医療・介護のサイバーリスク｜サービスへの影響と対策

医療機関や介護施設にとって、サイバー攻撃は情報漏えいだけの問題ではありません。電子カルテや介護記録、予約管理、請求業務などのシステムが利用できなくなると、日々の診療・介護サービスにも影響が及ぶ可能性があります。

大切なのは、攻撃を完全に防ぐことだけを考えるのではなく、システムが使えない状況でも患者・利用者の安全を守り、必要な業務を継続するための準備を進めておくことです。

1．診療・介護サービスにはどのような影響があるのか

サイバー攻撃やシステム障害が発生した場合、影響する範囲は施設の規模やシステム構成、停止した機能によって異なります。考えられる影響を事前に整理しておきましょう。

患者・利用者の情報を確認できない

電子カルテや介護記録が利用できなくなると、過去の診療内容、服薬情報、アレルギー情報、ケアの記録などを通常どおり確認できない可能性があります。情報を確認できない状況では、安全性に配慮した対応と、代替手順に沿った情報共有が重要になります。

職員間の連携や業務の進行に支障が出る

記録の入力・閲覧や部門間の情報共有ができない場合、申し送り、診療の準備、介護サービスの提供などに影響することがあります。紙の記録などで代替する場合も、記載漏れや情報の伝達ミスを防ぐルールが必要です。

予約・会計・請求などの事務作業が滞る

予約管理、会計、レセプト関連業務、介護報酬請求などのシステムが停止すると、患者・利用者への対応だけでなく、事務作業や入金管理にも影響が及ぶ可能性があります。復旧後に処理を再開できるよう、未処理業務の記録方法も決めておくことが大切です。

2．サービスへの影響を抑えるために確認したい3つの備え

備え① 重要なデータをバックアップし、復元できるか確認する

バックアップを取得していても、必要なデータを実際に復元できなければ、業務再開に時間がかかる可能性があります。何を、どの頻度で保存するかに加え、復元方法、担当者、復元に必要な時間を確認しましょう。

• 重要なデータとシステムを洗い出しているか
• バックアップが本番環境と同時に被害を受けにくい構成になっているか
• 復元手順を確認し、実際に復元できるか検証しているか

備え② 紙の記録や代替手順を準備する

システムが使えないときに、どの業務をどの手順で続けるかを決めておきましょう。紙の記録用紙、情報共有の方法、記録を後からシステムへ反映する手順などを準備し、職員が迷わず対応できるようにします。

• 停止中に使用する記録用紙や連絡手段を用意しているか
• 患者・利用者の安全を優先する判断基準が明確か
• 復旧後の記録の照合・入力方法を決めているか

備え③ 連絡体制と復旧の優先順位を決める

異常に気づいたときの報告先、システム事業者への連絡方法、施設内の判断責任者を明確にしておきましょう。どのシステムから復旧するか、代替業務を誰が管理するかも事前に整理します。外部のシステム事業者や委託先との連絡方法も、停止したシステムに依存しない形で確保しておくことが重要です。

• 緊急時の責任者と連絡先を一覧にしているか
• システム事業者・委託先への連絡方法を確認しているか
• 業務継続計画（BCP）にサイバー攻撃による停止を想定しているか
• 職員が手順を理解できるよう、訓練や確認を行っているか

3．サイバー保険はサービス停止への備えになるのか

サイバー保険は、契約内容によって、事故対応費用、データ復旧に関する費用、損害賠償責任、業務停止に伴う損失などが補償対象となる場合があります。ただし、補償される費用や損失、支払条件は商品・特約・契約条件によって異なります。

そのため、「サイバー保険に加入しているから、システム停止による損失はすべて補償される」とは限りません。自施設の契約について、次の点を確認しておきましょう。

• 事故対応や原因調査、データ復旧に関する費用は補償対象か
• 業務停止による損失は対象となるか。支払条件や免責期間はどうなっているか
• 個人情報漏えいや第三者への損害賠償に関する補償はどうなっているか
• 対象となる事故、対象外となる費用、支払限度額などの条件は何か

保険は、システムの復旧や安全なサービス提供そのものに代わるものではありません。日頃の対策、業務継続の準備、契約内容の確認を組み合わせることが重要です。

4．まずは自施設の状況を確認する

最初から大がかりな対策をすべて整える必要はありません。まずは、システムが止まった場合に影響を受ける業務を洗い出し、現在の対応方法を確認することから始めましょう。

• 停止すると診療・介護サービスに大きく影響するシステムは何か
• システム停止中も継続しなければならない業務は何か
• 代替手順と緊急連絡先は、職員がすぐに確認できるか
• バックアップからの復元や業務再開の手順を確認しているか
• サイバー保険の補償範囲を、実際の契約書類で確認しているか

まとめ｜患者・利用者の安全を守るために

医療・介護施設のサイバーリスクは、情報漏えいだけでなく、診療・介護サービスの継続にも関わる経営課題です。重要データのバックアップ、代替手順の準備、連絡体制と復旧計画の確認。この3つを出発点に、自施設の実情に合わせて備えを進めましょう。

公的なガイドラインやチェックリストも活用し、システム事業者などの関係者と連携しながら、定期的に対策を見直すことが大切です。

サイバー保険についても、加入の有無だけで判断せず、補償対象や支払条件を確認しておきましょう。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」、厚生労働省「医療分野のサイバーセキュリティ対策について」