病院のランサムウェアで何が止まったか｜4つの報告書から読む、小さな現場の続け方と控え

朝、電子カルテが開かない。受付のパソコンでは、ファイルの名前が見慣れない文字列に変わっている。院内のプリンタからは、データを盗んで暗号化したと告げる文書が何枚も出てくる。2021年10月31日の未明、徳島県のつるぎ町立半田病院で起きたのは、このプリンタの印字から始まる出来事でした。電子カルテのデータは暗号化され、通常の診療に戻るまでにおよそ2か月かかっています。

半田病院、大阪急性期・総合医療センター、岡山県精神科医療センター、日本医科大学武蔵小杉病院の4つの公表資料を読み比べると、流れはよく似ています。保守のために外とつないでいた機器から入られ、院内で共通に使われていたパスワードで広がり、同じネットワークにあったバックアップごと暗号化される。電子カルテが止まった3つの病院は、その日のうちに紙のカルテに切り替えて診療を続け、システムが元に戻るまでに2〜3か月かかりました。復旧を早めたのは、ネットワークから離れた場所にあった古い控えや、遠隔地に保管していたテープでした。

診療所や歯科、薬局、介護事業所は、病院より機器が少ないぶん、止まったときに頼れる人も少なくなります。平時に用意できるのは、紙で回すための箱、患者一覧などの参照用の控え、連絡先をまとめた体制図の3つです。控えの一つとして、焼いたあとドライブから出して保管する追記型のディスクは役に立ちますが、焼く前に感染していたファイルはそのまま残るといった限界もあります。事例と数字は、2026年10月時点で公表資料と報道によって確かめられた範囲で書いています。

4つの報告書に共通していた流れ｜保守の通り道から入られ、つながっていた控えごと止まった

4つの事例を、侵入口、止まったもの、紙での運用、バックアップの状態、復旧までの期間の5つの見方でそろえると、違いより共通点のほうが目につきます。半田病院と岡山県精神科医療センターは、リモート保守用のVPN装置の脆弱性が修正されないまま残っていたことが、侵入の原因と推定されています。大阪急性期・総合医療センターは、病院の給食を受託していた事業者のシステムから入られ、病院の給食サーバーを経由して電子カルテのサーバーに広がりました。武蔵小杉病院は、医療機器を保守するためのVPN装置が侵入口でした。

侵入されたあとの広がり方も似ています。大阪急性期と岡山の報告書は、院内のサーバーや端末の管理者のパスワードが共通だったこと、一般の利用者にまで管理者の権限を与えていたことを挙げています。一つの端末で取られたパスワードがほかの端末でもそのまま通り、ウイルス対策ソフトを止められてしまったという経緯です。半田病院の報告書も、脆弱な設定のために高度な手法を使わなくても広げられたと書いています。

止まったものの範囲は、電子カルテだけにとどまりませんでした。半田病院では医事会計の端末も感染して外来の会計ができなくなり、CTやMRIもウイルスが入っているおそれがあるとして使用を止めています。大阪急性期では院内の約2,200台の端末に不正アクセスの痕跡があり、全台を初期化しました。岡山では、電子カルテなどの仮想サーバー23台と端末244台が暗号化されています。

これは、特別な病院だけの話ではありません。大阪急性期の調査委員会は、今回の事案はどの医療機関でも起こりうると書き、岡山の報告書も、厚生労働省のガイドラインに沿っていない組織ならどこでも起こりうると強調しています。保守の事業者に任せきりになりやすいこと、院内のネットワークは外と切れているから安全だと考えやすいことは、規模の小さな診療所や薬局にもそのまま当てはまります。以下では、4つの事例を一つずつ、公表された資料に沿って読みます。

企業で起きた大きな被害の経緯は大手企業のランサムウェア被害の経緯と中小の備えでまとめています。病院の事例は、命にかかわる業務をシステムなしで続けた記録として、企業の事例とは違う読みどころがあります。

半田病院（2021年10月）｜プリンタの犯行声明から、通常診療の再開まで約2か月

つるぎ町立半田病院は、徳島県西部の山間部にある町立の病院です。有識者会議がまとめた調査報告書は、本編・技術編・ガイドラインの3分冊で、2022年6月16日に病院のサイトで公開されました。報告書は、使われたランサムウェアを「LockBit 2.0」と特定し、侵入口はリモート保守用のVPN装置の脆弱性を悪用したものと「思われる」と書いています。装置は導入以来ソフトウェアが更新されておらず、装置の管理者の資格情報がダークウェブで公開されていたことを根拠に挙げる一方、ログの分析では証明できなかったと、報告書自身が断っています。

報告書の経緯表を追うと、発覚からの最初の数時間の動きが分かります。未明に複数のプリンタが犯行声明を印字し、0時30分に電子カルテの不具合を当直の看護師がシステム担当者に知らせ、3時に担当者が到着して電子カルテのネットワークを遮断しました。8時にランサムウェアへの感染を確認し、8時55分に徳島県警察本部へ相談、9時から救急の受け入れができないことを関係先へ連絡しています。この日、半田病院は地域の救急当番でした。10時には災害対策本部を正式に立ち上げ、事業継続計画（BCP）に沿って紙での診療に入りました。

対策本部が最初に決めた方針は4つでした。今いる入院患者を守ること、外来は基本的に予約の患者だけにすること、電子カルテの復旧に努めること、全員で助け合って乗り切ること。もとのBCPは主に地震を想定したものでしたが、今回の攻撃を「災害」と同じ扱いにしたことで、各部署が現場の状況を持ち寄り、回避策を話し合う場ができたと報告書は評価しています。

紙と、文書作成だけに使う端末で回した日々

初日の14時には、新しい患者と他院からの受け入れを止めることが決まり、医療事務の端末にも感染が見つかって、外来の会計もできない状態になりました。20時15分には、バックアップサーバーと医事のサーバーが動いていないことが確認されています。翌11月1日には入院患者の一覧表を紙で作り、コピー機を置き、ネットワークを通さずに印刷できるかを確かめる作業が続きました。

11月2日には、古い行政用の端末を各部署に配り、11月4日からは端末での診療記録を文書作成ソフトとしての利用に限って認めています。端末を、書類を作るためだけに使う形です。同じ日には救急当番をほかの病院に代わってもらい、医師会や消防に連絡しました。小児科が通常の診療に戻ったのは11月15日、産婦人科で新しい妊産婦の受け入れを再開したのは11月19日でした。

復旧の順番を決めた記録も残っています。11月6日の深夜に確認された優先順位は、医事会計、電子カルテ、ファイルサーバーの順でした。診療は紙でも回せますが、会計と請求が止まったままでは病院の経営が続きません。規模の小さな診療所でも、どのシステムから戻すかを先に決めておけば、復旧の作業を頼むときに迷いが減ります。

バックアップに何が起きていたか

暗号化された機器の中には、バックアップサーバーと、電子カルテ部門のNAS（ネットワークにつなぐ保存装置）が含まれていました。さらに12月20日、電子カルテの事業者などとの打ち合わせで、バックアップサーバーのデータが2018年以降、物理的に削除されていたことが分かります。攻撃を受ける3年前から、新しいバックアップが残っていなかったことになります。

一方で、2018年までにオフラインで保管していたバックアップは、ランサムウェアの影響を受けず、復旧に使えました。残りのデータは調査と復旧を請け負った事業者が復元しましたが、その方法は病院側も把握できなかったと報告書は書いています。病院は身代金を払わない方針を決めており、支払った事実もないと報告書は明記しています。電子カルテを再び動かして通常の診療に戻ったのは、2022年1月4日でした。

半田病院の報告書には、小さな医療機関に向けた指摘もあります。200床未満の病院は一般にIT部門を持たず、パソコンに少し詳しい職員が一人で兼任していることが多い、という現状の説明です。そのうえで、ガイドライン編は、バックアップから戻せるかの試験を半期に1回以上行うよう求めています。取っているはずのバックアップが3年分無かったことに気づけたのは、攻撃のあとでした。戻せるかを試す機会があれば、もっと早く分かった可能性があります。

大阪急性期・総合医療センター（2022年10月）は、給食の委託先から入られ、全体の復旧に73日かかった

2022年10月31日の早朝、大阪急性期・総合医療センターのサーバーの画面に身代金を要求する文書が表示されました。調査委員会の報告書は本体75ページと概要7ページで、2023年3月28日付で公表されています。使われたのは「Elbie」というランサムウェアで、報告書はこれを使う攻撃者グループとして「Phobos」を挙げています。

8時30分ごろに事務局からシステム障害の報告を受けた総長と病院長は、8時50分に幹部を集め、外来の診療と救急の受け入れを止め、予定していた手術を中止すると決めました。もとは自然災害を想定していたBCPに沿って紙カルテでの運用に切り替え、12時にはBCPの対策本部会議を開いています。厚生労働省の初動対応の支援を頼み、3人の専門家が派遣されました。20時には記者会見を開いて状況を説明しています。

侵入は、病院の外にある給食のシステムから

報告書が推定した手順はこうです。病院の給食を受託していた事業者のシステムに、リモート保守のために置かれていたVPN機器の脆弱性を使って入り込む（漏れて公開されていたIDとパスワードが使われた可能性もある）。事業者のデータセンターの中で、病院のサーバーにつなぐための情報を盗む。常時つながったままになっていたリモートデスクトップの通信で、病院の給食サーバーに入る。そこから、共通だったパスワードを使って電子カルテなどの基幹システムのサーバーに広がる、という流れです。事業者の名前は伏せられ、報告書の中では「給食事業者」と書かれています。

院内の設定についても、報告書ははっきり書いています。すべての利用者に管理者の権限があった。Windowsのパスワードは、サーバーと端末ですべて共通だった。何度もパスワードを間違えたときにロックする設定が無く、電子カルテのサーバーにだけウイルス対策ソフトが入っていなかった。再発防止策は、利用者を標準ユーザーにする、パスワードを1台ずつ別にする、ロックの設定を有効にする、といった内容です。外部接続を許可する基準を作って利用状況を確かめること、契約で保守の範囲と責任の分かれ目を文書にすることも挙げています。「医療機関は閉域網だから安全」という思い込みを、報告書は閉域網神話と呼んで見直しを求めました。

病院の中のことだけを守っていても、外の事業者を経由して入られることがあります。診療所でも、レセコンの保守、画像を撮る機器、予約や自動精算の仕組みなど、外の事業者が遠隔で入る経路は複数あり得ます。委託先を経由した被害の構図は委託先から漏れる・止まる事例と、データを預ける側の決め事で詳しく扱っています。

患者の電話番号が分からない。紙カルテの初日に起きたこと

電子カルテが見られなくなると、予約の状況も、患者の連絡先も分かりません。病院は、予定入院の患者には入院の準備のために事前に出してもらっていた入院申込書の連絡先を、初診の予約には紹介元の医療機関から届いていた診療依頼書の連絡先を頼りに、延期の電話をかけました。紙で受け取っていた書類が、そのまま連絡先の控えになった形です。

記者会見のあとは問い合わせの電話が殺到し、回線がふさがって、病院からかける電話も通じない状態が続きました。11月7日に発信用の回線を10本増やしてから、ようやく業務が改善しています（それまでは受信と発信を合わせて20回線）。初日の来院者には「サイバー攻撃」「ランサムウェア」という言葉を使わず、システム障害のため各科の外来受付へ直接行くよう玄関で案内しました。各科では、カルテなしに状況を聞き取りながら、予約を変えて帰ってもらうか、必要な処方や処置をするかを判断しています。2日目以降は手書きの予約票を出しています。

11月2日には地域の医師会に新しい患者を受け入れられないとFAXで知らせ、11月4日には近隣の94の病院に転院の受け入れなどの協力をFAXで頼みました。システム障害のためにほかの医療機関へ移る手続き（転医）をとった患者は669人です。電子カルテが止まっていた2022年11月の新入院患者は前年同月の33.3%、初診の患者は17.9%まで減りました。報告書の概要の時点で、被害額は調査と復旧の費用で数億円以上、診療を制限したことによる逸失利益として十数億円以上を見込んでいます。

遠隔地のテープが「見るための電子カルテ」になるまで10日

病院に設置していたLTO（磁気テープ）のバックアップ装置は、暗号化の被害を受けました。遠隔地に保管していたテープから戻せるかはすぐには判断できず、暗号化されたバックアップサーバーを初期化し、ネットワークから切り離した状態でテープ装置を使える環境を作ってから確かめています。テープは正常に読み出せました。そのデータを新しく調達した参照用のサーバーに戻し、11月10日から20台の端末で、10月27日以前の患者データを見られるようにしました。

そろって戻せたのは10月27日の時点までで、10月28日から30日までのデータは失われました。そのうち2日が土日だったため、失われた量は通常の3日分より少なかったと報告書は書いています。電子カルテなどはバックアップの途中で攻撃を受けて一部が保存できておらず、重症患者向けのシステムはバックアップがオンラインにしか無かったため使えませんでした。

もう一つ助けになったのが、診療記録の文書をまとめて保管するシステム（DACS）です。別のネットワークの区画にあって被害を免れたため、障害の翌日から参照に使え、予定手術の再開や、転院先に渡す診療情報提供書づくりに役立ちました。ただし報告書は、これは運がよかっただけで、計画して分けていたわけではないと書いています。

報告書は、参照用のサーバーを手に入れるのに1週間かかり、見られるようにするまでに10日要したと振り返っています。提言は4つです。①オフラインのバックアップを確実に取る、②戻して参照するためのサーバーを確保しておく、③テープのような外部媒体なら読み出す装置も用意する、④バックアップが正常に取れているかを定期的に確かめる。そして、バックアップの確認から、参照用のサーバーに戻して端末で見られるようにするまでを訓練するよう勧めています。診療所の規模に置き換えると、控えを持っているだけでは足りず、それを開く機械と手順まで用意しておく、ということです。

報告書が書き残した「困ったこと」

システムの話より身近な教訓も並んでいます。災害用に用意していた紙の様式のデータや、BCPなどのマニュアルが、電子カルテ上のグループウェアや各部署の端末に保存されていたため、いざというときに開けず、直すこともできませんでした。自然災害用の紙の様式は短い期間を想定したもので、長く続く紙の運用には合わず、最初から作り直したものもあったそうです。報告書は、様式やマニュアルのデータは各部署で外部の媒体にも保存しておくのが得策だったと書いています。

パソコンも足りませんでした。外部につながっていない、患者情報を入力してよいパソコンが不足したのです。医療機器のウイルスを調べるUSB型の道具も手元に無く、11本を急いで買って届くまで1週間かかりました。職員約2,000人への連絡に使っていたグループウェアも、電子カルテ上にあって使えなくなっています。専門家チームからは、情報の扱いを統制すること、職員の心の負担に気を配ること、こういうときこそ休息をとること、の3つの助言があったと記録されています。

岡山県精神科医療センター（2024年5月）｜侵入から暗号化まで6日。契約していたバックアップは取れていなかった

岡山県精神科医療センターの報告書は、病院の依頼で一般社団法人ソフトウェア協会（Software ISAC）に設けた調査委員会がまとめたもので、62ページあり、2025年2月13日に公表されました。岡山県は翌14日付で概要を県内の医療関係団体に通知しています。原因は、病院とシステムの事業者の厚生労働省ガイドラインへの理解不足、過去の事例の軽視、閉域網への過信によるセキュリティ意識の欠如と整理されました。侵入の原因は、保守用のSSL-VPN装置の脆弱性の放置と、推測できるIDとパスワードの使用と考えられています。院内での広がりは、全コンピューターの管理者のIDとパスワードが同じだったことと、一般の利用者に管理者の権限を与えていたためにウイルス対策ソフトを止められたこと、とされています。VPN装置には接続元のアドレスの制限もありませんでした。

報告書の時系列では、最初の侵入が確認できたのは2024年5月13日の午前2時41分です。そこから18日まで連日、院内のネットワークの調査、利用者やコンピューターの情報の窃取、共有フォルダのデータの窃取、バックアップの探索が続きます。暗号化が始まったのは、5月19日の日曜日、13時10分ごろでした。侵入から暗号化まで6日あったことになります。見つかったランサムウェアは一般的なウイルス対策ソフトで検出できるものでしたが、攻撃者は管理者の権限で対策ソフトの設定を変えたり削除したりしていました。

前の年の11月と12月、そして攻撃直前の5月14日と15日には、利用者の情報を管理するサーバーが原因不明で起動しない障害が起きていました。いずれも再起動やバックアップからの復旧で収まったため、外からの攻撃とは考えなかったそうです。攻撃との関係は不明と報告書は書いていますが、病院の理事長は冒頭のあいさつで、軽い不調と回復を繰り返すうちに慣れてしまった、と振り返っています。

発覚した朝の7時に紙カルテと決め、14時45分には病棟へ配った

5月19日の16時ごろに職員が電子カルテの停止に気づき、事業者が遠隔と来院で調べましたが、仮想基盤の重い障害で戻せませんでした。翌20日の午前4時ごろ、前日のデータベースのバックアップから戻そうとしたところ、6時15分ごろにバックアップのファイルに見慣れない拡張子が付いているのを見つけ、ランサムウェアと分かりました。7時には幹部が集まり、その日の入院も外来も紙カルテで続けると決めています。

その後の動きは早いものでした。7時40分には県、市、県警、厚生労働省に連絡し、11時20分に紙カルテ用のリングファイルを300個発注しています。昼すぎから入院患者用の紙カルテを作り始め、14時45分には各病棟に配りました。14時25分には、オンライン資格確認の認証が止まっていることを確認しました。厚生労働省が、診療報酬の審査支払機関とのオンライン接続の停止について代わりに対応したことも記録されています。17時の会議では、紙での運用を補うパソコンを5台（のちに9台）用意すると決めました。病院は、この事案のあいだ1日も診療を止めなかったと報告書の冒頭で書いています。

初動対応チームは翌朝、プリンターサーバーで見つかったランサムウェアが、システムを再起動すると自動で動き出して再び暗号化する設定になっていたことを確かめています。動かない機械を何度も再起動して直そうとすると、被害を広げるおそれがある、という一つの例です。

オフラインのバックアップは「契約していた」のに取れていなかった

病院とシステムの事業者は、オフラインのバックアップを取る契約を結んでいました。ところが発覚の直後に確かめると、オフラインのバックアップは正しく取られておらず、そこからは戻せないと分かります。報告書の詳細編によると、取っていたバックアップは利用者の情報を管理するサーバーのドライブに保存されていて、攻撃者に探し出され、すべて破壊されました。報告書は原因を、オフラインで取っていなかったこと、または書き換えできない媒体を使っていなかったことにあると書いています。

そこで病院は、暗号化を免れていた医療情報のデータウェアハウス（分析用に診療データを集めておくサーバー）から電子カルテのデータを取り出す方針をとりました。5月21日に仮の復旧用の中古サーバーを手配し、24日からデータを取り出し、6月1日に中古サーバーで電子カルテを仮に動かしています。6月20日に新しいサーバーが届き、7月4日に電子カルテが復旧しました。8月17日にストレージを入れ替え、発生から90日で病院の情報システムが完全に戻っています。手間も大きなものでした。システムの作り直し、データの入力、紙の記録のスキャナー取り込みなどで、事業者の分を含めて約65人月かかったと病院は見積もっています。

情報の流出も確認されました。電子カルテの中の情報ではなく、院内のサーバーの共有フォルダにあった医事の情報や会議の議事録などの文書で、氏名、住所、生年月日、病名などを含む最大約4万人分と推定されています。病院は6月11日に記者会見で公表し、郵送で本人への通知を行いました。バックアップの契約があっても、取れているかを確かめる仕組みがなければ、いざというときに使えない。半田病院と同じ教訓が、3年後に別の病院で繰り返されています。

武蔵小杉病院（2026年2月）では診療は続いたが、ナースコールのサーバーに患者情報がたまっていた

2026年2月9日の午前1時50分ごろ、川崎市の日本医科大学武蔵小杉病院で、病棟のナースコールの設備に不具合が起きました。調べると外部からのランサムウェア攻撃で、病院は対象のシステムとネットワークを遮断し、文部科学省、厚生労働省、所轄の警察に報告しています。翌10日には厚生労働省の初動対応チームの派遣を受けて、すべての外部接続を止めました。病院の公表では、外来と入院の診療、救急の受け入れは通常どおり続き、電子カルテや医事会計のシステムへの不正アクセスは確認されていません。

侵入口は、患者のバイタル（脈拍や血圧など）を監視するシステムの保守用のVPN装置で、脆弱性が悪用されました。1月26日にこの装置を経由して入られ、1月29日に病棟の端末を介してナースコールのサーバー内のデータベースが盗まれています。侵入は発覚の約2週間前です。盗まれたデータは、攻撃者側のサイトで公開されたことが確認されました。漏えいは当初、患者約1万人分と公表されましたが、精査の結果、患者約13万人分（患者ID、氏名、性別、住所、電話番号、生年月日）と、職員と実習の医学生約1,700人分に広がりました。カルテの情報やクレジットカード、マイナンバーカードの情報の漏えいは確認されていないとしています。

被害が広がった理由として、病院はナースコールのサーバーの仕様を挙げています。入院歴があるかどうかにかかわらず、患者の基本情報が更新されるたびに自動でナースコールのサーバーへ送られ、たまっていく仕組みでした。電子カルテを守っていても、患者情報の写しは思わぬ機器にもあります。診療所や薬局でも、予約の仕組み、検査や画像の機器、自動精算機などに、患者の名前や連絡先の写しが置かれていないかを、事業者に聞いておく価値があります。

病院は再発防止策として、VPN装置の更新を早く当てること、外部との接続は原則として使うときだけにして接続元のアドレスを制限することを挙げました。すべてのコンピューターの管理者のパスワードを推測しにくい長いものにし、多要素認証も入れる予定です。国も動きました。厚生労働省は2026年3月19日、医療機関に向けて「VPN装置等のネットワーク機器におけるサイバーセキュリティ対策の徹底について」という事務連絡を出しています。VPN装置などの脆弱性を突いた不正アクセスがランサムウェアの主な原因になっているとして、管理の体制と技術的な対策の確認を求める内容です。

4つを並べると見えてくる、2つの思い込み

一つ目は、院内のネットワークは外とつながっていないから安全だ、という考えです。大阪急性期と岡山の報告書はどちらもこれを閉域網神話と呼びました。実際には、保守のためのVPN、地域の医療機関との連携、検査や画像の機器の監視など、外につながる口がいくつもあります。大阪急性期の報告書は、病院が把握しきれていない外部との接続の箇所が複数あったと書いています。岡山の報告書は、復旧のときに話を聞いた事業者12社でも、閉域網だから安全という前提で、Windowsの更新をしていない、脆弱性のある通信の方式を使っている、といった例が多く見つかったと書いています。

二つ目は、バックアップは事業者が取っているはずだ、という考えです。半田病院では、バックアップサーバーに2018年以降のデータが無いことを、攻撃のあとで知りました。岡山では、オフラインのバックアップを取る契約がありながら、実際には同じネットワークのサーバーに保存されていて、まとめて破壊されています。大阪急性期でも、重症患者向けのシステムはオンラインにしかバックアップが無く、使えませんでした。どれも、取っているかどうかではなく、離れた場所にあるか、本当に戻せるかを確かめていなかったことが分かれ目になっています。

この2つは病院に限りません。警察庁が2026年3月に公表した令和7年（2025年）の統計では、ランサムウェアの被害の報告は226件でした。侵入経路が分かった92件のうち、VPN機器が61件（66.3%）、リモートデスクトップが19件（20.7%）です。被害に遭った組織へのアンケートでは、バックアップを取っていたのは回答116件中105件ありましたが、バックアップから被害の直前の状態まで戻せたのは、復元を試みた回答99件のうち20件だけです。戻せなかった理由で最も多かったのは、バックアップも暗号化されたことでした（理由を答えた72件中48件）。

同じ統計で、サイバー攻撃を想定したBCPを作っていた組織は、回答111件中20件（18.0%）でした。半田病院も大阪急性期も、BCPはあったものの、想定していたのは地震などの自然災害です。それでも紙での診療にすぐ移れたのは、災害用の体制と紙の様式があったからで、そのうえで両方の報告書が、サイバー攻撃を想定した手順も備えておく必要があると書いています。

IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編でも、1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」でした。大阪急性期の事例は、この1位と2位が重なった形です。家庭や小さな職場で10大脅威をどう読むかは情報セキュリティ10大脅威2026を家庭と小さな職場で読むにまとめています。

診療所・歯科・薬局・介護事業所では、何が止まるのか

病院の報告書を小さな現場に置き換えるとき、最初にやることは、どの仕組みが止まると何ができなくなるかを書き出すことです。厚生労働省が2024年6月に出したBCPの確認表の手引きも、システムごとに、使えなくなると継続できない業務を想定して、代わりの運用の手順を作っておくよう求めています。診療所なら、受付、カルテ、検査、処方、会計、請求のそれぞれが、どの機械とどのソフトに乗っているかを1枚の紙に並べるところから始められます。

電子カルテとレセコンが止まると、受付で患者を呼び出す、過去の記録を見る、処方を出す、会計をする、月末に請求する、のすべてに影響します。半田病院の初日には外来の会計ができなくなり、復旧の順番では医事会計を電子カルテより先にしました。紙で診療を続けた期間の記録は、システムが戻ったあとに入力し直すことになります。人手の限られる現場ほど、紙で受けた期間をどう後から入れるかまで決めておくと、復旧後の負担が見えてきます。

オンライン資格確認も止まることがあります。岡山では、攻撃の発覚した日の午後に認証が止まっていることが確認され、審査支払機関とのオンライン接続の停止も行われました。攻撃を受けると、外の仕組みとの接続も止まると考えておく必要があります。保険証や資格の確認をその間どうするかは、手順として平時に決めておく項目になります。

電話とFAXも見落としやすい部分です。大阪急性期では問い合わせが殺到し、病院から患者に電話をかけることもできなくなりました。紹介元や近くの薬局への連絡にFAXを使うなら、送り先の番号を紙に控えておきましょう。電話の受け方の段取りは、あとの知らせ方の節でまとめます。

患者情報の写しがどこにあるかを書き出す

漏えいの面では、電子カルテの外にある写しにも目を向けましょう。岡山で流出した最大約4万人分は、電子カルテの中の情報ではなく、院内のサーバーの共有フォルダに置かれていた医事の情報や会議の議事録などの文書でした。武蔵小杉病院では、ナースコールのサーバーに患者の基本情報がたまっていました。どちらも、ふだんは患者情報の置き場所として意識されにくい場所です。

診療所や薬局でも、共有フォルダに保存した紹介状の下書きや集計の表、メールに添付したファイル、予約や問診のための端末、検査の機器の中など、写しが置かれている場所は複数考えられます。紙に一覧を作り、要らなくなった写しは消す、残すものは置き場所を決める、という整理をしておくと、攻撃を受けたときに漏えいの範囲を説明しやすくなります。

薬局で止まるもの

薬局は、処方箋を受け付けて、薬歴を確かめ、調剤して、薬を渡し、会計と請求をする流れが、レセコンと薬歴のシステムに乗っています。システムが止まって困るのは、過去の服薬の記録と、患者ごとの注意事項が見られなくなることです。紙の処方箋とお薬手帳で何を確かめ、何を後から入力するかを、薬剤師どうしで平時に話し合っておくと、当日の判断が速くなります。

厚生労働省は、薬局用にもサイバー攻撃を想定したBCPの確認表と手引きを2024年6月に出しています。2026年6月には、医療機関用と薬局用に分かれていたサイバーセキュリティ対策のチェックリストが、項目が同じであることから一本にまとめられました。薬局も、医療機関と同じ項目で確かめられる立場にあります。

介護事業所と訪問看護で止まるもの

介護事業所や訪問看護ステーションも、厚生労働省の「医療情報システムの安全管理に関するガイドライン」が対象として挙げる医療機関等に含まれています。記録のソフトが止まると、利用者ごとの服薬、介助の度合い、緊急連絡先、医療的なケアの内容が見られなくなります。夜勤や訪問の途中で止まると、確かめる相手もすぐには見つかりません。

介護サービス事業所には、2024年4月から、感染症と自然災害を想定した業務継続計画（BCP）の策定が義務になっています。サイバー攻撃は義務の対象として名指しされていませんが、記録が開けなくなったときの段取りは、停電や回線の断絶のときとほとんど重なります。利用者の記録を紙と媒体で持ち出す方法は介護・障害福祉のBCPと利用者記録の持ち出しで手順まで書いているので、ここでは病院の事例から学べる点に絞ります。

国が医療機関・薬局に求めていること｜医療法施行規則、チェックリスト、ガイドライン第7.0版

病院の被害が続いたことを受けて、決まりも変わってきました。2023年4月1日に施行された医療法施行規則の改正で、第14条第2項が新しく設けられました。病院、診療所、助産所の管理者は、医療の提供に大きな支障が出ないよう、サイバーセキュリティを確保するための措置を講じなければならない、という規定です。厚生労働省は令和5年度から、医療法に基づく医療機関への立入検査の項目に、サイバーセキュリティ対策を加えています。

立入検査で確かめられるのが、厚生労働省のチェックリストです。2026年6月29日付で出た令和8年度版は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」という名前になり、医療機関と薬局で共通になりました。令和8年度中にすべての項目で「はい」にマルが付くよう取り組むことが求められ、「いいえ」の項目には対応の目標日を書きます。

項目は4つの区分に分かれています。体制では、医療情報システムの安全管理の責任者を置くこと。システムの管理では、サーバー・端末・ネットワーク機器の台帳と、リモート保守を使っている機器の有無を事業者に確かめること、事業者から医療情報セキュリティの開示書（MDS・SDS）を出してもらうことが最初に来ます。続いて、権限の設定、不要なアカウントの削除、更新プログラムの適用、パスワードは英数字を混ぜた8桁以上（二要素認証を入れるまでは13桁以上）、使い回しの禁止、USBメモリなどの接続の制限、接続元の制限が並びます。そして、インシデントに備えた対応として、次の3つが挙がっています。

• 組織の中と外部の関係機関（事業者、厚生労働省、警察など）への連絡体制図がある
• 診療を続けるために必要な情報を検討し、バックアップを確保したうえで、復旧の手順を確かめている
• サイバー攻撃の想定を含む事業継続計画（BCP）を作っている

チェックリストの解説のマニュアルは、バックアップを複数の方式で、世代を分けて管理するよう求めています。不正なソフトが混じっても、影響が全部に及ばないようにするためです。3世代以上の例として挙げているのは、日次で取るなら3日分以上を残す形です。そのうえで、3世代目以降のバックアップはオフライン（物理的または論理的に書き込みできない状態）にするなどの対策が望ましい、と補足しています。連絡先としては、インシデントが起きたら厚生労働省医政局の医療情報担当参事官室に連絡するよう案内し、電話番号もマニュアルに載せています。

サイバー攻撃を想定したBCPを作るときは、厚生労働省が2024年6月に出した確認表が手がかりになります。段階は平時、検知、初動対応、復旧、事後対応の5つです。平時には機器と構成図の把握、連絡体制図、教育と訓練、バックアップと復旧手順。そのあとに、異常に気づいて責任者まで届く経路、原因調査と証拠の保全、経営層の判断、事業者への復旧の依頼、漏えいの有無の報告と再発防止策の周知が並びます。医療機関用と薬局用があり、BCPのひな形も同じページで公開されています。

医療の決まりとは別に、IPAの「中小企業の情報セキュリティ対策ガイドライン」も2026年3月に第4.0版になり、基本の5か条に「バックアップを取ろう！」が加わって6か条になりました。付録の自社診断には、バックアップに使う装置や媒体はバックアップのときだけパソコンにつなぐこと、戻せるかを定期的に確かめることが対策の例として載っています。診療所や薬局も一つの事業所なので、この自社診断も確認に使えます。

もう一つの大きな変化が、2026年6月に出た「医療情報システムの安全管理に関するガイドライン」の第7.0版です。対象の医療機関等として、病院、一般診療所、歯科診療所、助産所、薬局、訪問看護ステーション、介護事業者などが挙げられています。第7.0版では「保守委託機関編」が新しく加わりました。想定しているのは、専任のシステム担当者がいない小規模な医療機関です。サーバーのセキュリティ更新を含む保守をすべて事業者に任せている場合は、概説編と保守委託機関編だけに対応すればよい、という読み方ができるようになりました。

ただし条件があります。事業者がセキュリティ更新の責任を負うことが、契約書や約款、サービスの水準を決めた合意書に書かれている場合に限られます。書かれていない、またははっきりしない場合は、医療機関の側の責任になっている可能性があると、ガイドラインは注意しています。大阪急性期や岡山の報告書が指摘した、保守の範囲と責任の分かれ目があいまいだったという問題を、契約の文面で確かめる形にしたものと読めます。

保守委託機関編は、非常時の責任として、システムが止まったときに診療を続けるかどうかの判断の基準を平時から用意するよう求めています。短い障害なら一時的にシステムを使わずに別の手段で診療を続ける、回復に数日以上かかるなら診療を縮小する、紙での対応に切り替える、といった基準と対応を整理しておく、という内容です。インシデントが起きたときの動きも書かれています。ネットワークの切断、機器の隔離、システムの停止、そしてバックアップからの復元です。復元のためには、複数の方式で数世代を持ち、オフラインで管理することが大切だとしています。バックアップの世代の数や媒体の組み合わせ、保管場所の決め方は医療機関のオフラインバックアップを世代・置き場所・復旧訓練で組む手順で詳しく書きました。ここでは、止まった日の動きと、そのための控えに話を進めます。

止まった朝の最初の1時間は、切り離す、紙に替える、連絡するの順で動く

4つの事例で、異変の見え方はそれぞれ違いました。半田病院はプリンタからの犯行声明、大阪急性期はサーバーの画面の身代金要求文、岡山はバックアップのファイルに付いた見慣れない拡張子、武蔵小杉はナースコールの不具合です。岡山では、その前から原因不明のサーバーの不調が何度か起きていました。ファイル名が急に変わった、開けないファイルが増えた、同じ機械の不調が繰り返す、といった変化に気づいたら、まず決めておいた責任者に知らせます。厚生労働省のBCPの確認表も、異常のときの連絡体制図が全職員に知られているか、院内で起きた異常を職員が気づけるかを確かめる項目を置いています。

次に、おかしい機械をネットワークから外します。半田病院は担当者が到着してすぐに電子カルテのネットワークを遮断し、大阪急性期、岡山、武蔵小杉も、まず遮断から始めています。具体的には、LANケーブルを抜き、無線LANを切ります。岡山で見つかったランサムウェアは、再起動すると再び動き出して暗号化する設定になっていました。直そうとして再起動を繰り返すのは避け、電源を切るかどうかを含めて、保守の事業者や専門家の指示を待ちます。機械の中には、何が起きたかを調べるための記録が残っているからです。

同時に、まだ無事な控えを守ります。JPCERTコーディネーションセンターは、侵入型のランサムウェアの被害を受けたときのよくある質問で、被害を受けていないバックアップは安全が確かめられるまで切り離して退避することを検討するよう勧めています。自動でバックアップを取る仕組みによっては、無事だったバックアップが上書きされて失われるおそれがある、という注意も添えています。つないだままの外付けHDDは外し、クラウドへの自動の同期やバックアップの予定は止めておく、という動きになります。

そのうえで、紙に切り替える範囲を決めます。半田病院は、今いる入院患者を守り、外来は予約の患者だけにする、という方針を最初に決めました。診療所なら、今日の予約の患者は紙で診るのか、新しい患者は受けるのか、処方は前回と同じものに限るのか、会計は後日にするのか、といった点を院長が決めて、職員に一度に伝えます。保守委託機関編がいう、診療を続けるかどうかの判断の基準を平時に作っておくと、この場面で迷う時間が短くなります。

連絡は、保守の事業者、厚生労働省（医政局医療情報担当参事官室）、警察（都道府県警察のサイバー犯罪の相談窓口）に、連絡体制図に沿って知らせます。どの病院も早い段階で警察に連絡し、大阪急性期、岡山、武蔵小杉は当日のうちに厚生労働省にも知らせています。介護事業所は、指定を受けている自治体に報告が要るかどうかも、平時に確かめておく項目です。

患者の情報が漏れたおそれがあるときは、個人情報保護委員会への報告も必要になります。病歴などの要配慮個人情報が含まれる漏えいは、件数にかかわらず報告の対象で、知った時点から概ね3〜5日以内に速報、30日以内（不正の目的によるものは60日以内）に確報を出す決まりです。岡山は発覚の翌日に委員会へ速報を出しています。報告の流れと期限はディスクやUSBを紛失したときの報告義務と漏えい対応の初動でも整理しています。

もう一つ、始めから記録を取ります。岡山は対策本部を置いたときから、時刻と出来事を書き留める記録を始めました。誰が、何時に、どの機械を外し、どこへ連絡したか。ホワイトボードや紙のノートで構いません。電子カルテが止まった状態では、パソコンに記録を残せないこともあるからです。この記録は、あとで警察や事業者、委員会に説明するときの材料になります。

4つの病院が紙に切り替えるまでにかかった時間

報告書の時刻を並べると、ランサムウェアだと分かってから紙に移ると決めるまでは、どこも早いことが分かります。大阪急性期は8時30分ごろに報告を受け、8時50分の会議で紙カルテへの移行を決めました。岡山は6時15分ごろにランサムウェアと分かり、7時の会議で紙カルテで続けると決めています。半田病院も、8時に感染を確かめ、10時には災害対策本部を立ち上げて紙での診療に入りました。

時間がかかったのは、その前です。岡山では、日曜の16時ごろに電子カルテが止まってから、翌朝にランサムウェアと分かるまで、事業者は仮想基盤の障害と考えて復旧を試みていました。原因が分からない障害は、まず直そうとするのが自然です。ただ、その間も紙への準備は進められます。岡山でも、未明の4時ごろには紙での運用への切り替えの準備を始めています。

そこで、原因が分からなくても、システムが一定の時間止まったら紙に移る、という基準を決めておく方法があります。たとえば、診療の開始時刻までに戻らなければ今日は紙で受ける、と決めておけば、朝の受付で迷いません。基準の時間は診療所ごとに違ってよく、決めておくこと自体に意味があります。

身代金と攻撃者への連絡は、どう扱われたか

半田病院は、身代金を払わない方針を定め、11月22日に正式に決めています。理由として報告書が挙げるのは、データが完全に戻る保証がないこと、警察からの指導、そして開設者である町長が、犯人側にお金を渡すことは自治体の姿勢として理解を得られないと判断したことです。岡山も発覚した日の13時の会議で、身代金の支払い、攻撃者との連絡や交渉を一切行わず、自分たちで復旧する方針を決めました。

警察庁の令和7年の統計では、手口が分かった153件のうち136件（88.9%）が、データを暗号化するだけでなく、盗んだデータを公開すると脅す二重恐喝でした。暗号化されたデータを仮に戻せたとしても、盗まれた情報は戻りません。脅迫文が表示された画面や印刷された紙は、消したり捨てたりせず、写真に撮って残しておきましょう。攻撃者に連絡を取るかどうかを現場の判断で決めず、警察と事業者に相談しましょう。

紙で続けるための箱｜様式・一覧・連絡先を、システムの外に置いておく

大阪急性期の報告書で、いちばん小さな現場に近い教訓は、紙の様式とBCPのマニュアルが電子カルテの中にあって使えなかったという話でしょう。紙で回すための書式を印刷しようにも、元のデータが止まったシステムの中にある。直そうにも開けない。報告書は、各部署で外部の媒体にも保存しておくのが得策だったと書いています。岡山は発覚の当日に紙カルテ用のリングファイルを300個発注し、半田病院は翌日に入院患者の一覧表を紙で作ってコピー機を置きました。紙で続けるには、紙そのものと、紙に書く枠と、紙を配る段取りが要ります。

そこで、止まった日に開ける箱を一つ用意しておきましょう。厚生労働省のBCPの確認表の手引きも、紙カルテでの運用の例として、紙の伝票を最新にして帳票を準備しておくことと、運用の流れを作って共有しておくことを挙げています。参照用の環境を作る例には、プリンタと印刷用紙とトナーの準備も入っています。箱の中身は、診療所なら次のようなものです。

様式は、ふだん使っているものと同じ並びにしておくと、紙に書いた内容をあとでシステムに入れ直すときに楽になります。大阪急性期では、短い期間を想定した災害用の様式が長い紙の運用に合わず、作り直すことになりました。1日分ではなく、2週間程度は回せる枚数を入れておき、足りなくなったときにコピーするための元の1枚に印を付けておくと、配る人が迷いません。

連絡先は、システムの中だけに置かないことが肝心です。大阪急性期は、電子カルテが見られないために患者の連絡先が分からず、入院申込書や紹介状の連絡先を頼りに電話をかけました。職員への連絡も、電子カルテ上のグループウェアが使えなくなって、別の手段を探しています。職員の緊急連絡先、保守の事業者と担当者の名前、警察と厚生労働省の連絡先を、紙に書いて箱に入れておきましょう。

患者への案内文も、先に書いておけます。玄関に貼る掲示、電話で読み上げる文、ホームページに載せる文の3つを、日付と時刻を書き込める形で用意しておけば、当日の誰でも同じ説明ができます。文の例は、このあとの知らせ方の節に載せました。

箱には、版と最終更新日、箱を開けてよい人の名前を書いておきましょう。様式を直したら、箱の中身も入れ替えましょう。年に1回は、訓練のときに箱を開けて中身を確かめましょう。紙の箱は地味ですが、電子カルテが止まった3つの病院がその日のうちに診療を続けられたのは、形は違っても、紙で回す準備がどこかにあったからです。

箱に入れる「元データ」の媒体

紙の様式は使えば減ります。足りなくなったときに印刷し直すための元のデータを、ネットワークにつながない媒体に入れて箱に添えておくと、大阪急性期が困った「様式を直せない、印刷できない」という状態を避けられます。様式やマニュアルには患者の情報が入っていないので、扱いの決まりも患者一覧よりは軽く済みます。

媒体は、USBメモリでも、焼いたディスクでも構いません。ただし大阪急性期では、医療機器のウイルスを調べるためのUSB型の道具をすぐには用意できず、届くまで1週間かかりました。止まった日に、どのパソコンで媒体を開くかも決めておく必要があります。ネットワークにつながず、患者情報を入力してよいと決めたパソコンを1台、箱の近くに置いておけると理想的です。

患者と利用者への知らせ方は、言う言葉と出す順番を先に決めておく

どの病院も、早い段階で外に向けて状況を伝えています。半田病院は発覚した日の16時に記者会見を開き、町に頼んで町内放送でも知らせました。大阪急性期は当日の20時に記者会見を開き、ホームページでは速報から順に番号を付けて続報を出し、11月9日の第5報で翌日から電子カルテが参照できるようになると知らせています。岡山は発覚した日の16時にホームページとプレスリリースで公表し、通院や入院の患者には紙と口頭で説明しました。武蔵小杉病院は発覚の4日後に記者会見を開き、漏えいの対象となった患者へ書面を送り始めています。

小さな診療所や薬局が記者会見を開く場面は多くないでしょうが、知らせる相手は同じようにいます。その日に予約している患者、来院した患者、紹介元と紹介先の医療機関、処方箋を受ける近くの薬局、介護事業所ならケアマネジャーと家族。大阪急性期も、地域の医師会や近隣の病院にはFAXで知らせています。誰に、どの手段で、どの順に知らせるかを、連絡体制図の裏に書いておくと、当日に手分けできます。

伝える中身は、分かっている事実と、患者に影響すること、患者にしてほしいこと、次に知らせる時刻の4つに絞りましょう。たとえば、今日は予約の方だけを診る、会計は後日になる、お薬手帳を持ってきてほしい、明日の正午に次のお知らせを出す、といった形です。原因や情報の漏えいについては、確かめられるまで推し量って話さないようにしましょう。大阪急性期が初日に「システム障害」とだけ案内したのも、確かなことだけを伝えるやり方の一つです。漏えいが確かめられたら、委員会への報告とあわせて本人への通知も必要になり、岡山は郵送で通知しました。

玄関に貼る文は、たとえば次のような短いもので足ります。日付と時刻を書き込む欄を残して印刷し、箱に何枚か入れておきましょう。

ただいまシステムの障害のため、受付とお会計に時間がかかっています。本日はご予約の方を優先して診察します。お薬手帳をお持ちの方は受付でお見せください。次のお知らせは　時に掲示します。（　月　日　時現在）

電話の受け方も先に決めておきましょう。大阪急性期では、記者会見のあと問い合わせが殺到して、病院から患者にかける電話まで通じなくなりました。回線が少ない診療所では、1本を発信専用にする、留守番電話の案内を切り替える、問い合わせに答える文を紙に書いて電話の横に置く、といった準備が役に立ちます。

職員への連絡も同じです。大阪急性期では、職員への連絡に使っていたグループウェアが電子カルテ上にあって使えなくなり、別のネットワークのグループウェアや災害用の連絡の仕組み、役職者のメールの一覧で周知しました。小さな職場なら電話の連絡網で足ります。ただし、個人のスマホで患者の名前や病状をやり取りしないことは、平時の決まりとして徹底しておきましょう。専門家チームが大阪急性期に助言した「情報の扱いを統制する」は、誰が外に向けて話すかを一人に決めておく、という意味でも小さな現場に当てはまります。

参照用の控えを作る｜患者一覧、予約、処方を、いつの時点で残すか

大阪急性期の報告書は、システムが止まった期間に医療を続ける切り札は、バックアップから作った参照用の電子カルテだったと書いています。見られるようになったことで、予定手術の再開、救急の受け入れの再開、転院先に渡す書類づくり、患者や家族の連絡先、予約の確認まで、できることが広がりました。参照用のサーバーを持つのは、数人で回す診療所には現実的ではありませんが、同じ働きをする控えは作れます。

システムが止まった日に最初に必要になるのは、次のような情報です。今後2週間ほどの予約の一覧、患者の一覧（ID、氏名、生年月日、連絡先）、定期的に処方している薬と量、アレルギーや禁忌、検査の予定と外部に出している検査の一覧。薬局なら、継続して調剤している患者の薬と注意事項。介護事業所なら、利用者ごとの服薬、介助の度合い、医療的なケア、緊急連絡先です。チェックリストが「診療を継続するために必要な情報を検討し」と書いているのは、この選び出しのことです。

こうした一覧を、電子カルテやレセコンから帳票やファイルとして書き出せるかどうかは、システムによって違います。自分で出せる帳票があるのか、事業者に頼めば出してもらえるのか、出せるならどの形式（PDFや表計算のファイルなど）か、まずは保守の事業者に聞いてみるところからです。予約の一覧のように毎日変わるものは、その日の朝に紙に印刷しておく運用も考えられます。

毎朝印刷する予約一覧は、止まった日にいちばん早く役に立つ控えです。ただし紙も患者の情報なので、受付の机に置きっぱなしにせず、決めた引き出しにしまい、翌日の分を印刷したら前の日の分はシュレッダーにかけましょう。何日分を残すかを決めておくと、紙が増え続けることもありません。

書き出すファイルの形と名前

控えのファイルは、どのパソコンでも開ける形にしておきましょう。表の形のまま残すならPDFが扱いやすく、ブラウザーや標準のソフトで開けます。表計算のファイルやCSV（項目をカンマで区切った文字のファイル）は、あとで並べ替えたり探したりしやすい反面、開くソフトによっては文字化けすることがあります。両方の形で残し、訓練のときに、止まった日に使うパソコンで開けるかを確かめておくと安心です。

ファイル名には、日付と中身を入れましょう。「2026-10-05_予約一覧.pdf」「2026-10-05_定期処方一覧.pdf」のように日付を先頭にすると、並べたときに新しい順と古い順が分かります。同じフォルダに、いつ、誰が、どのシステムから書き出したかを書いた短いテキストファイルを1つ添えておくと、止まった日に開いた人が、その控えがいつの時点のものかをすぐに判断できます。

どの時点の控えなら安全か

控えを作るときに考えておきたいのが、時点の問題です。岡山では、最初の侵入から暗号化まで6日ありました。武蔵小杉病院では、侵入からデータが盗まれるまで3日、発覚まではおよそ2週間です。IPAが2026年9月に公表したランサムウェア対策の教訓集は、攻撃者は時間をかけて調べ、バックアップを特定したりデータを持ち出したりしたあとで暗号化を始めると説明しています。侵入が始まった時期より前のバックアップなら安全と判断できるので、侵入の時期を特定できるようにログを残すことも勧めています。

つまり、最新の1世代だけを持っていると、それがすでに攻撃者の手の届いたあとの控えかもしれません。週に1回の控えを数週分残しておけば、侵入より前の時点に戻れる見込みが高くなります。大阪急性期が戻せたのは攻撃の4日前の時点まででした。失った3日分のうち2日が土日だったのは偶然です。

IPAの教訓集は、バックアップから戻した組織で、巻き戻った期間の業務データを補うのに大きな手作業が生じたとも書いています。控えの間隔が1週間なら、最大で1週間分を紙の記録などから入れ直すことになります。毎日の予約の印刷と、週に1回の控えと、月に1回の控えを組み合わせて、失う量と手間のつり合いを決めておくとよいでしょう。

患者の情報が入った控えの扱い

患者一覧や処方の一覧は、病名や服薬を含む要配慮個人情報です。紙でも媒体でも、なくしたり持ち出されたりすれば漏えいになります。施錠できる場所に置く、持ち出すときは記録を付ける、媒体のファイルは暗号化しておく、という3つの決まりを先に作ってから控えを作りましょう。個人情報の入った媒体の保管と持ち出しの決まりは個人情報の入ったUSBメモリ・DVDの管理で詳しく書いています。

暗号化する場合は、パスワードを知っている人が止まった日に必ずいるようにしておきましょう。院長だけが知っていて、その日に連絡がつかなければ、控えがあっても開けません。パスワードを紙に書いて封をし、控えとは別の施錠した場所に置く、知っている人を2人以上にする、といった決まりが必要です。

システムが戻る日に向けて、紙で受けた期間をどう戻すか

復旧は、スイッチを入れ直せば終わる作業ではありません。大阪急性期は、約2,200台の端末を1日200台ずつ初期化して設置し直し、初期化する前の端末の中のデータは、再び感染するおそれがあるとして原則使わないことにしました。端末を回収するときには、置いてあった場所、向き、ケーブルのつなぎ方を書いた紙をその場所に置き、戻すときの手がかりにしています。数台の規模でも、事業者が機械を持ち帰る前に、つなぎ方を写真に撮っておくと、戻す日に迷いません。

医療機器の扱いも課題になります。大阪急性期は、ウイルスを調べなければ医療機器であっても再稼働させない方針をとりました。半田病院では、一部の医療機器でウイルスを調べられず、機器を提供する事業者からハードウェアの交換を求められています。岡山は、医療機器のネットワーク接続を、情報システムが完全に戻るまで切り離して使いました。レントゲンや心電図、検査の機器など、院内のネットワークにつながっている機器を書き出し、止まったときにどう確かめるのかを、それぞれの事業者に聞いておく項目です。

バックアップから戻す前にも、確かめることがあります。JPCERTコーディネーションセンターは、侵入の経路と考えられる原因をすべて塞いでから戻すよう求めています。攻撃者が残したプログラムや不正な設定が取り除かれたことも、ネットワークに戻す前に確かめます。塞がないまま戻すと、再び攻撃されうるからです。半田病院の事例でも、フォレンジックの事業者が感染なしとした端末から、あとでウイルスが見つかったことが記録されています。戻す日を急ぎたくなる気持ちを抑えて、事業者の確認を待つ場面です。

そして、紙で受けた期間の記録を、システムに入れ直します。岡山では、システムの作り直し、データの入力、紙の記録のスキャナー取り込みなどで、約65人月の手間がかかりました。半田病院でも、医事の過去分のデータを入力する対応を事業者と確かめています。件数が少なくても人手も少ないので、どの記録から入れるか（会計と請求に関わるものを先にするか）、誰が入れるか、入れ終えた紙にどう印を付けるかを決めておくと、復旧の後半が楽になります。

紙に書いた記録も診療の記録です。入力し終えたあとも捨てずに、日付ごとに綴じて保管し、その扱いは保守の事業者や所属する医師会などに確かめておきましょう。電子カルテの入れ替えのときに、旧いデータを参照用に残す考え方は電子カルテ・レセコンの入れ替えで引き継げないデータでも扱っています。

ディスクに焼いた控えが役に立つところと、焼いても守れないもの

岡山の報告書は、バックアップがすべて失われた原因を、オフラインで取っていなかったこと、または書き換えできない媒体を使っていなかったことにあると書きました。先に挙げたIPAの自社診断は、バックアップに使う装置や媒体をバックアップのときだけパソコンにつなぐよう勧めています。IPAの教訓集は、一度書いたら書き換えられない（WORM）機能などで、バックアップそのものの改ざんへの耐性を高めることを挙げました。どの資料も特定の媒体を名指ししてはいませんが、追記型の光ディスクは、この「切り離せる」「後から書き換えられない」という性質に当てはまる手段の一つです。

DVD-RやBD-Rのような追記型の盤は、一度記録した部分を物理的に書き換えたり消したりできません。書き込みを終えて閉じた（ファイナライズした）盤には、それ以上書き足せません。ドライブから出して棚や金庫に置いた盤は、どのネットワークからも届かないので、あとで院内のパソコンが感染しても、その盤の中身は変えられません。書き込んだ時点の状態がそのまま残るので、あとで原本と比べることもできます。薄くて軽く、別の場所に置きやすいのも利点です。

患者一覧や予約一覧、様式やマニュアルのPDFは、容量でいえば小さなファイルです。DVD-Rは1層で4.7GB、BD-Rは1層で25GBと表示されていますが、パソコンの表示ではそれぞれ約4.38GB、約23.3GBと少なく見え、実際に入る量は管理の領域のぶんさらに減ります。それでも、文書の控えなら1枚に何世代分も入る大きさです。データディスクと映像のディスクの違いはデータDVDと映像DVDの違いで説明しています。

焼いても守れないもの

限界もはっきりしています。まず、焼く前のファイルがすでに暗号化されていたり、ウイルスが混じっていたりすれば、その状態がそのまま盤に残ります。岡山のように、侵入から暗号化まで数日あることも考えると、焼く前にファイルが開けること、中身が正しいことを確かめる手順が欠かせません。盤から読み出すときにも、ウイルス対策ソフトで調べてから使いましょう。

次に、ドライブに入れたままの盤や、書き換え型の盤（DVD-RWやBD-RE）は、守りが弱くなります。ファイナライズしていない盤をドライブに入れたままにしておくと、追記によって、中身を見る側からはファイルが消えたり置き換わったりしたように見えることがあります。オフラインかどうかは盤の種類で決まるものではなく、つながっているかどうかで決まります。外付けHDDも抜いて保管すればオフラインですし、ディスクも入れっぱなしならオフラインとはいえません。

盤には寿命があり、保存の環境にも左右されます。カナダ保存研究所（CCI）の目安では、一般的な銀系の反射層のDVD-Rで10〜20年、BD-Rで5〜10年で、これは温度と湿度の影響だけにもとづく目安です。国立国会図書館の報告書（令和2年2月）は、JIS Z 6017などで長期保存に適した環境を温度10〜25℃、湿度40〜60%としています。寿命の考え方はCD・DVD・ブルーレイの寿命と劣化のサインにまとめています。

読むためのドライブも要ります。記録用の盤は2026年10月時点でも買えますが、外付けのブルーレイドライブはメーカーの撤退や販売終了が続き、選べる機種が減って値上がりしています。控えを作るなら、読み出せるドライブと、ネットワークにつながないパソコンを、控えと同じ場所か近くに用意しておくことが前提です。大阪急性期が、テープを読み出す装置と参照用のサーバーの用意に時間を取られたことを思い出してください。

最後に、盤は割れることも、なくなることもあります。光ディスクには暗号化の機能が組み込まれていないので、患者の情報が入った盤を盗まれたり落としたりすれば、そのまま読まれます。ファイルを暗号化してから焼く、施錠できる場所に置く、持ち出しの記録を付ける、という決まりとセットで使いましょう。

ディスクだけで守ろうとする必要はありません。米国の政府機関も紹介している「3-2-1」という経験則は、コピーを3つ（元のデータを含む）、2種類の媒体に、1つは別の場所に置く、という考え方です。日々の控えは交代で使う外付けHDDやクラウドで取り、月に1回、書き換えられない控えをディスクに焼いて別の場所に置く、という組み合わせなら、それぞれの弱いところを補い合えます。NASや外付けHDDそのものが暗号化された事例と、家庭や小さな事務所での守り方はNASや外付けHDDごと暗号化されるランサムウェアで扱っています。

焼くときと保管するときの段取り

ここからは、診療所や薬局で、患者一覧や様式の控えを自分のパソコンで焼く場合の段取りです。電子カルテそのもののバックアップは、保守の事業者と分担を決めて取るものです。ここで扱うのは、紙の箱を補う参照用の控えです。

焼く前に確かめること

控えにするファイルを一つのフォルダに集めたら、まず全部を開いてみます。PDFなら最後のページまで、表計算のファイルなら最後の行まで見て、文字化けや欠けが無いか、見慣れない拡張子のファイルが混じっていないかを確かめます。そのあとWindowsのセキュリティ（Microsoft Defender）などのウイルス対策ソフトでフォルダを調べます。ここで異常があれば、焼かずに保守の事業者に相談します。

次に、ファイルが焼いたあとに変わっていないことを確かめるための値（ハッシュ値）を記録しておきます。Windowsなら、PowerShellで「Get-FileHash ファイル名」と打つと、SHA-256という方式の値が表示されます。Macのターミナルでは「shasum -a 256 ファイル名」と打ちます。Macのshasumは何も付けないとSHA-1という別の方式になるので、「-a 256」を忘れないようにします。値の一覧はテキストファイルにして盤に一緒に入れ、紙にも印刷して別に保管します。

ハッシュ値が一致して分かるのは、焼いたときから中身が変わっていないことだけです。ウイルスが入っていないことの証明にはなりません。だからこそ、焼く前に中身を確かめる手順が先に来ます。ハッシュ値を使った確かめ方は復元テストとハッシュでバックアップの破損を見つける方法で詳しく書いています。

書き換えられない形で焼く

Windowsの標準の機能で焼く場合、最初に「USB フラッシュ ドライブと同じように使用する」か「CD/DVD プレーヤーで使用する」かを選ぶ画面が出ます。前者はあとからファイルを足したり消したりできる形なので、控えには向きません。控えにする盤は後者を選んで、ファイルを集めてから一度に書き込みます。画面の言葉はWindowsの版によって違うことがあるので、書き込んだあとにファイルを追加できない状態になっているかを確かめてください。

書き込みソフトを使う場合も、書き込みのあとにディスクを閉じる（ファイナライズする）設定を選びます。DVD-Rのファイナライズは解除できず、それ以上は書き足せなくなります。書き終えたら、すぐにドライブから取り出します。入れたままにしないことが、控えを切り離すことそのものです。

取り出した盤は、別のパソコン（できればネットワークにつながないもの）で開いて、ファイルが読めることと、ハッシュ値が記録と一致することを確かめます。ここまで終えてから、その盤を控えとして扱います。

書き込み、保管、入れ替え

盤の印刷面には、日付、何の控えか、版の番号を、盤面用のペン（ペン先の柔らかいフェルトペン）で書きます。患者の名前など、中身が分かる情報は盤の外には書きません。同じ内容で2枚焼き、1枚は院内の施錠できる場所に、もう1枚は院外の決めた場所に置きます。院外に持ち出すときは、誰が、いつ、どこへ運んだかを台帳に記録します。置き場所の選び方と運び方は遠隔地保管の実務で扱っています。

保管の環境は、直射日光と高温多湿を避け、ケースに入れて立てて置きます。先に挙げた国立国会図書館の報告書の環境（温度10〜25℃、湿度40〜60%）が一つの目安です。世代は、週に1回の控えを4週分、月に1回の控えを12か月分のように決めて、古いものから入れ替えます。入れ替えで不要になった盤は、患者の情報が入っているので、割って読めないようにしてから処分します。

訓練は、1人分を紙で回して、盤から患者を探すところまでやる

半田病院の報告書のガイドライン編は、バックアップから戻せるかの試験を半期に1回以上行うよう求めています。大阪急性期の報告書は、バックアップを確かめるところから、参照用のサーバーに戻して端末で見られるようにするところまでを訓練するよう勧めました。チェックリストのマニュアルも、BCPを作っていても実際には運用できず、バックアップから戻せなかった事例が多いとして、訓練を勧めています。

診療所や薬局の訓練なら、診療の終わった夕方に1時間あれば形になります。想定は「月曜の朝、電子カルテが開かない」で十分です。院長か管理者が開始を告げ、受付の職員が異常を報告するところから始めます。

1. 連絡体制図を見て、保守の事業者の窓口に実際に電話がつながるかを確かめる（営業時間外の連絡先も）
2. 紙の箱を開け、職員を1人患者役にして、受付、診察の記録、処方、会計（後日精算の扱い）までを紙で回す
3. 控えのディスクを、ネットワークにつながないパソコンで開き、決めた患者の処方と連絡先を探し出す
4. ハッシュ値を計算し、記録してある値と一致するかを確かめる
5. 玄関の掲示と電話の案内文を実際に貼り、読み上げてみる
6. かかった時間、足りなかった物、迷った場面を紙に書き残す

やってみると、たいてい何かが足りません。ドライブのケーブルが見つからない、パスワードを知っている人がその場にいない、様式の版が古い、事業者の夜間の連絡先が変わっていた。訓練の目的は、こうした抜けを平時に見つけることです。見つかった点は、その週のうちに箱の中身や連絡体制図を直しましょう。

薬局なら、患者役の処方箋を1枚用意し、薬歴のシステムを使わずに、控えとお薬手帳から何が確かめられるかを試します。介護事業所なら、夜勤の人数で利用者1人分の記録を紙で回し、持ち出しの袋を開けて読み上げるところまでを確かめます。介護の法定研修や訓練を映像と出席簿で記録する方法は介護・障害福祉の法定研修の実施記録の残し方で書いています。

年に1回の訓練で、半期に1回の「控えを開く試験」を兼ねると、続けやすくなります。春は全員で紙の訓練、秋は管理者だけで控えを開く試験、というように分けてもかまいません。日付と結果を1枚の紙に残しておけば、立入検査でBCPや手順を聞かれたときの説明にも使えます。

控えがあっても戻せなかった型と、今日できる確かめ方

4つの報告書から、控えを持っていたのに役に立たなかった、あるいは役に立つまで時間がかかった型を拾うと、次の6つにまとまります。どれも、攻撃を受ける前に確かめられたことです。

型：控えが同じネットワークにあった
報告書にあった例：岡山は同じネットワークのサーバーのドライブに置いた控えが破壊され、大阪急性期は院内のテープ装置が暗号化された
今日できる確かめ方：控えの置き場所を図に描き、常につながっている物に印を付ける

型：取っているつもりだった
報告書にあった例：半田病院は2018年以降のバックアップが無かった
今日できる確かめ方：いちばん新しい控えの日付を、月に1回自分の目で見る

型：開く機械と手順が無かった
報告書にあった例：大阪急性期は参照用のサーバーの確保に1週間
今日できる確かめ方：ドライブ付きのパソコンで、実際に控えを開いてみる

型：戻せる時点が新しすぎた
報告書にあった例：岡山は侵入から暗号化まで6日、武蔵小杉は発覚まで約2週間
今日できる確かめ方：1か月より前の世代が何枚残っているかを数える

型：様式と連絡先がシステムの中にあった
報告書にあった例：大阪急性期は様式、BCP、職員への連絡手段が電子カルテ上
今日できる確かめ方：電子カルテを使わずに、職員全員へ連絡が届くかを試す

型：患者情報の写しが思わぬ機器にあった
報告書にあった例：武蔵小杉はナースコールのサーバーに患者の基本情報がたまっていた
今日できる確かめ方：患者情報を持つ機器の一覧を事業者に出してもらう

いちばん見落としやすいのは2つ目です。バックアップの仕組みが動いていることと、中身が入っていることは別の話です。半田病院のように、何年も前から新しい控えが入っていなくても、ふだんの診療では困らないので気づきません。月に1回、最新の控えの日付と大きさを見るだけでも、異常に気づける可能性があります。

表の4つ目の「戻せる時点」は、日々上書きする仕組みで特に起きやすい型です。毎晩同じ外付けHDDに上書きしていると、手元にあるのは常に昨日の状態だけになります。昨日の時点ですでに攻撃者が中にいたら、その控えも安全とはいえません。古い世代を、上書きされない形でいくつか残しておくことが、この型への備えです。

ここに、ディスクを使う場合の型を2つ足しておきます。一つは、焼いたあとドライブに入れたままにしていた型です。追記型の盤でも、閉じずに入れたままなら、見かけ上中身が変わることがあります。もう一つは、パスワードを知る人がいない型で、暗号化した控えが当日開けなくなります。どちらも、訓練で一度やってみれば気づけます。

保守の事業者に今月聞いておくこと

保守のための接続は、4つの事例のどれでも侵入の経路に挙がっています。保守の事業者を疑うためではなく、お互いの受け持ちを確かめるために、次のことを聞いておきましょう。チェックリストの項目とも重なるので、立入検査の準備にもなります。

• 遠隔で保守している機器はどれか（電子カルテ、レセコン、画像や検査の機器、予約の仕組みなど）
• 保守用のVPN装置の更新は、誰が、どのくらいの間隔で当てているか。接続元の制限はあるか
• 保守の接続は常につながっているか、使うときだけつなぐ運用か
• 医療情報セキュリティの開示書（MDS・SDS）を出してもらえるか
• バックアップはどこに、何世代あり、ネットワークから切り離したものはあるか
• 最後にバックアップから戻す試験をしたのはいつで、戻すのに何日かかるか
• 止まったときの夜間・休日の連絡先と、来てもらえるまでの時間
• 患者一覧や予約一覧を、帳票やファイルとして書き出せるか

特に確かめたいのは、セキュリティの更新とバックアップの責任が、契約書や約款のどこに書かれているかです。ガイドライン第7.0版の保守委託機関編は、事業者がセキュリティ更新の責任を負うことが契約書などに書かれている場合に限って、小規模な医療機関の負担を軽くする読み方を認めています。書かれていなければ、医療機関の側の責任になっている可能性があります。岡山では、オフラインのバックアップの契約があっても実際には取れていませんでした。契約の文面と、実際に取れている控えの両方を見て初めて、分担がはっきりします。

半田病院の報告書は、関係した事業者もインシデントへの対応に慣れておらず、病院からのエンジニアの派遣の求めに応じてもらえなかったことも記録しています。障害のときに誰が来てくれるのか、来られないなら遠隔で何ができるのかを、平時に聞いておくと、当日の見通しが立てやすくなります。

クラウド型の電子カルテや介護記録のソフトを使っている場合は、事業者の側が止まる場面も考えておきましょう。チェックリストのマニュアルは、サプライチェーンを構成する事業者が攻撃を受けてサービスが止まる事案が多発しているとして、事業者がBCPを作っているかを確かめるよう求めています。事業者が止まっても、紙の箱と参照用の控えがあれば、その日の診療は続けられます。

担当者が1人しかいない現場の備え

半田病院の報告書が書いたように、規模の小さな医療機関では、パソコンに少し詳しい職員が一人でシステムの窓口を兼ねていることが多いとされます。診療所なら院長、薬局なら管理薬剤師がその役を担っていることもあるでしょう。その人がいない日に止まると、事業者の連絡先も、契約の番号も、控えを開くパスワードも分からない、ということが起こりえます。

そこで、その人がいなくても動けるように、事業者の名前と受付の電話番号、契約や保守の番号、控えの置き場所、控えを開くパスワードを書いた紙を封筒に入れ、施錠した場所に保管しておきましょう。封筒を開けてよい人を2人以上決め、開けたら記録を残し、パスワードを変えたら中身を入れ替えましょう。判断の代わりを務める人も決めておくと、院長が学会や休暇で不在の日でも、紙に移る判断ができます。

当社にできること｜研修や手順の動画を、つながなくても見られるDVDにする

当社は、大阪・梅田にある、動画のデータからDVDやブルーレイを作る書き込み代行の小さな店です。受け付けるのは完成した動画のデータで、1枚から作れます。この記事で扱った控えのうち、当社が関われるのは動画の部分です。

止まった日に役立つ動画は、医療や介護の現場にもあります。紙で回す手順を説明した動画、BCPの訓練の様子を録画したもの、新しく入った職員に向けて異常に気づいたときの最初の動きを説明した動画、介護の法定研修の録画などです。こうした動画をDVDにしておけば、パソコンやネットワークが止まった日でも、休憩室のDVDプレーヤーとテレビで見られます。DVDはDVDプレーヤーでもブルーレイの機器でも見られることが多いものの、再生できる盤は機種によって違うので、実際に使うプレーヤーで一度試してください。

同じ内容の焼き増し（追加コピー）で控えを2枚以上作れば、院内と院外、あるいは事業所ごとに分けて置けます。盤面レーベル印刷を付ければ、題名や日付、版の番号を入れた画像を入稿していただき、その画像を盤に印刷するので、棚に並んだ盤のどれが何の研修かを見分けやすくなります。1時間を超えるような研修の録画なら、受付、診察、会計といった場面ごとにチャプター分けをしておくと、見たいところから再生できます。チャプターの位置は、注文ページで「チャプター分け」を選ぶと開く「チャプター位置の指定」の欄に時刻で入れます（最大50チャプター）。

作業の流れはこうです。動画の共有URLを注文フォームに貼っていただくと、当社でプレーヤーで再生できる形に組み立てて書き込み、実際のプレーヤーで再生を確かめます。そのあと、クリックポストで発送するか、当日店舗お渡しでお渡しします。ギガファイル便を使う場合は、保持期限をアップロードの前に選んでください（あとから延ばせません）。ダウンロードパスワードを付けた場合は、注文フォームにURLを貼ると入力欄が開き、その場で照合されます。

料金（税抜）は、同じ内容の2枚目からは追加コピー（同一内容の焼き増し・1枚あたり）が1,000円、盤面レーベル印刷（1枚あたり）は+1,000円、チャプター分け（1枚あたり）は+1,500円です。1枚目にかかるのは基本料金（DVD・1枚あたり）の1,500円で、動画をプレーヤーで再生できる形に組み立てる作業と、書き込み、ケースへの収納までが含まれます。注文はDVD書き込みの注文ページから受け付けています。

研修の録画に患者や利用者が映っている場合は、映る人の同意を先に確かめておきましょう。映像の扱いについて気になる点は、注文の前に相談・問い合わせフォームで確かめていただけます。患者一覧や様式のPDFのような書類のファイルを焼く控えは、この記事の手順で自分のパソコンで焼く前提で書きました。当社に頼めるかどうかも、同じフォームで確かめてください。

今週から始める3つのこと

報告書を読んだあとで手を付けるなら、順番はこうです。まず、紙の箱を作ります。受付から会計までの紙の様式を印刷し、連絡体制図と事業者の夜間の連絡先、患者向けの掲示文を書いて、箱に入れ、日付を書きます。様式の元のデータは、ネットワークにつながない媒体にも入れておきます。

次に、保守の事業者に連絡して、遠隔で保守している機器、バックアップの置き場所と世代、最後に戻す試験をした日、契約書でのセキュリティ更新の受け持ちを聞きます。答えは紙にまとめ、チェックリストの「いいえ」の項目に目標日を書き込みます。

最後に、参照用の控えを1回作ってみます。予約の一覧と患者の一覧を書き出し、中身を確かめ、ハッシュ値を記録して、追記型の盤に「CD/DVD プレーヤーで使用する」形で焼き、取り出して、別のパソコンで開けるかを確かめる。ここまでできれば、毎週と毎月の控えは同じ手順の繰り返しになります。

半田病院や岡山の病院は、ほかの医療機関が同じ目に遭わないようにと、自分たちの経験を公表しました。報告書には、紙カルテのリングファイルを発注した時刻や、電話の回線を増やした日まで書かれています。岡山の理事長は報告書の冒頭で、簡単な設定やOSの標準の機能を使って安くできる対策も多いと書いています。小さな現場がそこから受け取れるのは、システムが止まっても診療を続けるために、紙の箱と、切り離した控えと、開く手順を先に用意しておく、という具体的な段取りです。

よくある質問

Q. 小さな診療所でもランサムウェアの被害に遭うのですか

A. 警察庁の令和7年（2025年）の統計では、ランサムウェア被害の報告226件のうち中小企業が143件で、6割を超えています。侵入経路の多くはVPN機器とリモートデスクトップです。規模にかかわらず、保守のために外とつながる機器があれば同じ経路があり、病院の報告書もどの医療機関でも起こりうると書いています。

Q. 電子カルテが開かなくなったら最初に何をすればよいですか

A. 決めておいた責任者に知らせ、おかしい機械のLANケーブルを抜き、無線LANを切ります。再起動で暗号化が再び動いた例があるので繰り返さず、電源の扱いは事業者の指示を待ちます。つないだままの外付けHDDは外し、自動の同期も止めます。そのうえで紙に切り替える範囲を決め、事業者、厚生労働省、警察に連絡します。

Q. 病院はどのくらいの期間、紙で診療を続けたのですか

A. 半田病院は2021年10月31日から2022年1月4日の通常診療の再開まで約2か月です。大阪急性期・総合医療センターは紙と参照用の端末で続け、12月12日に電子カルテが再稼働し、12月22日に紙の運用を終えました。全体の復旧には73日かかっています。岡山県精神科医療センターは6月1日に仮の電子カルテを動かし、完全復旧まで90日でした。

Q. バックアップを取っていれば大丈夫ではないのですか

A. 警察庁の令和7年の統計では、バックアップから被害の直前まで戻せたのは、復元を試みた回答99件中20件でした。最も多い理由はバックアップも暗号化されたことです。岡山の病院では、オフラインのバックアップの契約がありながら同じネットワークのサーバーに保存されていて、すべて破壊されました。離れた場所にあり、戻せることまで確かめましょう。

Q. 厚生労働省のチェックリストでは何が求められていますか

A. 令和8年度版では、安全管理の責任者、機器の台帳、リモート保守の機器の確認、更新プログラムやパスワードの管理に加えて、連絡体制図、診療を続けるために必要な情報のバックアップと復旧手順の確認、サイバー攻撃を想定したBCPが挙がっています。立入検査で確認され、令和8年度中にすべて「はい」にすることが求められています。

Q. 保守を事業者に任せていれば医療機関の責任はないのですか

A. ガイドライン第7.0版の保守委託機関編は、サーバーのセキュリティ更新を含む保守を事業者にすべて任せている小規模な医療機関向けの読み方を示しています。ただし、事業者が責任を負うことが契約書や約款に書かれている場合に限られ、書かれていなければ医療機関の側の責任の可能性があります。契約の文面を確かめてください。

Q. 紙で診療を続けるために何を用意しておけばよいですか

A. 受付、カルテ、処方、検査、会計の紙の様式、紙で回す流れと切り替えの判断基準、連絡体制図と事業者の夜間の連絡先、職員の連絡先、患者向けの掲示文と電話の案内文、様式の元データを入れた媒体を一つの箱にまとめておきましょう。大阪急性期では、様式やマニュアルが電子カルテの中にあって使えませんでした。

Q. 患者一覧の控えは何日おきに作ればよいですか

A. 岡山では侵入から暗号化まで6日、武蔵小杉病院では侵入から発覚まで約2週間ありました。最新の1世代だけでは、すでに攻撃者が中にいた時点の控えかもしれません。毎日の予約の印刷、週1回の控えを数週分、月1回の控えを1年分のように組み合わせ、侵入より前の時点に戻れるようにしておきましょう。

Q. DVD-Rに焼いた控えならランサムウェアに強いのですか

A. 追記型の盤は記録済みの部分を書き換えられず、ドライブから出して保管すればネットワークから届きません。ただし、焼く前に暗号化や感染をしていたファイルはそのまま残り、ドライブに入れたままや書き換え型の盤では守りが弱くなります。盤の寿命や読むドライブの問題もあるので、外付けHDDやクラウドと組み合わせて使いましょう。

Q. 患者の情報を焼いたディスクはどう保管すればよいですか

A. 病名や服薬を含む要配慮個人情報なので、ファイルを暗号化してから焼き、施錠できる場所に置き、持ち出すときは台帳に記録しましょう。光ディスクには暗号化の機能が無く、なくせばそのまま読まれます。暗号化のパスワードは紙に書いて封をし、控えとは別の場所に置いて、知っている人を2人以上にしておきましょう。

Q. 漏えいのおそれがあるとき個人情報保護委員会への報告は必要ですか

A. 病歴などの要配慮個人情報が含まれる漏えいやそのおそれは、件数にかかわらず報告の対象です。知った時点から概ね3〜5日以内に速報、30日以内（不正の目的によるものは60日以内）に確報を出します。岡山の病院は発覚の翌日に速報を出しました。漏えいが確かめられたら、本人への通知も必要になります。

Q. 研修の動画をDVDにして職員に見てもらうことはできますか

A. 当社は完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを1枚から作っています。紙で回す手順の説明やBCP訓練の録画をDVDにしておけば、パソコンやネットワークが止まった日でもプレーヤーとテレビで見られます。再生できる盤は機種で違うので、使うプレーヤーで試してください。患者が映る動画は注文の前にご相談ください。