ITパスポート｜病院で全部わかる情報セキュリティのしくみ

2026年7月18日 08:48

※ 本記事にはアフィリエイトリンク（PR）を含みます。

病院で、医師・看護師・受付の人が、同じ電子カルテのシステムを使っています。でも、じつは3人が見ている画面は同じではありません。受付の人には、あなたの病名や検査結果までは見えないようになっているんです。「同じシステムなのに、なぜ全員が同じ情報を見られないの？」。今日は、その裏側をのぞいてみましょう。

「セキュリティって、こわい攻撃の話でしょう？」と身がまえた方、大丈夫ですよ。今日の主役は、攻撃ではありません。あなたの大切な情報を、だれが・どこまで・どう守っているかという、前向きな仕組みの話です。

この記事は、新シリーズ「身近な例で全部わかる ITパスポート」の第2弾です。病院という1つの場所を舞台に、情報セキュリティの用語が実際にどうつながって動いているかを見ていきます。初めて聞く言葉があっても平気。じっくり解説した「本拠地」の記事へのリンクを、場面ごとに置いてありますからね。

この記事でわかること

病院でログインしてから画面が開くまでに動いている、セキュリティの仕組み
医師・看護師・受付で見える情報がちがう理由と、だれが見たか記録が残る仕組み
電子カルテを「見せない・書き換えさせない・止めない」で守る考え方と、病歴が特別扱いされる理由

この記事の要点（先に結論！）

病院で職員が電子カルテを開くには、まずIDやパスワードなどでログインして本人確認をします。これを利用者認証と呼びます。
医師・看護師・受付で見える情報がちがうのは、役割ごとに見てよい範囲（アクセス権）を分けているからです。
だれが・いつ・どの患者のカルテを開いたかは記録に残ります。これは責任追跡性という考え方にあたります。
電子カルテを守るとは「見せない（機密性）・勝手に書き換えさせない（完全性）・止めない（可用性）」の3つを守ることです。この3つは、情報セキュリティの要素7つのうちの先頭3つです。
病歴などの医療情報は「要配慮個人情報」にあたり、特に厳重に扱われます（2026年7月時点）。

先に、病院で1回カルテを開くまでの流れを、地図にしておきますね。この順番で見ていきます。

1. 受付でログイン：まず「あなたは、あなたですね？」

舞台は、朝の病院。診療が始まる前、職員はまず自分のIDとパスワードを入力して、システムにログインします。ここでシステムがやっているのは、たった1つのこと。「あなたは、本当にあなたですね？」の確認です。これを利用者認証（本人確認）と呼びます。他人がなりすまして入れないよう、入口で確かめているわけですね。

ただ、パスワードは1つ漏れたら終わり、という弱点があります。そこで病院のような大事な現場では、パスワードだけでなく、ICカードや指の静脈など、種類のちがう確認を組み合わせることがよくあります。これを暗号と認証の記事では多要素認証とお伝えしました。

たとえに使ったのは、銀行のATMでしたね。カード（持っているもの）と暗証番号（覚えているもの）、その両方がそろわないとお金は下ろせない。片方だけでは通さない、あの仕組みです。

体の特徴で本人を確かめる方式は、生体認証（バイオメトリクス認証）といいました。同じ記事で、静脈・虹彩（こうさい）・顔などが例に挙がっていましたね。鍵は忘れるし、なくします。でも、指の静脈は忘れません。 病院の入口で本人確認がしっかりしているのは、この先に、他人に見せてはいけない情報が待っているからなんです。

【試験ではこう出る】 利用者認証・多要素認証・生体認証は、テクノロジ系「セキュリティ」の頻出テーマです。本拠地はこちら → 公開鍵暗号とは？暗号と認証をやさしく解説

2. 見える情報がちがう：役割ごとの「鍵」

さて、ログインできました。ここからが、この記事の入口の問いの答えです。同じ電子カルテを開いても、医師には検査結果や処方まで、看護師にはケアに必要な範囲、受付には受診の予約や会計に必要な範囲、というように、見える情報が役割ごとに分かれています。受付の人が全部の病名を見られてしまったら、それはそれで困りますよね。

この「だれに、どこまで見せるか」という権限のことを、アクセス権といいます。じつはこれ、初めてではありません。OSの記事で、アクセス権とは誰がどのファイルを読んだり書き換えたりしてよいか、という権限だとお伝えしました。たとえたのは、家の鍵と合鍵。だれに鍵を渡すか、どの部屋まで開けられる鍵にするか、という話でしたね。病院なら、「医師の鍵」「看護師の鍵」「受付の鍵」で、開けられる部屋がちがう、というイメージです。

大事なのは、必要な人に、必要な範囲だけ鍵を渡すという考え方です。全員に全部の鍵を配らない。こうしておけば、もし1つのIDが悪用されても、被害はその役割の範囲でとどまります。そして、その鍵で本当に開けてよいかを機械の側で確かめているのがアクセス制御です。暗号と認証の記事では、アクセス権は「人的」な対策（だれに渡すかを決めるのは人）、アクセス制御は「技術的」な対策（権限に従って通す・通さないを機械が判断）と、置き場所が分かれていましたね。

【試験ではこう出る】 アクセス権はテクノロジ系で「人的」対策（本拠地：OSの記事）、アクセス制御は「技術的」対策として整理されます（暗号と認証の記事）。

3. だれが見たか、記録が残る

もう1つ、電子カルテには大事な仕組みがあります。だれが・いつ・どの患者のカルテを開いたかが、記録に残ることです。あとから「この日、このカルテを開いたのは誰か」をたどれるようになっているんですね。見てよい人が、見てよい範囲を、きちんと見た。それが後から確かめられる、という安心につながります。

この「だれが・いつ・何をしたかを、あとからたどれる」という考え方を、ISMSと情報セキュリティの要素の記事では責任追跡性とお伝えしました。漢字を素直に読めば「責任を追跡する」。読んだとおりの意味なんですね。記録が残っているからこそ、万が一おかしな閲覧があっても気づけますし、そもそも「見られている」と分かっていれば、軽い気持ちでのぞく気も起きません。監視は、罰するためというより、安心して使えるようにするための仕組みなんです。

ここで、1つ橋を架けておきます。じつはこの「責任追跡性」、単独で登場する言葉ではありません。同じ記事で、情報セキュリティの要素は7つ並んでいるという話がありました。よく「情報セキュリティの3要素」「CIA」と聞きますが、シラバスにはその言い方はなく、7つのうちの先頭3つを指しているだけなんですね（2026年7月時点）。その先頭3つを、次の場面で病院にあてはめてみましょう。

【試験ではこう出る】 責任追跡性は、情報セキュリティの要素7つの1つです。7つの全体像はこちら → ISMSとは？情報セキュリティの要素7つ

4. カルテを守る3つ：見せない・書き換えさせない・止めない

電子カルテを守る、と言うとき、じつは中身は3つに分けて考えられます。病院の場面で並べてみますね。

見せない……関係ない職員や外部の人に、患者の情報が見られない状態（機密性）
勝手に書き換えられていない……カルテの中身が、正しいまま保たれている状態（完全性）
止めない……診療で使いたいときに、システムがちゃんと使える状態（可用性）

この3つ、ISMSと情報セキュリティの要素の記事で見た機密性・完全性・可用性そのものです。よく聞く「あの3つ」は、じつは7つの要素の先頭3つでしたね。病院で考えると、どれも大切さがすぐ分かります。他人に病歴を見られたら困る（見せない）。処方の量が勝手に変わっていたら、命にかかわる（書き換えさせない）。急患のときにシステムが止まっていたら、診療できない（止めない）。3つとも、守れて当たり前、というわけです。

とくに「止めない」＝可用性が失われると、病院はとても困ります。近年は、病院のシステムを狙って、データを使えない状態にして金銭を要求する攻撃が話題になることがあります。脅威と攻撃手法の記事で見たランサムウェアです。カルテが使えなくなれば、まさに可用性が失われた状態ですよね。

ただ、こわがりすぎなくて大丈夫。ちゃんと備えがあります。その1つがバックアップです。ファイル管理の記事で、別の場所に控え（コピー）を取っておくこととお伝えしましたね。控えがあれば、たとえ元のデータが使えなくなっても、自分で元に戻せます。「戻す代わりにお金を払え」と言われても、こちらには控えがある。地味な習慣が、いちばん派手な脅威に効くというわけです。

【試験ではこう出る】 機密性・完全性・可用性は情報セキュリティの要素の先頭3つ（本拠地：要素7つの記事）。ランサムウェアは脅威の単元（脅威と攻撃手法の記事）、バックアップはファイル管理の単元です（ファイル管理の記事）。

5. そもそも、病歴は特別なデータ

ここまで、技術の面から「誰でも見てはいけない理由」を見てきました。でも、理由はもう1つあります。法律の裏づけです。

病歴や検査結果などの医療情報は、個人情報の中でも特別にデリケートなものとして扱われます。個人情報保護法の記事で見た要配慮個人情報が、まさにこれです。人種・信条・病歴・犯罪の経歴など、知られると差別や偏見につながりかねない情報のこと。たとえたのは、「取り扱い注意」シールつきの名札でしたね。ふつうの個人情報より一段きびしく守る、という位置づけです。

要配慮個人情報を手に入れる（取得する）ときは、原則として本人の同意が必要とされています（2026年7月時点）。だから病院は、あなたの病歴を軽々しく扱えません。「電子カルテを、誰でも見てはいけない」の裏には、こうして技術の仕組みだけでなく、法律の後押しもあるんですね。細かいルールが気になった方は、本拠地の記事でじっくりどうぞ。

【試験ではこう出る】 要配慮個人情報は、ストラテジ系「法務」の頻出テーマです。本拠地はこちら → 個人情報保護法とは？要配慮個人情報をやさしく解説

6. まとめ：3行でふりかえり

病院では、ログイン（利用者認証・多要素認証）で本人を確かめ、役割ごとのアクセス権で見える範囲を分け、だれが見たかを記録に残しています（責任追跡性）。
電子カルテを守るとは「見せない（機密性）・勝手に書き換えさせない（完全性）・止めない（可用性）」の3つを守ること。これは情報セキュリティの要素7つの先頭3つで、可用性への脅威にはランサムウェア、その備えの1つがバックアップです。
病歴などの医療情報は要配慮個人情報にあたり、取得には原則として本人の同意が必要です（2026年7月時点）。

いかがでしたか？「誰でも見てはいけない理由」は、こわい話ではなく、あなたを守るための、いくつもの仕組みの積み重ねでした。用語は「場所」とセットにすると、ぐっと忘れにくくなります。気になった用語は、場面ごとに置いた本拠地の記事で、じっくり固めてみましょう！

7. よくある質問（FAQ）

Q1. 電子カルテは誰でも見られるのですか？

A. いいえ、見られません。まずログイン（利用者認証）で本人確認をし、そのうえで、ログインした人の役割ごとに見える範囲（アクセス権）が分かれています。その権限で本当に通してよいかを機械が判断するのがアクセス制御です。受付・看護師・医師で見える情報がちがうのは、この仕組みのためですよ。

Q2. 病院で職種によって見られる情報がちがうのはなぜですか？

A. 役割ごとにアクセス権を分けているからです。「必要な人に、必要な範囲だけ」見せる、という考え方ですね。全員に全部の情報を見せないことで、もし1つのIDが悪用されても被害をその範囲でとどめられます。くわしくはOSの記事（アクセス権）や暗号と認証の記事（アクセス制御）で解説しています。

Q3. 誰がカルテを見たかは記録に残りますか？

A. はい、だれが・いつ・どの患者のカルテを開いたかは記録に残ります。これは「あとからたどれる」という責任追跡性の考え方にあたります。記録が残っているからこそ、おかしな閲覧に気づけますし、軽い気持ちでのぞく気も起きにくくなります。情報セキュリティの要素7つの1つとして、要素7つの記事で解説しています。

Q4. 病歴は個人情報の中でも特別なのですか？

A. はい、病歴や検査結果などの医療情報は「要配慮個人情報」にあたり、ふつうの個人情報より厳重に扱われます。人種・信条・病歴・犯罪の経歴などが含まれ、取得するときは原則として本人の同意が必要です（2026年7月時点）。「取り扱い注意シールつきの名札」とイメージすると分かりやすいですよ。くわしくは個人情報保護法の記事へどうぞ。