関西医科大学附属病院、患者約1800人分のUSBメモリを一時紛失 — 数日後に発見・回収も公表

項目	内容
発生時期	2026年2月（紛失）／数日後に発見・回収
公表日	2026年6月22日
対象組織・業界	関西医科大学附属病院（大阪府枚方市／大学病院）
事象	患者情報を保存したUSBメモリの一時紛失
情報源	Security NEXT（2026年6月22日）

概要

関西医科大学附属病院は2026年6月22日、同院脳神経内科の勤務医が使用していたUSBメモリを一時的に紛失したことを公表しました。紛失は2026年2月で、USBメモリは数日後に発見され、回収されています。

USBメモリには患者約1800人分の氏名、ID、性別、病名、入退院日が保存されていました。同院は発見時の状況から流出のリスクは低いと評価しており、個人情報の不正利用なども確認されていません。一方で、管理体制が不十分だったとしています。

経緯

• 2026年2月: 同院脳神経内科の勤務医が、使用していたUSBメモリを一時的に紛失
• 数日後にUSBメモリが発見され、回収された
• 発見時の状況から流出のリスクは低いと評価。個人情報の不正利用は確認されず
• 2026年6月22日: 公表。管理体制が不十分だったとして、記録媒体による情報の持ち出しルールの再徹底、教職員に対する教育研修の強化を表明

原因

同院は「管理体制が不十分だった」と説明しています。USBメモリの暗号化の有無、持ち出しに関する規程違反があったかどうかは公表されていません。

考えられる原因（推測）: 病院で診療科の医師がUSBメモリを使う典型的な動機は、(a) 学会発表・論文執筆のための症例データの持ち出し、(b) 電子カルテ系ネットワークと院外ネットワークが分離されているため、データ移動の手段がUSBメモリに限られる、(c) 複数の勤務先・研究室をまたいで作業する必要がある、といった業務条件です。約1800人分という規模は、単一の診療目的ではなく症例の集積・分析を想定した抽出であることを示唆します。同院が対策として「記録媒体による情報の持ち出しルールの再徹底」を挙げていることからは、持ち出しに関する規程自体は存在していた可能性が考えられます。暗号化の有無に言及がないため、暗号化されていなかった可能性は否定できません。いずれも推測であり、公表された事実は「管理体制が不十分だった」という説明までです。

対策

組織が学ぶべきこと

1. 「回収できた」ことは幸運であり、対策ではない

本件のUSBメモリは数日後に発見・回収されました。しかしこの数日間、媒体は組織の管理外にあり、その間に複製されたかどうかを証明する手段はありません。回収は「原本が戻ってきた」ことを意味するだけで、「複製されなかった」ことを意味しません。 同院が「発見時の状況から流出のリスクは低い」と評価した根拠（施錠された場所で見つかった、封がされたままだった等）は公表されていませんが、この評価の妥当性は状況の記録にかかっています。

2. 論点は「持ち出しの禁止」ではなく「持ち出しの設計」

医療機関では、症例研究・学会発表・多施設共同研究といった形で、診療データを診療以外の目的で扱う業務が正当に存在します。ネットワークが分離されている環境では、データ移動の手段が物理媒体しかないという状況も現実に発生します。したがって実効性のある対策は「USBメモリの使用禁止」という宣言ではなく、組織が用意した暗号化済み媒体のみを貸出制で使う、持ち出し可能な件数と項目を事前承認制にする、抽出時に氏名とIDを削って連結不可能な形にするといった、業務が回る形での設計です。

3. 約1800人分の抽出そのものが問われる

氏名・ID・性別・病名・入退院日が揃った1800人分のデータは、患者本人を特定でき、かつ病名という要配慮個人情報を含む集合です。媒体の管理を強化するより先に、「その業務に本当に氏名とIDが必要だったか」を問う方が、被害の期待値を大きく下げます。 症例の分析であれば、多くの場合は連番と属性で足り、氏名を含めないだけで紛失時の影響は質的に変わります。

ヤグラの視点 — 報告率をKPIに：回収できた紛失を、それでも公表した判断

USBメモリの物理的な紛失を技術で止める手段はなく、ここで扱えるのは報告と公表の設計についての話です。

そのうえで、この事案には評価すべき点が1つあります。回収済みで、不正利用も確認されておらず、流出リスクは低いと自ら評価している事案を、それでも公表していることです。この状況では、報告しない・公表しないという選択が容易に成立します。実害が確認できず、原本も戻ってきているのだから、と。実際、紛失事案が長く伏せられ、後になって発覚して信頼を大きく損なう例は繰り返し起きています。

ヤグラが訓練の指標として「クリック率ではなく報告率」を重視するのは、この構造への対応です。組織にとって最も危険なのは、従業員が失敗を隠すことです。報告した人が責められる組織では、報告は減り、その結果として組織は自分に何が起きているかを知らなくなります。 逆に、報告のハードルが下がっている組織では、本件のような「たぶん大丈夫だが報告しておく」事案が可視化され、傾向として蓄積され、ルールの見直しにつながります。

本件で医師が紛失を申告し、組織が管理体制の不備として受け止め、教育研修の強化に接続している流れは、報告が機能した事案として読むべきものです。 同じ環境で報告が上がらなければ、1800人分のデータが数日間管理外にあったという事実そのものが組織に残らず、持ち出しルールの見直しも起きなかったはずです。インシデント対応の成熟度は、深刻な事案を上手にさばく力ではなく、軽微な事案が漏れなく上がってくるかどうかで測るのが実態に合っています。

今後の対応

同院は記録媒体による情報の持ち出しルールの再徹底、教職員に対する教育研修の強化を進め、再発の防止を図るとしています。USBメモリは回収済みで、個人情報の不正利用は確認されていません。

更新履歴

日時	内容
2026-06-22	初稿公開（公表日時点）