大きさ以上にここにあります。年末の補正を待つ前提では、複数年度にわたる設計や人の配置を計画へ落とし込みにくいからです。
経済安全保障推進法の医療分野追加と、同じ時期に動いている
2.3億円の点検事業には、「特定社会基盤事業者への指定が想定される病院」という条件が付いています。ここは経済安全保障推進法の話です。
基幹インフラ制度に医療分野を追加する改正法は、2026年6月17日に公布されました。施行日は政令で定められ、法定の期限は公布から1年6か月以内、つまり2027年12月中です。この期限は令和9年度（2027年度）の期間に入ります。2026年9月の時点で、具体的な施行日はまだ公表されていません。参考として、基幹インフラ制度に港湾分野を追加した際は、令和6年5月17日の公布から約11か月後の令和7年4月1日に施行されました。
点検と補助金が噛み合っている
点検の対象は特定機能病院20件程度。さらに、点検事業に参画した特定機能病院は、確保事業の補助上限が増額される仕組みになっています。点検を受けることが資金面でも有利に働く。制度と補助金が噛み合わせて設計されています。
特定社会基盤事業者に指定されると何が起きるのかは、別の法律の側からも整理できます。サイバー対処能力強化法、10月施行—特定重要電子計算機の届出・報告制度、解説案がパブコメ開始では、指定された事業者のうち特定重要電子計算機を使う者に届出と報告の義務がかかる仕組みを扱っています。医療分野の追加は、この枠組みの対象に病院が入っていくという話でもあります。
残り5億円が映す、もう一つの現実
金額としては小さいものの、人材側の5億円には現場の実情が色濃く出ています。
専門人材を、外から借りられる状態にする
要求資料は、令和7年のG-MIS調査の結果として、多くの病院で専門人材がいないこと、専任のシステム担当者がいないことが明らかになったと述べています。3.4億円は、IPAが作成するサイバーセキュリティ対策支援者リストの活用を促し、外部の情報処理安全確保支援士と病院を結び付ける事業です。院内に知見を抱えられないなら、外から借りられる状態をつくる。
研修は令和7年度に6623人が受講し、e-learningの登録者は7005人。一方で初動対応支援の実績は5件でした。武蔵小杉病院が厚生労働省の初動対応チームの派遣を受けたのも、この枠組みです。令和9年度は、初動対応支援が実施されない場合の代替として、指定した医療機関のセキュリティ対策のアセスメントを実施するとしています。待機のためのコストを、平時の健康診断に振り替える発想です。
教える人を増やす
演習の5500万円は、NICTのCYNEXを使った医療機関向け演習を、学術団体や職能団体が自前で開催できるようにする助成です。1団体あたり年350万円が上限。国がこれまで担ってきた演習に加えて、教える人を育て、開催の担い手を広げる設計になっています。
これから確かめたいこと
まず、これは概算要求です。137億円は要求額であり、年末の予算編成で政府案が決まり、その後、国会の審議と議決を経て予算として成立します。全額が「強く豊かな日本」投資枠に位置づけられ、この枠はシーリングを設けない設計ですが、査定を経ないという意味ではありません。
集約した接続点を誰が日々見続けるのか。これは実施段階の重要な論点です。129億円の事業自体が監視や管理の省力化、外部サービスの利用費用を支援対象に含めており、人材側の約5億円が外部の専門人材と研修・演習でそれを補う。制度としては、この2つが噛み合うかどうかにかかっています。
もう一点。接続点の集約では、管理のしやすさと引き換えに、冗長化や障害時の迂回経路を含む可用性の設計が必要になります。要求資料はSASEの利活用にも触れていますが、これを集約に伴う可用性の対策として位置づけているわけではありません。集約の設計が可用性の設計と一体で語られるかどうかは、実施段階の焦点になります。
見える化の次に置かれたもの
医療機関のサイバーセキュリティは、長く「どう守るか」の議論でした。今回の要求は、その手前にある接続経路の整理と、その後の維持管理に予算の大半を置いています。
2021年のつるぎ町立半田病院、2022年の大阪急性期・総合医療センター、2026年の武蔵小杉病院。3件の侵入経路は同じではありません。半田病院はVPN装置のファームウェアの脆弱性管理、大阪は給食委託事業者側に置かれた保守用VPN機器を起点とするサプライチェーン経由の侵入、武蔵小杉は医療機器保守用のVPNでした。3件に共通するのは、外部接続や保守経路の脆弱性が重大なリスクになった点です。とりわけ半田病院と大阪急性期・総合医療センターの調査報告書では、接続経路や脆弱性管理を誰が担うのかという責任分担も課題として浮かび上がりました。
| 事案 | 発生 | 侵入経路 |
|---|---|---|
| つるぎ町立半田病院 | 2021年10月 | 院内のVPN装置。ファームウェアの脆弱性が放置されていた |
| 大阪急性期・総合医療センター | 2022年10月 | 給食委託事業者側に置かれた保守用VPN機器を起点に、院内へ侵入 |
| 日本医科大学武蔵小杉病院 | 2026年2月 | 医療機器保守用のVPN装置 |
各院・各調査委員会の公表資料より作成。
電子カルテのクラウドネイティブ化には別枠で約604億円が要求され、療養病床等が中心の病院を除く200床以上の病院で、電子カルテ普及率100%を目指す工程が示されています。その土台として、接続経路を整理し、管理し続けられる状態に保つ。順番として、これは正しい向きを向いていると考えます。
【関連記事】
日本医科大学武蔵小杉病院、ナースコールシステムへのランサムウェア攻撃で約1万人の患者情報が漏洩
2026年2月16日公開。第1報段階の記事で、漏洩人数はその後約13万人へ更新された。IoMT機器の増加による影響も論じている。
サイバー対処能力強化法、10月施行—特定重要電子計算機の届出・報告制度、解説案がパブコメ開始
特定社会基盤事業者と特別社会基盤事業者の関係を整理した記事。今回の医療分野の追加と併せて読むと、制度の全体像が見えてくる。
九州大学病院でランサムウェア被害か｜患者43人の手術動画流出のおそれ、LockBitの影
診療用ネットワークとの分離が被害を1台に封じ込めた事例。ネットワーク設計が結果を分けた例として、今回の集約と対照的である。
フィジカルAI・量子・半導体に官民370兆円。高市政権「日本成長戦略」が描く2040年の日本
今回の137億円が位置づけられた「強く豊かな日本」投資枠と、シーリングを設けないという仕組みについて解説した記事である。
【編集部後記】
厚生労働省の事業ページには、「外部接続点の洗い出し方（簡易版）」という資料が置かれています。添えられた一文は、手間がかからない方式で必要な効果が出せるよう準備した、というものでした。
129億円という数字の裏側で、実際にネットワーク図を開くのは、他の業務と兼務している病院の担当者です。簡易版を用意するという判断に、その現実が透けて見えます。予算の規模がどれだけ大きくなっても、最初の一歩の重さは変わりません。
【用語解説】
概算要求 各省庁が翌年度予算として財務省に要求する額。8月末が提出期限で、年末の予算編成を経て政府案となり、その後に国会の審議・議決を経て予算が成立する。
「強く豊かな日本」投資枠 令和9年度予算から導入された枠。通常歳出とは別に置かれ、危機管理投資・成長投資について要求の上限を設けない。
シーリング 概算要求基準。各省庁が要求できる額の上限を定める基準である。
外部接続点 院内ネットワークが外部とつながる箇所。保守用の回線や委託先との接続などが含まれる。数が多いほど攻撃の起点になり得る。
SASE ネットワーク機能と複数のセキュリティ機能を、クラウド側で統合して提供する考え方。Secure Access Service Edgeの略である。
基幹インフラ制度／特定社会基盤事業者 経済安全保障推進法に基づく制度。国が対象事業を定め、基準に該当する事業者を特定社会基盤事業者として指定する。指定された事業者は、重要設備の導入や維持管理の委託にあたり事前届出と審査を受ける。
特定機能病院 高度の医療の提供、高度の医療技術の開発・評価、高度の医療に関する研修などを行う能力を備えた病院として、厚生労働大臣が個別に承認したもの。大学病院本院などが該当する。
G-MIS 医療機関等情報支援システム。全国の医療機関の稼働状況や病床、医療スタッフの状況などを一元的に把握する仕組みである。
情報処理安全確保支援士 サイバーセキュリティ対策を推進する人材の国家資格。通称は登録セキスペ。
CYNEX NICTが2021年4月に設置した組織。サイバーセキュリティ分野の産学官の結節点となることを目的とし、人材育成の共通基盤も開放している。
クラウドネイティブ型 クラウド上で動くことを前提に設計されたシステム。従来の院内設置型（オンプレミス型）と対比される。
【参考リンク】
令和9年度厚生労働省所管予算概算要求関係｜厚生労働省（外部）
本記事の主情報源。政策統括官（情報政策担当）関係の資料に、137億円の内訳と5事業の位置づけ、前年度当初予算額が記されている。
医療機関におけるサイバーセキュリティ確保事業｜厚生労働省（外部）
先行事業の案内ページ。令和7年度の選定はすでに完了しており、病院向けに「外部接続点の洗い出し方（簡易版）」も公開されている。
基幹インフラ役務の安定的な提供の確保に関する制度｜内閣府（外部）
経済安全保障推進法に基づく基幹インフラ制度の解説ページ。医療分野の追加を反映した説明会資料やパンフレットが掲載されている。
令和9年度予算の概算要求に当たっての基本的な方針について｜財務省（外部）
令和8年7月30日の閣議了解。補正予算依存から脱却し恒常的な施策を当初予算に計上する方針と、投資枠の創設を明記している。
中小企業向けサイバーセキュリティ対策支援者リスト｜IPA（外部）
情報処理安全確保支援士のうち支援が可能な専門家を可視化したリスト。現行は中小企業向けで、得意分野や支援料金まで確認できる。
サイバーセキュリティネクサス（CYNEX）｜NICT（外部）
演習実施助成が活用する演習基盤の運営元。2021年に発足し、産学官の結節点として人材育成の共通基盤を開放している組織である。
当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び（第5報）（外部）
日本医科大学武蔵小杉病院の公表資料。患者約13万人と、職員および2021年以降の臨床実習医学生約1700名の漏洩を記している。
情報セキュリティインシデント調査報告書｜大阪急性期・総合医療センター（外部）
給食委託事業者側に置かれたVPN機器を起点とする侵入経路と、事業者間の責任分界が曖昧だった実態を詳述した調査報告書である。
コンピュータウイルス感染事案有識者会議調査報告書について｜つるぎ町立半田病院（外部）
2021年10月の被害を受けて公開された報告書。脆弱性対策の停止や、ベンダーとの連携が円滑でなかった課題が記されている。
【参考記事】
日本医科大学武蔵小杉病院、ランサムウェア被害の詳細および対策を発表、患者・職員約13万人の個人情報が漏えい（外部）
2月18日に新たに約12万人分の漏洩が判明した経緯と、窃取データが攻撃者のリークサイトで公開された事実を報じている記事。
日本医科大学武蔵小杉病院でランサムウェア被害、患者約1万人分の個人情報が漏えい（外部）
第1報の段階を伝える記事。侵入経路が医療機器保守用のVPN装置と確認され、初動対応チームが派遣された流れを記録している。
日医大武蔵小杉病院がランサムウエア被害（外部）
第7報までの公表の流れを整理した記事。2月13日時点の約1万人が、2月27日に約13万件へ修正された経緯を記録している。
大阪急性期・総合医療センターが前年10月のランサムウェア被害に関する調査報告書を公開 「全ユーザーに管理者権限を付与」（外部）
外部接続機器の管理不備、全ユーザーへの管理者権限付与、ITガバナンスの欠如という、調査報告書の主な指摘を要約した記事である。
「基幹インフラ」病院、全都道府県で指定 経済安保巡り厚労省案（外部）
2025年11月の社会保障審議会医療部会で示された案。施行時はまず1地方に1病院以上、3年目までに都道府県ごとへ広げる。
