医療機関のサイバー保険加入 完全ガイド【2026年版・ランサム被害/身代金/損害賠償/BCP/個人情報保護】

※本記事には広告（PR）が含まれます。mitoru編集部は公開情報を整理して比較・解説しており、表示順位や評価は広告主からの依頼ではなく編集部の独自判断によります。

医療機関を標的にしたランサムウェア被害・個人情報漏えい事案の発生を背景に、サイバー保険への関心が病院・診療所双方で高まっています。厚生労働省「医療情報システムの安全管理に関するガイドライン」、個人情報保護委員会の医療分野ガイダンス、IPA（情報処理推進機構）の情報セキュリティ10大脅威、警察庁のサイバー犯罪情勢資料等では、医療機関を含む重要インフラ事業者に対するサイバー攻撃の脅威が継続的に指摘されており、保険による経済的リスク移転と、平時からのセキュリティ対策・BCP整備を組み合わせた総合的なリスクマネジメントが求められる状況です。本記事は、病院・診療所の経営者・情報システム管理者・法務担当者を主な読者として、医療機関向けサイバー保険の補償範囲、ランサムウェア被害と身代金支払いに関する論点、個人情報漏えい時の損害賠償責任、BCP（事業継続計画）との連動、個人情報保護法対応、保険選定の考え方を、厚生労働省・個人情報保護委員会・IPA・警察庁等の公開情報を整理した内容として提示します。

本記事は公的機関・業界団体・保険会社の公開情報を整理した内容であり、特定のサイバー保険商品の補償可否、特定インシデントにおける保険金支払いの成否、特定のセキュリティ対策の有効性を保証するものではありません。個別の保険契約・約款解釈・支払判断は各損害保険会社・保険代理店・弁護士・医療機関の顧問専門家にご確認ください。医療行為・診断・治療の助言は本記事では扱わず、経営・情報セキュリティ・BCP・保険の観点のみを取り上げます。

この記事で分かること

• 医療機関を取り巻くサイバーリスクの全体像と公的指針の位置づけ
• サイバー保険の一般的な補償範囲と医療機関向け特約の考え方
• ランサムウェア被害と身代金支払いに関する保険・法的論点
• 個人情報漏えい時の損害賠償責任と個人情報保護法上の報告義務
• BCP（事業継続計画）とサイバー保険の連動設計
• 医療情報システムの安全管理ガイドラインとの整合性確認
• 保険選定における確認項目と免責条項の読み方
• 2024年改定以降の診療報酬・医療法上のセキュリティ関連論点

1. 医療機関を取り巻くサイバーリスクの全体像

医療機関は、電子カルテ・レセプトコンピュータ・医事会計システム・部門システム（放射線・検査・薬剤等）・地域医療連携システム等、多層的な情報システムを日常業務で運用しています。これらのシステムは患者の氏名・住所・保険情報に加え、傷病名・検査結果・投薬情報といった要配慮個人情報を大量に扱うため、情報漏えい・改ざん・システム停止が発生した場合の患者影響と法的責任は他業種と比較しても重い水準にあると整理されます。IPAが毎年公表する「情報セキュリティ10大脅威」ではランサムウェアによる被害が組織向け脅威の上位に位置づけられており、警察庁「サイバー空間をめぐる脅威の情勢等について」等の公開資料でも、医療機関を含む重要インフラ事業者を標的とする攻撃事案が継続的に報告されています（IPA「情報セキュリティ10大脅威」関連資料、警察庁「サイバー空間をめぐる脅威の情勢等について」関連資料）。

厚生労働省は「医療情報システムの安全管理に関するガイドライン」を定期的に改訂し、医療機関における情報セキュリティ対策の基本方針・組織的安全管理措置・技術的安全管理措置・外部委託時の要件等を整理しています。同ガイドラインは医療法・個人情報保護法・関係告示と一体で運用されており、医療機関に求められる安全管理措置の具体像を示す一次資料として位置づけられます。サイバー保険は、これらの安全管理措置を前提としたうえで、それでも発生し得る残余リスクへの経済的備えとして設計される仕組みです（厚生労働省「医療情報システムの安全管理に関するガイドライン」関連資料）。

1-1. 医療機関特有のリスク特性

医療機関のサイバーリスクは、（1）電子カルテ停止による診療継続への直接的影響、（2）要配慮個人情報の大量保有に伴う漏えい時の重大性、（3）救急・入院診療における復旧時間制約の厳しさ、（4）VPN機器・保守回線・医療機器等の多様な侵入経路、（5）地域医療連携・オンライン診療の拡大による接続面拡大、といった観点で他業種と異なる特性を持ちます。ランサムウェア被害を受けた医療機関では電子カルテが数週間から数か月間停止し、新規患者受入停止・手術延期・紙運用への切り替えを余儀なくされた事案が国内でも報告されています。これらのリスク特性は、保険設計・BCP設計の前提として整理される必要があります。

1-2. 公的指針の位置づけ整理

指針・法令	所管	医療機関との関係
医療情報システムの安全管理に関するガイドライン	厚生労働省	安全管理措置の実務基準
個人情報の保護に関する法律・医療分野ガイダンス	個人情報保護委員会・厚生労働省	要配慮個人情報取扱い・漏えい報告
情報セキュリティ10大脅威	IPA	脅威動向の把握
サイバー空間をめぐる脅威の情勢	警察庁	攻撃実態・通報窓口

2. サイバー保険の一般的な補償範囲

サイバー保険は損害保険の一種で、サイバー攻撃・情報漏えい・システム障害に伴う各種損害を包括的に補償する商品として、複数の損害保険会社から提供されています。医療機関向けには、業種特性（要配慮個人情報の大量保有・診療継続の重要性等）を踏まえた特約・オプションが用意される例が多く、契約前に補償範囲・支払限度額・免責事項を丁寧に確認する必要があります。約款上の細目や引受条件は保険会社ごとに異なるため、複数商品を比較し、自院のリスクプロファイルに合った内容を選ぶ姿勢が実務的です（一般社団法人日本損害保険協会 公開資料）。

2-1. 主要な補償項目

医療機関向けサイバー保険で一般に想定される補償項目は、（1）第三者に対する損害賠償責任（個人情報漏えい・情報改ざん等）、（2）自院に生じる損害（システム復旧費用・データ復元費用・逸失利益・事業中断損失）、（3）事故対応費用（フォレンジック調査・弁護士費用・広報対応・コールセンター設置・見舞金・謝罪広告等）、（4）行政対応費用（監督官庁への報告・調査対応）、（5）ネットワーク中断による営業損失、といった区分に整理されます。商品によっては役員賠償・恐喝対応費用・仮想通貨での身代金支払いに関する特約が用意される場合もありますが、支払対象の範囲・条件は約款で個別に規定されるため、契約前確認が欠かせません。

2-2. 免責事項として整理される代表例

サイバー保険の約款では、（1）保険契約者・被保険者による故意・重過失、（2)戦争・内乱・テロ等の免責条項、（3)既知の脆弱性を放置していたことによる被害、（4)所定のセキュリティ対策未実施、（5)違法行為に起因する損害、といった項目が免責として整理される例が多く見られます。特に「合理的なセキュリティ対策の実施」を保険引受・支払要件とする商品では、平時からの脆弱性管理・パッチ適用・バックアップ体制・アクセス権管理の実施状況が支払判断に影響し得るため、免責条項の解釈と自院の実態との整合を事前確認することが重要です。

2-3. 支払限度額とサブリミットの構造

サイバー保険は、包括的な支払限度額（総保険金額）に加え、費目ごとのサブリミット（例：フォレンジック調査費用・見舞金・広報対応費用等の内訳限度額）が設定される構造が一般的です。総額が十分に見えても、サブリミット構造次第では実損に対する補償が不足する場合があるため、想定シナリオごとに費目内訳を試算し、支払限度額の妥当性を検討する運用が現実的です。医療機関の場合、コールセンター設置費用・大量の患者への通知費用・見舞金相当額が高額になり得る点を踏まえたサブリミット設計の確認が有用です。

3. ランサムウェア被害と身代金に関する論点

ランサムウェアは、システムやデータを暗号化して身代金を要求するマルウェアの総称で、医療機関を標的とした攻撃事例が国内外で継続的に報告されています。IPA「情報セキュリティ10大脅威」の組織向け脅威では長期にわたり上位に位置づけられており、警察庁の資料でも医療機関を含む重要インフラへの被害事案が指摘されています。ランサムウェア被害は、単なるデータ暗号化被害にとどまらず、事前のデータ窃取・二重恐喝・リークサイト公表といった手口の複合化が進んでおり、被害対応の難易度と経済的影響は年々増大している状況です（IPA「情報セキュリティ10大脅威」関連資料、警察庁「サイバー空間をめぐる脅威の情勢等について」関連資料）。

3-1. 身代金支払いに関する社会的・法的論点

身代金支払いについては、（1）支払っても復号鍵が提供される保証がない、（2）支払い実績が攻撃者を利し次の攻撃を誘発する、（3）反社会的勢力・制裁対象組織への資金流入リスクがある、（4)経済制裁関連法令に抵触する懸念がある、といった観点から、警察庁・関係機関は基本的に支払わない対応を推奨する立場を示しています。IPA・警察庁への相談・通報を先行させ、フォレンジック調査・法執行機関の助言を踏まえて対応を判断することが実務上の基本姿勢と整理されます。保険約款によっては、身代金支払いを補償対象から明示的に除外している例もあれば、一定の条件下で対象とする例もあり、契約前の確認が欠かせません。

3-2. 事案発生時の初動対応

ランサムウェア被害が疑われた場合の初動対応は、（1）感染端末・感染範囲のネットワーク隔離、（2）電源を切らずログ保全に配慮した状態確保、（3)経営層・情報システム部門・法務・広報への一次連絡、（4）保険会社・事故対応窓口への通知、（5）フォレンジック調査業者の起用、（6）IPA・警察庁・所管厚生局への相談・報告、（7）個人情報保護委員会への報告要否確認、といった手順で整理される例が一般的です。初動の記録・タイムラインが後日の保険金請求・行政報告・訴訟対応の根拠資料となるため、時刻・対応者・判断根拠を含む詳細な記録運用を平時から準備しておくことが重要です。

3-3. 医療機関特有の復旧課題

医療機関のランサムウェア被害では、電子カルテ・部門システムの停止により診療継続に直接影響が及ぶ点が最大の課題となります。過去の国内事案では、電子カルテ復旧までに数か月を要し、その間の新規外来停止・救急受入制限・手術延期・紙運用への切り替えを迫られた事例が報告されています。復旧費用は、システム再構築・データ復元・外部専門家対応・診療報酬請求（レセプト）業務の代替対応等を含み、規模によっては数億円規模に及ぶ試算例もあります。サイバー保険の支払限度額・サブリミット設計は、このような復旧コストの実態を踏まえて検討することが実務的です。

4. 個人情報漏えいと損害賠償責任

医療機関が扱う患者情報は個人情報保護法上の要配慮個人情報に該当し、漏えい時の影響は他業種と比較しても重い水準にあります。個人情報の保護に関する法律および個人情報保護委員会の医療分野ガイダンスでは、漏えい等事案発生時の個人情報保護委員会への報告義務、本人通知義務、安全管理措置の実施義務が定められており、医療機関は業務規模・情報件数にかかわらずこれらの義務を負います。損害賠償責任については、民法上の一般不法行為責任・使用者責任、個別事案での判決例を踏まえた慰謝料・信頼失墜による損害等が論点となり得ます（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」関連資料、厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」関連資料）。

4-1. 漏えい時の報告・通知義務

個人情報保護法では、（1）要配慮個人情報の漏えい、（2）財産的被害の恐れがある漏えい、（3）不正の目的をもって行われた漏えい、（4）1,000人を超える漏えい、といった類型に該当する場合、個人情報保護委員会への速報・確報および本人への通知が義務化されています。医療機関の場合、患者の傷病名・診療情報等が要配慮個人情報に該当するため、漏えい件数の多寡にかかわらず報告義務が生じる場面が多い点に留意が必要です。報告様式・期限・通知方法の詳細は個人情報保護委員会のガイドライン・Q&Aで示されており、事案発生時の初動フローに組み込んでおく運用が求められます。

4-2. 損害賠償責任の考え方

個人情報漏えい事案における損害賠償責任は、過去の判決例では慰謝料相当額として1件あたり数千円から数万円の水準で認められた例があります。医療機関の場合、要配慮個人情報を含む漏えいは慰謝料額が高めに認定される可能性が指摘されており、対象者数が多数に及ぶ場合の総額は相当な規模に達し得ます。加えて、集団訴訟対応の弁護士費用、和解費用、見舞金・謝罪費用、コールセンター設置費用、再発防止策の外部委託費用等の付随費用も発生し、サイバー保険の補償対象範囲と支払限度額の設計に直接影響する要素となります。個別事案の賠償額判断は裁判所・弁護士の判断によります。

4-3. 責任構造の整理表

責任類型	根拠	想定される費目
民事賠償責任	民法・個人情報保護法違反	慰謝料・弁護士費用
行政対応	個人情報保護法・医療法	報告書作成・改善命令対応
事故対応費用	自主的対応	広報・コールセンター・見舞金
信用回復措置	自主的対応	謝罪広告・再発防止策公表

5. BCPとサイバー保険の連動

BCP（事業継続計画）は、大規模災害・パンデミック・システム障害等の非常事態下でも中核業務を継続・早期復旧するための計画です。厚生労働省は病院・診療所に対しBCP策定を推奨しており、感染対策・災害対応と並びサイバーインシデントもBCPの対象範囲として位置づけられる傾向が強まっています。サイバー保険は、BCP発動時の外部支援費用・代替システム利用費用・臨時人員費用等を補償する設計とすることで、BCPと有機的に連動する仕組みとして機能させることが実務的です（厚生労働省「業務継続計画（BCP）策定支援」関連資料）。

5-1. BCPに組み込むべきサイバーシナリオ

医療機関BCPに組み込むべきサイバーシナリオとしては、（1）電子カルテ全面停止（数日～数週間規模）、（2）レセプト請求システム停止、（3）部門システム個別停止、（4）外部委託先を経由した被害、（5）大規模個人情報漏えい、といったパターンが想定されます。各シナリオに対して、目標復旧時間（RTO）・目標復旧時点（RPO）を設定し、紙運用への切替手順・代替システムの利用可否・院外への支援要請フロー・報告フローを事前に整理しておくことが重要です。サイバー保険の補償項目は、これらのシナリオごとの復旧コストと整合させる形で設計する運用が現実的です。

5-2. バックアップ運用と保険要件

厚生労働省「医療情報システムの安全管理に関するガイドライン」では、医療情報の完全性・可用性を担保するためのバックアップ運用の重要性が示されています。ランサムウェア対策としては、オフライン保管・世代管理・定期的な復元テストを含むバックアップ設計が推奨されており、サイバー保険の引受条件・支払条件にバックアップ体制の実施状況が影響する例も見られます。「3-2-1ルール」（3世代のバックアップを2種類の媒体で1つはオフサイト保管）等の設計指針を参考に、自院の運用実態と保険要件の整合を確認する運用が有用です。

6. 医療情報システム安全管理ガイドラインとの整合

厚生労働省「医療情報システムの安全管理に関するガイドライン」は、医療機関における情報セキュリティ対策の基本方針・組織的安全管理措置・人的安全管理措置・技術的安全管理措置・物理的安全管理措置・外部委託時の要件を体系的に整理した公的文書で、定期的な改訂が行われています。同ガイドラインは医療法・個人情報保護法・関係告示と一体で運用されており、サイバー保険の引受・支払判断においても実質的な参照基準として位置づけられる傾向があります（厚生労働省「医療情報システムの安全管理に関するガイドライン」関連資料）。

6-1. ガイドラインが求める主な対策領域

ガイドラインが求める主な対策領域は、（1）情報セキュリティポリシー策定と組織体制整備、（2）職員教育・研修、（3）アクセス権管理・ID管理・監査ログ取得、（4）ネットワーク境界防御・侵入検知、（5）ウイルス対策・脆弱性管理・パッチ適用、（6）バックアップ・災害対策、（7）外部委託先管理、（8）インシデント対応体制、といった多層的な範囲に及びます。サイバー保険の告知書・引受審査ではこれらの対策実施状況が確認事項として整理される例が多く、自院の実態と告知内容の整合を担保することが後日の支払トラブル回避につながります。

6-2. 外部委託先管理と保険責任

電子カルテ・レセプトコンピュータ・部門システムの多くは外部事業者が保守・運用を担っており、外部委託先を経由したインシデントも医療機関の責任範囲として整理される場面があります。ガイドラインは委託先の選定基準・契約上の安全管理義務・監督責任を求めており、サイバー保険についても委託先起因の被害を補償対象に含めるか否かで約款上の取扱いが異なります。委託契約書のセキュリティ条項と保険約款を照合し、責任分担と補償範囲のギャップを事前に整理する運用が実務的です。

7. サイバー保険選定の確認項目

医療機関がサイバー保険を選定する際の確認項目は、補償範囲・支払限度額・サブリミット・免責事項・告知事項・付帯サービス・保険料水準の各観点に整理されます。単一の商品比較にとどまらず、既存の賠償責任保険・動産総合保険・休業補償保険等との補償範囲重複・欠落を整理した「保険ポートフォリオ」の視点で検討することが、保険料負担と補償実効性のバランス確保に寄与します。契約は複数年契約・自動更新条項・料率変動条項等も含めて確認することが望まれます。

7-1. 補償範囲・支払条件の確認

補償範囲の確認では、（1）第三者賠償・自院損害・事故対応費用の各カテゴリのカバー状況、（2）フォレンジック・弁護士・広報・コールセンター等の付帯サービス提供有無、（3）事業中断・逸失利益の算定基準、（4）身代金・恐喝対応費用の取扱い、（5）委託先起因被害の取扱い、を確認することが基本です。支払条件では、免責金額（自己負担額）・報告期限・所定手続の遵守・書類要件を確認し、事案発生時の初動フローに保険会社通知を組み込む設計が求められます。

7-2. 告知内容の正確性

サイバー保険の申込時には、セキュリティ対策の実施状況・過去のインシデント履歴・情報資産の概要等の告知が求められます。告知内容と実態の乖離は告知義務違反として保険金支払拒否の根拠となり得るため、情報システム部門・現場運用部門と連携した正確な告知内容の整備が不可欠です。ガイドライン適合状況の自己点検チェックリスト、脆弱性診断結果、教育・研修記録、監査ログの保管状況等を事前に整理し、告知書と整合させる運用が望まれます。

7-3. 選定確認項目整理表

確認カテゴリ	主な確認項目	確認先
補償範囲	賠償・自院損害・事故対応費用の内訳	約款・重要事項説明書
支払限度額	総額・サブリミット・免責金額	約款・見積書
免責事項	身代金・戦争・故意重過失等	約款・引受条件書
告知事項	セキュリティ対策実施状況	告知書・自己点検票
付帯サービス	初動対応窓口・提携専門家	付帯サービス案内

8. 2024年改定以降の関連論点

令和6年度（2024年度）診療報酬改定および関連告示・通知では、医療機関の情報セキュリティ関連の要件強化に関する動きが継続的に示されてきました。医療法・関係省令ではサイバーセキュリティ対策の実施状況の確認、医療情報システムの安全管理措置の履行が求められ、厚生労働省ガイドラインの改訂内容と診療報酬・立入検査の運用が連動する構造が整えられています。改定内容・運用の詳細は厚生労働省の告示・通知・地方厚生（支）局の疑義解釈で示されるため、確定情報に基づく点検が実務上の基本姿勢となります（厚生労働省「令和6年度診療報酬改定について」関連資料）。

8-1. 医療法上のセキュリティ関連要件

医療法・関係省令では、医療機関の管理者に対しサイバーセキュリティを含む医療情報の適切な管理を求める規定が整備されており、立入検査等での確認事項に組み込まれる例が見られます。要件の詳細・運用は改正の都度見直されるため、厚生労働省の医療法・関係告示の最新情報、および保険者・地方厚生（支）局からの通知を継続的に確認することが望まれます。サイバー保険の付帯サービスとして、これらの規制対応チェックリストや自己点検支援を提供する保険会社もあり、コンプライアンス体制の一環として活用する運用も現実的です。

8-2. サプライチェーンリスクへの対応

近年のインシデント事例では、医療機関が直接攻撃を受けたのではなく、給食事業者・保守事業者・地域医療連携システム事業者等のサプライチェーン経由で被害が発生した例が国内でも報告されています。IPA・警察庁の資料でもサプライチェーン攻撃は重要な脅威として整理されており、委託先・接続先を含めたリスク管理と、サイバー保険の補償範囲設計におけるサプライチェーンリスクの取扱い確認が重要な論点となります。委託契約におけるインシデント通知義務・協力義務・費用分担条項の見直しと、保険約款上の委託先起因被害の取扱いを整合させる運用が望まれます。

9. よくある質問（FAQ）

Q1. 小規模診療所でもサイバー保険は必要ですか？

A. 診療所規模でも電子カルテ・レセプトコンピュータを運用している以上、ランサムウェア被害・個人情報漏えいのリスクは病院と本質的に同じ構造で存在します。IPAの脅威資料でも中小組織を含む幅広い規模の被害事例が報告されており、被害発生時の経済的影響（システム復旧費用・営業補償・賠償費用）が診療所規模でも数百万円から数千万円規模に及ぶ場合があります。サイバー保険は自院のリスク許容度・財務体力・既存保険のカバー状況を踏まえて要否を判断することが基本で、業種特性を踏まえた総合的な検討が求められます。

Q2. 身代金を支払った場合、保険は支払われますか？

A. 身代金支払いの取扱いは保険会社・商品ごとに大きく異なり、明示的に免責としている例、一定条件下で対象とする例、事前承認を条件とする例など多様です。加えて、警察庁・関係機関は基本的に支払わない対応を推奨しており、制裁関連法令上の懸念や次の攻撃を誘発する社会的影響も指摘されています。身代金支払いの判断は、法執行機関・弁護士・フォレンジック調査業者・保険会社との協議を経て慎重に行うべき事項であり、契約前に約款上の取扱いを確認するとともに、事案発生時の判断フローを整備しておく運用が実務的です。

Q3. 個人情報漏えい時の報告期限はどのように設定されていますか？

A. 個人情報保護法および個人情報保護委員会のガイドライン・規則では、漏えい等事案発生時の個人情報保護委員会への「速報」および「確報」の期限が定められており、要配慮個人情報の漏えいや不正目的の漏えい等の類型では報告義務が生じます。医療機関では患者の傷病名等の要配慮個人情報を扱うため、漏えい件数の多寡にかかわらず報告義務が生じる場面が多い点に留意が必要です。具体的な期限・様式・記載事項は個人情報保護委員会の最新のガイドライン・Q&A・報告フォームで確認し、事案発生時の初動フローに組み込んでおくことが望まれます。

Q4. 委託先で発生したインシデントも保険で補償されますか？

A. 委託先起因の被害を補償対象に含めるか否かは、保険商品・約款ごとに取扱いが異なります。医療機関の情報システムは多くの部分を外部委託に依存しているため、委託先起因被害の補償範囲は特に重要な確認項目となります。加えて、委託契約書上のセキュリティ条項・インシデント通知義務・費用分担条項と保険約款上の取扱いを整合させ、責任分担のギャップが生じない設計にする運用が求められます。詳細は保険会社・代理店に照会するとともに、法務・情報システム部門を交えた契約レビューが実務的です。

Q5. 平時から取り組むべきセキュリティ対策の優先順位は？

A. 対策の優先順位付けは自院の情報資産・脅威・脆弱性の分析に基づく設計が基本ですが、一般論としては、（1）バックアップ運用（オフライン保管・世代管理・復元テスト）、（2）多要素認証・アクセス権管理、（3）脆弱性管理・パッチ適用・不要サービスの停止、（4）ネットワーク境界防御・ログ取得と監視、（5）職員教育（フィッシング対策・パスワード管理・USB持込ルール）、（6）インシデント対応手順の文書化と訓練、といった項目が優先度の高い対策として広く挙げられます。厚生労働省ガイドライン・IPA公開資料を参考に、自院の実態に即した対策計画を策定し、定期的な見直しと外部専門家による点検を組み合わせる運用が実務的です（厚生労働省「医療情報システムの安全管理に関するガイドライン」関連資料、IPA「情報セキュリティ10大脅威」関連資料）。

📌 あなたが次にやるべき1つの行動

関連サービスの公式サイトで、対応規模・料金プラン・申込方法をご確認ください。所要時間や手続きは各サービスの公式情報を参照してください。

10. 出典・参考資料

• 厚生労働省「医療情報システムの安全管理に関するガイドライン」 https://www.mhlw.go.jp/stf/shingi/0000516275_00002.html （取得日：2026-08-22）
• 厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」 https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000027272.html （取得日：2026-08-22）
• 厚生労働省「令和6年度診療報酬改定について」 https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000188411_00037.html （取得日：2026-08-22）
• 厚生労働省「業務継続計画（BCP）策定支援」 https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/saigai_iryou/index.html （取得日：2026-08-22）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」 https://www.ppc.go.jp/personalinfo/legal/guidelines_personal/ （取得日：2026-08-22）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/ （取得日：2026-08-22）
• IPA「情報セキュリティ10大脅威」 https://www.ipa.go.jp/security/10threats/index.html （取得日：2026-08-22）
• IPA「情報セキュリティ対策支援サイト」 https://www.ipa.go.jp/security/index.html （取得日：2026-08-22）
• 警察庁「サイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/index.html （取得日：2026-08-22）
• 一般社団法人日本損害保険協会 公式サイト https://www.sonpo.or.jp/ （取得日：2026-08-22）

---

【免責事項】本記事は厚生労働省・個人情報保護委員会・IPA・警察庁・一般社団法人日本損害保険協会等の公開情報を整理することを目的としており、特定のサイバー保険商品の補償可否、特定インシデントにおける保険金支払いの成否、特定のセキュリティ対策・BCP設計の有効性を保証するものではありません。個人情報保護法・医療法・診療報酬改定等の関連法令および告示・通知は改訂されるため、最新情報の確認が必要です。個別の保険契約・約款解釈・支払判断・法的判断は、各損害保険会社・保険代理店・弁護士・医療機関の顧問専門家にご確認ください。本記事は医療行為・診断・治療の助言を含みません。本記事の情報利用によって生じた損害について、mitoru編集部は責任を負いません。

最終更新日：2026年8月22日｜編集方針

関連記事(mitoru編集部おすすめ)

• 医療機関リスクマネジメント完全ガイド
• 医療機関BCP完全ガイド
• 医療機関ISMS完全ガイド