事例

「地域医療を支える病院が外部専門家とセキュリティ体制を強化」――厚労省ガイドライン対応と運用体制の整備を実現（社会医療法人黎明会さま）

左から
黎明会 法人本部 総務部 主任 木村 泰伸さま
黎明会 法人本部 総務部 部長 塩崎 伸介さま
パーソルクロステクノロジー　セキュリティ本部 インフラアウトソーシング部　シニアエキスパート 谷 昌行
パーソルクロステクノロジー　セキュリティ本部 セキュリティアウトソーシング2部　マネージャー 濵田 恭平

取材日：2026年4月

• 所属・役職は取材当時のものです。

多様な医療・介護システムを少人数で支える運用体制

──黎明会さまの事業と、皆さまのご担当業務について教えてください。

塩崎 伸介さま（以下：塩崎さま）：当法人は北出病院を中核として、介護施設、健診センター、フィットネス、訪問看護など、複数の施設を運営する社会医療法人です。施設の種類が多岐にわたるため、システムやネットワークも非常に多くなります。電子カルテ、画像システム、栄養管理、リハビリ、看護、放射線など、各部署にそれぞれシステムがあり、PCだけで400台ほどあります。

木村 泰伸さま（以下：木村さま）：私は法人全体のネットワークやシステム、それに関連する周辺機器の管理を担当しています。電子カルテなど診療系に関しては病院に2人のシステムエンジニア（以下：SE）がいるのですが、それ以外の領域は私が担当しています。所属は総務部なので、IT専門というわけではなく、さまざまな業務を兼任しています。

塩崎さま：木村は相談員や広報の業務を経たあと、独学でネットワーク設計や敷設まで担当し、ベンダーとのやり取りで知識を蓄えてきました。今では、逆にベンダーから質問されるくらいになってしまって（笑）。木村に業務が依存しており、引き継ぎ先が不明確なのも課題です。

──黎明会ならではの難しさは、どのようなところにありますか？

谷 昌行（以下：谷）：一番の違いで、かつ難しさでもあるのが、単独の病院ではないという点です。一般的な企業であれば、施設がいくつあっても基幹システムは1つに集約できます。しかし黎明会さまの場合は、北出病院、健診センター、老健施設など、それぞれに重要なシステムがあり、ネットワークでつながれています。ですから、それぞれの施設ごとに、つなぎ方も考慮しなければなりません。運用ポリシーを策定するという意味においても、まずは「あるべき姿」にするための読み解きからという点が、大変でした。

塩崎さま：院内の電子カルテひとつ取っても、1つではなく課ごとにシステムがあります。リハビリにはリハビリの、看護には看護の、放射線には放射線のシステムがある。それを木村が1人で全体像を把握していくには限界があり、支援体制の強化が必要でした。

黎明会 法人本部 総務部 部長 塩崎 伸介さま

谷：そしてやはり病院なので、何かあったときの影響の重大さが一般システムの比ではありません。電子カルテや健診システムが止まると、医療そのものが止まってしまいます。近年は、サイバー攻撃で診療が停止するというニュースを聞くこともありますが、患者さんのデータが見えなくなれば、命に関わってきます。「触りたくない、誰も手を出せない」という空気もある中で、毎日、何かが起こらないように考えながら全体を見ていく必要があります。

一般社団法人Health ISAC Japan（以下：HIJ）の紹介から始まった、セキュリティ体制強化への一歩

──課題はいつ頃から顕在化したのでしょうか。

塩崎さま：厚生労働省から「医療機関等におけるサイバーセキュリティ対策チェックリスト」が出され、令和5年度から保健所の立入検査にもセキュリティ体制が組み込まれるようになりました。BCP管理、運用規定の整備など、対応すべき項目は山積みで、もう、木村1人ではとても回せません。そこでしばらくはSEの求人も出していたのですが、地域医療の現場ではたらいてくれるIT人材はなかなか見つかりません。そこで、外部の専門家を頼ることにしました。

──パーソルクロステクノロジーを知ったきっかけを教えてください。

塩崎さま：大阪で催されたIT関連の展示会に勉強に行ったとき、医療ISAC（現HIJ）の当時の代表である先生による特別講演を聞き、「これだ」と思って名刺交換をさせてもらったんです。後日メールで相談したところ、「それならパーソルクロステクノロジーさんを紹介します」と。正直、その時点ではパーソルクロステクノロジーがどんな会社かも知りませんでした。本来、コンサルティングを依頼するなら、何社かに直接話を聞いて信頼できるか見極めて、ということが多いと思うのですが、HIJさんの紹介ということで安心感がありました。

──導入にあたって懸念はありましたか。

塩崎さま：一番は、やはり予算です。セキュリティは利益を生む投資ではないので、社内で稟議を通すのは、正直簡単ではありません。最初に金額を提示いただいたときも、だいぶ安くしていただいたんですが、私たちからするとそれでも大きな額です。しかし、SEを1人雇って1年間張り付けてもらったと考えれば、対価としては妥当ではないかと考えました。1年間、人を1人雇ったつもりで、必要な範囲でお願いする――そう自分の中で整理して、上層部を説得しました。

セキュリティ体制の整備から実装支援まで、段階的に前進

──今回のセキュリティコンサルティングサービスは、2回に分けられたと聞きました。具体的に、どのようなコンサルティングが行われたのか教えてください。

濵田 恭平（以下：濵田）：初回のゴールは、現状把握と可視化です。2024年8月～12月の5カ月にわたって実施しました。まず、法人全体にどのようなネットワークやシステムがあるのかをお伺いするところから始めました。木村さまが担当されている法人全体のネットワークと医療系のネットワーク、事務系のネットワーク、それぞれがどのような関係になっているかを整理した上で、ベンダーとの契約状況や社内のガバナンスなどの管理面、そして技術面の現状をヒアリングし、課題となる部分を一緒に見つけていきました。

パーソルクロステクノロジー　セキュリティ本部 セキュリティアウトソーシング2部　マネージャー 濵田 恭平

塩崎さま：出来合いの運用規定の雛型は世の中にたくさんあるのですが、当法人の状況を聞いてもらった上で、当法人に沿った形で運用できる文書を一緒に作ってもらえたのが、大きな収穫です。それぞれの規定について対話しながら積み上げていきました。

濵田：2回目の主な作業は、必要なセキュリティ体制を構築するための要件策定です。2025年6月～2026年3月の9カ月間です。1回目では全体の弱点と必要な対策の可視化、IT資産管理システムの選定ができた一方で、「どのような優先順位で進めるか」「どこまでベンダーに要求すべきか」という点が、詰めきれていませんでした。2回目では、インターネット回線の集約、クラウド用回線のVPN化、ネットワーク分離、スマートフォンを利用した環境整備、健診システムの更新、そして二要素認証の導入などを、ベンダーコントロールも含めて実施しました。

──IT資産管理システムの選定は、どのように進められたのでしょうか。

谷：製品ソリューションのカタログを集めて要件を作っていくと、どうしてもベンダー寄りの要件になってしまいます。そこで、黎明会さまに必要な機能を最初にリストアップしていただき、それに合致するソリューションを並べていきました。12製品ほどを詳細に調査して、最終的に5製品をご提案しました。

塩崎さま：普通にCMで見るような有名な製品の名前を出して「これでいいですか？」と言われると、知識のないこちらとしては「そうかな」と思ってしまいます。今回はそうではなく、当法人のネットワーク状況に合わせて、最適なものを複数ピックアップしてもらえました。金額も含めて選択肢を出してもらえたので、一番これが良いのではないかというところに納得して進められました。

谷：結果として導入いただいたIT資産管理ソフトは、ネットワークアクセス部分でゼロトラストの一部機能を実装できる製品でした。ゼロトラストを正面から構築すると、この規模の事業所だと1億円ほどかかる場合があります。それを今回のソフトを入れていただくことで、費用を抑えつつ認証部分についてはほぼ同等の機能を実現できました。ちょうど課題だったところを、うまく補えたのではないかと思っています。

パーソルクロステクノロジー　セキュリティ本部 インフラアウトソーシング部　シニアエキスパート 谷 昌行

塩崎さま：知らない会社の製品でも、ベンダーから直接プレゼンを受けて、ある程度納得できたものを選ぶ機会を作ってもらえました。パーソルクロステクノロジーさんはベンダーではないため、取引先や知名度にとらわれることなく判断いただけた結果、本当に欲しいものを導入できたのは、とても良かったです。

セキュリティ対策の見える化と、継続運用に向けた体制整備を実現

──取り組みを通じた成果について教えてください。

塩崎さま：まず、システムを選定し、導入するという当初の目的を達成できました。それに加えて、厚労省のチェックリストに沿った文書管理の運用ができるようになったことです。チェックリストの中で「ここまではOK、でもここはまだ」というステップが見える化され、厚労省からも一定のところまで整備できたという評価をいただけるようになりました。

濵田：厚生労働省の「医療機関等におけるサイバーセキュリティ対策チェックリスト」を基にした保健所立入検査でも、高い評価をいただいています。

塩崎さま：報告がきちんと取りまとめられていたのも良かったです。一連の活動記録を、パーソルクロステクノロジーさんがきちんと提出してくれていたので、上層部に対しても「このような活動をしました」と提示できました。

──パーソルクロステクノロジーへの評価について、特に良いと感じた点を教えてください。

塩崎さま：最も良かったことは、専門的な話を直接、分かりやすく聞けたことです。私が同席していても分かるように資料を作って、別途説明もしてくれました。そのため、納得して進められました。

黎明会 法人本部 総務部 主任 木村 泰伸さま

木村さま：谷さんには、何でも教えていただけました。セキュリティはなかなか難しい分野で、私は知識もありませんので非常に助かりました。我々の意向を踏まえつつ、ベンダーさんとの間に立って、必要なことをきちんと伝えてくれるので、ありがたかったです。

塩崎さま：それからコストの柔軟さも良かったです。最初から「何千万円」と提示されたのでは、どうにもなりません。でも、パーソルクロステクノロジーさんは、「ここまでの範囲ならこれぐらいで」と、ある程度の折り合いを付けて相談できました。こうした初回のスタートがあったから、2回目の再契約につながりました。

濵田：金額や対応範囲を柔軟に組み立てられるところは、まさに当社のサービスの強みです。お客さまの要望と当社のリソースを擦り合わせながら進められました。良いご支援の形になったと思っています。

今後の展望：DX推進への対応と、相談できる仕組みの継続

──今後、取り組んでいきたいことについて教えてください。

塩崎さま：今、医療業界全体にDX推進の波が来ています。当法人でも、iPhoneを導入し、AI音声入力を活用できるようにするなど、DX推進を進めています。そのためには、継続的なネットワーク・セキュリティ管理の強化が欠かせません。また、バックヤードの労務管理システムなども、時代に合わせて変えていく必要があります。これで終わりではなく、今後も相談したいことや、ちょっと分からないことがどうしても出てきます。定期契約だけではなく、必要なときに相談できる仕組みがあれば助かるなと思っています。

濵田：ご要望を踏まえて、今後の支援メニューも検討させていただきます。

──最後に、同じような課題を抱える医療機関等に向けてメッセージをお願いします。

塩崎さま：地方の中小病院では、常駐でSEを雇うことは正直難しいと思っています。仮に来てくれたとしても、業務量や役割の面で持ち腐れさせてしまうかもしれません。ですから、必要な部分だけを専門家に依頼するという選択肢を考えても良いのではないかと思います。大きな病院なら、院内に何人もSEを抱えて自前でやれますが、地方の中小病院では、こういうセキュリティサービスがあること自体を知る機会も少ない。私たちと同じように悩んでいる病院がたくさんあるはずなので、こうした事例が広まってくれると良いなと思います。

木村さま：知識のない領域については、自分たちだけで判断するのは限界があります。ベンダーニュートラルな立場から、各社の製品や技術を比較してくれる専門家がいるというのは、本当にありがたいことだと感じました。

谷：「セキュリティが本当にいるの？」という懐疑的なお客さまもいらっしゃる中で、塩崎さまも木村さまも「病院のために大事なことだ」と捉えていただいているお客さまでした。ご一緒できて、こちらも非常に助けていただきました。ありがとうございます。

地方の医療現場ならではの制約のなかで、パーソルクロステクノロジーが有するセキュリティ専門チームとの二人三脚でセキュリティ体制を組み上げてきた黎明会さま。「地方の中小病院では、常駐SEの確保が簡単ではない。だからこそ、必要なところだけを専門家に依頼するのも選択肢」という塩崎さまの言葉が印象的でした。ご協力ありがとうございました。