医療機関の身代金型ウイルス対策！事務長が主導する「ガイドライン6.0」対応とBCP・バックアップのポイント

近年、病院やクリニックを標的としたランサムウェア（身代金要求型悪質プログラム）の被害が増加しています。電子カルテのデータが閲覧不能になり、診療や救急受入の休止、患者情報の流出といった深刻な被害が生じるケースも珍しくありません。医療現場の安全確保に向けたセキュリティの強化は、今や最優先で取り組むべき課題です。

こうした背景から、厚生労働省は「医療情報システムの安全管理に関するガイドライン第6.0版（ガイドライン6.0）」を策定しました。今回の改定で明確に示されたのは、「セキュリティ確保は情報部門だけに任せるのではなく、経営陣や事務長が責任を持って進めるべきリスク管理である」という方針です。

この記事では、365medicalの知見をもとに、事務長が主導して進める「サイバーBCP（医療継続計画）の作り方」と「ランサムウェアに強いバックアップ体制」について詳しく解説します。

ガイドライン6.0で求められるセキュリティ意識の転換

ガイドライン6.0では、従来の「ネットワークの入口で外部からの侵入を防ぐ（境界型防御）」という発想から、「攻撃者に侵入されることを前提として、いかに被害を抑え素早く復旧するか（ゼロトラストおよびBCP重視）」という方針へシフトしています。

押さえておくべき主な変更点

・経営陣・事務長によるガバナンス体制構築：CISO（最高情報セキュリティ責任者）の設置や院内の責任体制を明確化する。

・サプライチェーン（外部委託先）リスクの把握：システムベンダーや保守事業者のセキュリティ水準を確認・評価する。

・サイバー攻撃に対応した医療継続計画（BCP）の策定：システム全停止時でも診療を止めないための紙運用ルールと復旧手順を整える。

・オフラインバックアップの導入推進：ランサムウェアによってバックアップデータまで同時に暗号化される事態を防止する。

事務長が中心となって進める「サイバーBCP策定」の3ステップ

専門的なIT知識と、各部門との調整権限を併せ持つ「事務長」がリーダーシップを発揮することで、現場で機能する実効性の高いBCPが完成します。

ステップ1：システム障害時の業務影響度調査（BIA）

まずは、電子カルテや画像管理システム（PACS）、検査システムなどが全面的に停止した場合、どの業務が何時間で停滞し診療に支障が出るかを分析します。「初診・再診の受入」「処方」「会計」など、優先的に復旧・維持すべき業務順位を決定します。

ステップ2：紙運用への移行手順と備品の事前準備

システム停止時に素早く切り替えられる「紙運用マニュアル」を準備します。あわせて、以下の備品や書類を常に使える状態で確保しておく必要があります。

・複写式の紙カルテ、処方箋用紙、検査依頼書

・印刷済みの緊急連絡先一覧（紙媒体）

・オフライン状態で過去データを閲覧できる専用端末および非常用電源

ステップ3：サイバー攻撃を想定した実践訓練の実施

計画を作成するだけで満足してはいけません。年に1〜2回程度、実際に電子カルテが使えなくなった状態を想定した切り替え訓練を実施します。訓練を通じて「紙の処方箋がどこにあるかわからない」「緊急用電源の接続方法がわからない」といった課題を発掘し、BCPの内容を更新していきます。

ランサムウェアの脅威に負けない「バックアップ環境」の整備

最新のランサムウェアは、院内ネットワーク上のバックアップ用ストレージ（NAS等）も標的にして、本番データと一緒に暗号化してしまいます。ガイドライン6.0で「バックアップの分離・隔離」が強く推奨されているのはこのためです。

データ保護の黄金律「3-2-1ルール」

安全なバックアップ運用を実現するための基本原則として「3-2-1ルール」の導入を推奨します。

・3つのデータ（元データ1つ ＋ バックアップ2つ）を用意する

・2種類の異なる記憶メディア（ハードディスク、テープ、クラウドなど）に保存する

・1つはネットワークから分離された環境（オフラインや離れた場所のクラウド）に保管する

バックアップ手法の選定とおすすめの構成

・ネットワーク接続型NAS：迅速なデータ復旧が可能で自動化もしやすいが、単体運用では感染時にまとめて暗号化される危険性がある（ガイドライン適合度：△）。

・オフラインバックアップ（脱着式HDDや磁気テープ）：物理的に回線から外すため暗号化される心配が極めて少ないが、手動でのメディア交換作業が発生する（ガイドライン適合度：〇）。

・クラウドバックアップ（不可変ストレージ）：データの書き換えができない仕組みで安全性が高く、自動化も可能。通信環境の確保やガイドラインに適合したクラウドサービスの選定が必要（ガイドライン適合度：◎）。

現実的かつ強固な構成としておすすめなのは、「日々の復旧作業を素早く行うためのNAS」と「万が一の感染時にもデータを守り抜くオフライン・不可変クラウドバックアップ」を組み合わせたハイブリッド運用です。

365medicalが手掛ける安全管理支援（MSO/DSO）

医療機関のセキュリティ対策やBCP策定には、ITに関する専門的な知識と医療現場特有の業務フローに対する深い理解の両方が欠かせません。「具体的にどこから手をつけるべきか迷っている」「既存のIT業者だけでガイドライン6.0を満たせているか不安」といった疑問をお持ちの経営陣・事務長様も多いのではないでしょうか。

365medicalでは、医療機関に特化したMSO/DSOパートナーとして、以下の支援プログラムを提供しています。

・ガイドライン6.0への適合状況診断・リスク分析

・事務長様と二人三脚で行うサイバーBCPの策定およびマニュアル作成支援

・ランサムウェア被害を防ぐ「オフライン・クラウドバックアップ」の選定・構築

・院内スタッフ向けのセキュリティ教育や紙運用移行訓練の企画・実施

まとめ：事務長がリードするセキュリティ対策が患者と医療を守る

サイバーセキュリティの強化は、単なる「IT機器の購入コスト」ではなく、病院の診療機能を維持し、患者様の生命と大切な情報を守るための「医療安全管理」そのものです。

ガイドライン6.0への対応をきっかけに、事務長様が主導権を握り、院内の情報安全管理体制とBCPの見直しに取り組んでいきましょう。365medicalは、医療機関の持続的な運営と安全な医療環境づくりを力強くバックアップいたします。

自院のセキュリティ体制やBCP作成について課題をお持ちの方は、ぜひ一度365medicalへご相談ください。