サイバー攻撃を想定したBCPの確認表が公表。最初の一時間の動きを話し合う

2024年6月、厚生労働省はサイバー攻撃を想定したBCP策定の確認表や手引き、ひな形を公表しました。施設の管理者にとっては、システムが止まった場合に何を優先するかを話し合うための資料です。最初から長い計画書を完成させようとせず、異常に気付いた職員が誰へ連絡し、誰が診療や調剤の継続を判断するかを、短い打ち合わせで確認するところから始めてみてください。

BCPで確認する内容

公式の確認表では、機器や構成の把握、組織内外への連絡、バックアップと復旧手順、異常時の対応などを確認します。防御の対策に加えて、発生した後に医療への影響を抑える準備を行うための資料です。

医療機関用と薬局用の資料が用意されています。施設の種類に合った資料を選び、ひな形の連絡先や業務内容を自施設のものへ置き換えて使ってください。

停止中でも必要な情報を考える

電子カルテや調剤システムが見られないとき、どの業務でどの情報が必要になるかを職員と整理しておくことをおすすめします。紙の帳票を使う場合の保管と、復旧後に情報を戻す担当も考えておくと、停止中と再開後の仕事をつなげやすくなります。

バックアップの有無だけで終わらせない

保守先には、保存している情報の範囲と、どの手順で戻せるかを確認しておきましょう。バックアップがあるという回答だけでは、必要な仕事を再開できるかまで分かりません。確認や復旧の試験を依頼する場合は、通常業務への影響も含めて日程を相談してください。

短い練習を予定に入れる

診療中に異常を見つけた、休日に連絡が来た、といった状況を一つ選び、連絡先の資料を使って職員が動けるか確認してみてください。専門的な復旧作業を無理に職員へ任せる必要はありません。異常を伝え、判断する人へつなぐ部分を練習するだけでも、資料の足りない箇所が見つかります。

2024年6月公表の資料を紹介しています。機器・契約・連絡先が変わった場合はBCPを更新し、現行のチェックリストとの関係も確認してください。