医療・介護のサイバーリスク｜電子カルテや業務システムの停止に備える3つの対策

医療・介護施設で電子カルテや業務システムが停止するリスク

医療機関や介護施設では、電子カルテ、診療予約、会計、介護記録、請求業務など、さまざまな業務をシステムで管理しています。

もし、サイバー攻撃やシステム障害によって必要な情報を確認できなくなったら、診療やケア、職員間の情報共有、事務処理に影響が出る可能性があります。

システム停止への備えは、IT担当者だけの問題ではありません。患者・利用者の安全を守り、施設の業務を継続するための経営課題です。

システム停止によって想定される3つの影響

1. 診療やケアに必要な情報を確認できない

電子カルテや介護記録が利用できなくなると、過去の記録、処方・服薬に関する情報、ケアの内容などを通常どおり確認できない可能性があります。

緊急時にどの情報を優先して確認するか、誰が判断するか、代替の記録方法をどう使うかを、施設の実情に合わせて決めておくことが重要です。

2. 職員間の情報共有や連携が滞る

業務システムやネットワークが停止すると、申し送り、予約確認、職員配置、関係機関との連絡などに支障が出る可能性があります。

通常のシステムが使えないときに、どの連絡手段を利用し、どの情報を誰に伝えるかを事前に整理しておきましょう。

3. 復旧作業や業務継続に費用がかかる

原因調査やシステム復旧のほか、代替手段の確保、外部専門業者への相談、通常業務への復帰などに時間や費用がかかる場合があります。

実際の影響は停止したシステムや被害の範囲によって異なります。施設運営への影響を想定し、復旧の優先順位を考えておくことが大切です。

システム停止に備える3つの対策

対策1. 重要データのバックアップと復元確認

診療記録や介護記録など、業務継続に必要な情報について、どのようにバックアップを取得し、どのように復元するかを確認しましょう。

バックアップを取っていても、復元できなければ十分な備えとはいえません。取得頻度、保管場所、復元手順、担当者を整理し、定期的に復元できることを確認することが重要です。

バックアップ先まで被害を受けないよう、通常のネットワークから切り離した保管方法なども、システムの構成に応じて検討します。

対策2. 紙の記録や代替手順を準備する

システムが使えない場合に備え、必要な記録用紙、申し送り方法、連絡手段、手作業で対応する業務を整理しておきましょう。

ただし、紙の記録に切り替える際も、患者・利用者の取り違えや記録漏れ、個人情報の紛失を防ぐ必要があります。記録する担当者、確認する担当者、復旧後にシステムへ反映する手順まで決めておくことが大切です。

対策3. 復旧の優先順位と連絡体制を決める

すべてのシステムを同時に復旧できるとは限りません。診療やケアへの影響を考慮し、優先して復旧するシステムや、停止中に代替手段を使う業務を整理します。

あわせて、施設内の責任者、システム事業者、外部の専門家などの連絡先をまとめ、誰が状況を判断し、誰が職員や関係先に情報を伝えるかを決めておきましょう。

システムが停止したときに確認したいこと

• 患者・利用者の安全を最優先にし、施設の緊急時手順に沿って対応する。
• 施設内の責任者とシステム事業者へ速やかに連絡する。
• 利用できないシステムと、影響を受けている業務を整理する。
• 必要に応じて代替の記録・連絡手段へ切り替える。
• 発生時刻、影響範囲、対応内容、外部への連絡などの記録を残す。

サイバー攻撃が疑われる場合は、自己判断で端末の初期化やデータの削除を行わず、専門家の助言を受けながら対応しましょう。医療機関等では、厚生労働省が示す連絡先やガイドラインも確認する必要があります。

サイバー保険で確認したいポイント

サイバー保険は、契約内容によって、事故原因の調査費用、システム復旧費用、情報漏えい対応費用、第三者への損害賠償などが補償対象となる場合があります。

一方で、システム停止によるすべての費用や損失が補償されるわけではありません。次の点を確認しましょう。

• サイバー攻撃によるシステム停止が補償対象となるか。
• 原因調査やシステム復旧にかかる費用が対象となるか。
• 業務停止による利益の減少や追加費用が対象となるか。
• 免責金額、支払限度額、対象となる事故の条件はどうなっているか。
• 事故発生時の連絡期限や、費用を支出する前に必要な承認はあるか。

補償範囲や支払条件は、保険商品、特約、事故の状況などによって異なります。保険証券や約款を確認し、自施設で想定される停止事例を具体的に伝えて、保険会社や取扱代理店に確認しましょう。

まずは自施設の備えを確認しましょう

システム停止への備えは、専門的なセキュリティ対策だけで完結するものではありません。現場の職員が、停止したときに何をすべきかを理解していることも重要です。

• 重要データを復元できるか確認しているか。
• システム停止時の記録方法や連絡手段が決まっているか。
• 復旧の優先順位と、施設内外の連絡担当者が明確になっているか。

まずはこの3点を確認し、必要に応じてシステム事業者や専門家と対応手順を見直しましょう。

サイバーリスクへの備えや保険の確認ポイントについては、パキラのサイバーリスク情報サイトでも紹介しています。

“`