浜松医科大学医学部附属病院、患者119人分の検査結果訂正報告書ファイルが所在不明 — ISO審査の準備過程で判明し被害届を提出
| 項目 | 内容 |
|---|---|
| 発生日 | 特定されていない。2025年8月20日にISO15189審査の準備過程で所在不明が判明 |
| 公表日 | 2025年12月2日 |
| 対象組織・業界 | 浜松医科大学医学部附属病院（医療機関） |
| 影響件数 | 患者119人分の氏名、患者ID、生年月日、臨床検査項目名、検査値、検査結果の訂正理由 |
| 攻撃手法 | 攻撃の有無は不明。所定の保管場所からファイルが失われた。審査準備の過程で一時的に持ち出された可能性、および盗難の可能性のいずれも言及されている |
| 情報源 | Security NEXT（2025年12月2日） |
浜松医科大学医学部附属病院は2025年12月2日、患者の個人情報が記載された書類が所在不明になっていることを明らかにしました。
失われたのは、臨床検査結果の訂正履歴を記録した「結果訂正報告書」が綴じられたファイルです。所定の保管場所にないことが、ISO15189（臨床検査室の国際認定）の審査準備の過程で2025年8月20日に判明しました。
記載されていたのは患者119人分の氏名、患者ID、生年月日、臨床検査項目名、検査値、検査結果の訂正理由です。同院は警察へ被害届を提出し、対象となった患者には書面で経緯の報告と謝罪を行っています。
なお同院は、審査準備の過程で一時的に持ち出された可能性にも言及しており、失われた経緯は確定していません。
- 記録された時期: 公表されていない（結果訂正報告書の綴じられた期間は非公表）
- 2025年8月20日: ISO15189審査の準備過程で、所定の保管場所にファイルがないことが判明
- 判明後: 警察へ被害届を提出。対象患者へ書面で経緯の報告と謝罪
- 2025年12月2日: 浜松医科大学医学部附属病院が公表
判明している事実: ファイルが所定の保管場所にないことのみが確認されており、失われた経緯は特定されていません。同院は審査準備の過程で一時的に持ち出された可能性を挙げる一方、被害届を提出しており、盗難の可能性も排除していません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”原因が「持ち出し」と「盗難」の両方に開かれたままである状態は、ファイルの所在を記録する運用がなかったことを示唆します。誰がいつ持ち出したかを記録する仕組みがあれば、少なくとも「持ち出しであるか否か」は判定できるはずです。
結果訂正報告書という書類の性質も、発見の遅れに関係していると考えられます。検査値の訂正履歴は、訂正の直後に確認されたあとは、監査や照会の場面でしか参照されません。日常業務で開かない文書は、失われても不在に気づく機会がない——実際に判明したのは審査準備という非日常の作業でした。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 診療情報を含む紙文書には、持ち出しの記録を必須にする
Section titled “1. 診療情報を含む紙文書には、持ち出しの記録を必須にする”この事案では、持ち出しか盗難かの区別すらついていません。入退室の記録や電子データのアクセスログに相当するものが、紙文書には存在しなかったということです。持ち出しの記録は捜索の手がかりになるだけでなく、原因を特定して再発防止策を選ぶための前提でもあります。
2. 参照頻度の低い文書ほど、定期的な所在確認の対象にする
Section titled “2. 参照頻度の低い文書ほど、定期的な所在確認の対象にする”訂正履歴や監査用の記録は、作成後ほとんど開かれません。参照されない文書は、失われたことが誰にも観測されない状態が続きます。保存期間の長い文書について、年に一度でも棚卸しを行う運用があれば、失われた時期を狭い範囲に絞り込めます。
3. 検査値と訂正理由は、氏名と分けて保管できないかを検討する
Section titled “3. 検査値と訂正理由は、氏名と分けて保管できないかを検討する”今回の書類には、患者を特定できる情報（氏名・患者ID・生年月日）と、診療上の内容（検査項目名・検査値・訂正理由）が同じ紙面に載っていました。訂正履歴の管理という目的に、氏名の併記が必須かどうかは検討の余地があります。患者IDのみで運用できれば、同じ紛失が起きても影響の性質は変わります。
ヤグラの視点 — 攻撃者のいないインシデント：攻撃者がいたのかどうかも、まだ分かっていない
Section titled “ヤグラの視点 — 攻撃者のいないインシデント：攻撃者がいたのかどうかも、まだ分かっていない”この事案には、加害者が特定されていません。それ以上に特徴的なのは、加害者が存在するのかどうかすら判定できていないことです。同院は「審査準備の過程で一時的に持ち出された可能性」を挙げる一方で、警察へ被害届を提出しています。事務的な置き忘れと、意図的な持ち出しと、外部からの盗難が、同じ「所在不明」という一つの結果に収束しています。
原因が三つに開いたままであることは、対策を選べない状態を意味します。置き忘れであれば保管場所の運用を、内部の持ち出しであれば権限と記録を、盗難であれば物理的な施錠を——それぞれ違う対策が必要で、どれを選ぶべきかを決める材料がありません。電子データであれば、アクセス記録から「誰が最後に触れたか」を辿って原因を絞れます。紙の文書でそれに相当するのは、持ち出し台帳だけです。
紙で保管するという選択は、それ自体が悪いわけではありません。ただし紙は、失われた瞬間に「何が起きたか」を説明する材料も一緒に失うという性質を持ちます。電子化が難しい文書について、せめて持ち出しと返却を記録する——このもっとも原始的な統制がないままでは、次に同じことが起きても、また三つの可能性を並べる公表文を書くことになります。
- ファイルの捜索結果と、失われた経緯（持ち出し／盗難／置き忘れ）の特定
- 警察の捜査結果
- 紙文書の保管・持ち出し管理を含む再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2025年12月2日の公表内容をもとにアーカイブ記事として作成 |