基礎解説第11回 AIGIS Cyber Lab

医療機器と院内PC、同じネットワークで大丈夫？｜ネットワーク分離の基本

2026年10月8日監修・作成：AIGIS編集部難度：入門

医療機関では、さまざまな機器やシステムがネットワークにつながっています。

例えば、

電子カルテ
医用画像を保存するPACS
検査装置や医療機器
受付や事務部門のPC
インターネットを利用する業務PC
メーカーの遠隔保守システム
来院者向けのゲストWi-Fi

などです。

それぞれが通信できることで、診療や日常業務が成り立っています。

しかし、
「ネットワークにつながっている機器なら、どの機器にも自由に通信できる」
という状態が、本当に必要なのでしょうか。

一つのPCが不正なプログラムに感染した場合、そこから重要な医療システムへ通信できてしまう可能性があります。

こうした問題を小さくするための考え方が、ネットワーク分離です。

ネットワーク分離とは

ネットワーク分離とは、機器やシステムを用途・重要性などに応じてグループに分け、グループ間の通信を管理することです。

例えば、

医療機器を利用するネットワーク
電子カルテなど重要な業務システムのネットワーク
一般の業務PCのネットワーク
来院者向けWi-Fiのネットワーク

を分けて考えます。

ただし、別々のグループに分けるだけでは十分ではありません。

どのグループから、どのグループへ、何のために通信できるかを決めることが重要です。

HHSの医療分野向けCybersecurity Performance Goalsでも、ネットワーク分離は、侵害された機器からほかの重要なシステムへ問題が広がる可能性を小さくするための対策として紹介されています。

なぜ分離する必要があるのか

例えば、事務部門のPCがマルウェアに感染した場合を考えてみます。

そのPCから院内のあらゆるシステムへ通信できると、攻撃者が別のサーバーや機器への侵入を試みる可能性があります。

一方、事務部門のPCから医療機器のネットワークへ不要な通信ができないようになっていれば、影響が広がる経路を減らせる可能性があります。

もちろん、ネットワークを分けただけですべての攻撃を防げるわけではありません。

アカウント管理、脆弱性対応、監視などと組み合わせて考える必要があります。

第7回の「最小権限」は、人やアカウントについて必要な操作だけを許可する考え方でした。

ネットワーク分離は、それを通信の範囲にも広げて考えるものです。

「分ける」ことは「全部切り離す」ことではない

医療機器や医療情報システムでは、必要な通信まで止めてしまうと診療に支障が生じる可能性があります。

例えば、画像診断装置で撮影した画像をPACSへ送る必要がある場合、その通信を遮断するわけにはいきません。

また、機器の状態監視や遠隔保守、ソフトウェア更新などのため、外部との通信が必要なこともあります。

ネットワーク分離の目的は、こうした必要な通信まで禁止することではありません。

必要な通信を把握して許可し、必要のない通信を制限することです。

まず「何が、どこへ通信しているか」を確認する

ネットワークを見直すとき、最初から機器の設定を変更する必要はありません。

まず確認したいのは、次のような情報です。

どの機器やシステムが接続されているか
それぞれ何の業務に使われているか
どのシステムとの通信が必要か
インターネットへの接続が必要か
メーカーや保守会社が接続する経路があるか
通信の設定を誰が管理しているか

例えば、
「この検査装置は画像サーバーへデータを送る」
「このPCは外部のクラウドサービスを利用する」
「この機器はメーカーが遠隔保守を行う」
といった情報を整理します。

こうした通信経路を図にしておくと、どこを分けるべきか考えやすくなります。

すべての通信を最初から完全に把握できなくても、まず重要な機器やシステムから確認を始めます。

VLANを分ければ、それで安全？

ネットワーク分離の話では、「VLAN」という言葉が出てくることがあります。

VLANは、ネットワークを論理的に分けるための技術の一つです。

しかし、VLANを分けていても、ルーターなどの設定によっては、異なるVLAN間で広く通信できる場合があります。

したがって、
「VLANを分けているから安全」
とは限りません。

確認したいのは、分かれたネットワークの間で、実際にどんな通信が許可されているかです。

ファイアウォールなどによる通信制御が必要になる場合もあります。

ただし、特定の製品や方式を使っていることだけで安全性を判断するものではありません。

医療機器ではメーカーとの確認も重要

医療機器は、一般的なPCと異なり、利用者が自由に設定やソフトウェアを変更できない場合があります。

また、機器間の通信を制限すると、本来必要な機能に影響する可能性もあります。

そのため、ネットワークを変更する前に、

メーカーが必要としている通信
接続先や利用する通信方式
遠隔保守や更新のための通信
通信を制限した場合の影響
設定変更後に確認すべき機能

を確認することが重要です。

第9回では、遠隔保守について、誰が、いつ、どこから接続できるかを扱いました。

ネットワーク分離では、さらに、
「遠隔保守で接続した先から、ほかのシステムへどこまで通信できるか」
という点も確認対象になります。

更新できない機器にも意味がある

第10回では、脆弱性が見つかったときに、すぐ更新できない医療機器もあることを扱いました。

こうした場合、ネットワーク分離がリスクを減らす手段の一つになることがあります。

例えば、必要なサーバーとの通信は維持しながら、不要なインターネット接続や、ほかの業務PCからのアクセスを制限する方法です。

ただし、ネットワーク分離は脆弱性そのものを修正するものではありません。

メーカーが示す対策、更新計画、運用上の制約と合わせて検討します。

設定した後の確認も忘れない

ネットワークを分けても、その設定が実際の運用に合っていなければ問題が生じることがあります。

例えば、
「通常の検査は問題ないが、夜間の自動データ送信だけ失敗する」
ということが起きるかもしれません。

そのため、

通常業務が問題なく行えるか
必要なシステム間通信が成立しているか
不要な通信が制限されているか
遠隔保守や更新が必要なときに利用できるか
機器やシステムの追加後も設定が適切か

を確認します。

設定変更は、診療への影響を考慮して計画的に実施することが大切です。

5分で確認してみましょう

自社や自院について、次の質問に答えられるでしょうか。

重要な機器やシステムの接続状況を把握している
医療機器と一般の業務PCの通信範囲を説明できる
ゲストWi-Fiから重要なシステムへアクセスできないことを確認している
医療機器に必要な通信を把握している
メーカーや保守会社の接続経路を把握している
ネットワーク間の不要な通信を制限している
設定変更後に必要な機能が動作することを確認している

一つでも「分からない」があれば、そこから確認してみましょう。

特に医療機器では、通信の目的を確認せずに接続を停止することは避ける必要があります。

AIGISでは通信の「つながり方」も確認します

AIGISでは、医療機器の通信機能や外部接続、システム構成を確認し、リスクの整理を支援しています。

ネットワークについても、
「どんな機器がつながっているか」
「何のために通信しているか」
「不要な通信が許可されていないか」
「通信の設定を変更すると何が起きるか」
といった観点が重要になります。

ネットワーク分離は、単に機器を別々にすることが目的ではありません。

必要な通信を守りながら、問題が起きたときに影響が広がる可能性を小さくする。

そのために、まずシステムのつながり方を把握するところから始めます。

参考資料

情報確認日：2026年10月7日