電子カルテが開かない朝が来たとき、誰が「システムを止める」と決めるのでしょうか。誰が保健所や地域の基幹病院に連絡し、誰が外来の受付を止めるかを決め、誰が記者からの電話に出るのでしょうか。この問いに即答できない医療機関は、規模を問わず多く残っています。
セキュリティ対策の議論は、どうしても「入口をどう守るか」に寄ります。しかし守り切れなかったときに組織がどう動くかを決めていないと、被害そのものより混乱による診療停止のほうが長引きます。公表されている被害事例に共通するのは、技術的な復旧よりも、判断の空白と連絡の断絶が全体の時間を伸ばしているという構造です。
そして2026年度の診療報酬改定で、この領域は「やったほうがいいこと」から算定要件に変わりました。新設された電子的診療情報連携体制整備加算の加算1には、サイバー攻撃等に対するBCPの策定と訓練の実施が明記されています。計画を持っていないことが、そのまま収益の差になる構造です。
本記事は、医療機関がインシデント対応計画を一から作る、あるいは形骸化した計画を作り直すための構成図です。個別の論点は各記事に分けていますので、必要なところから深掘りしてください。
免責：本記事は一般的な情報提供です。診療報酬の算定要件、ガイドラインの要求事項の解釈は、厚生労働省の告示・通知・疑義解釈および「医療情報システムの安全管理に関するガイドライン」本文が正本です。実際の対応はそれらに基づいて行ってください。
なぜいま「計画」が求められるのか
2026年度診療報酬改定では、医療情報取得加算と医療DX推進体制整備加算が廃止・統合され、電子的診療情報連携体制整備加算が新設されました。ここにサイバーセキュリティ対策の評価が組み込まれています。
| 区分 | 点数 | 要件 |
|---|---|---|
| 加算1 | 160点 | 下記の共通要件に加えて、複数方式によるバックアップ（一部はオフライン保管）と、サイバー攻撃等に対するBCP策定・訓練の実施 |
| 加算2 | 80点 | 「医療情報システムの安全管理に関するガイドライン」への準拠、専任の医療情報システム安全管理責任者の配置 |
読み取るべきは点数差そのものではなく、制度が「計画と訓練」を評価対象にしたという事実です。機器を買ったかどうかではなく、組織として動けるかどうかが問われています。改定の全体像は 2026年度診療報酬改定のポイント を、責任者の選任については 医療情報安全管理責任者の役割と選任 をご覧ください。
背景にある「医療情報システムの安全管理に関するガイドライン」第6.0版も、経営管理編で経営層の責任としてインシデント発生時の対応体制整備を求めています。全体像は 3省2ガイドラインとは にまとめています。
インシデント対応計画に書くべきこと
計画書は分厚さで評価されません。現場が真夜中に開いて使えるかが基準です。最低限、次の6つが書かれている必要があります。
| 項目 | 書くべき内容 | よくある欠落 |
|---|---|---|
| 適用範囲と発動基準 | 何をもって「インシデント」とし、誰が発動を宣言するか | 「重大な場合」とだけ書かれ、判断基準がない |
| 役割と権限 | 誰が何を決められるか。決裁者不在時の代行順位 | 代行順位がなく、院長不在で止まる |
| 連絡体制 | 内部・外部それぞれの連絡先と順序 | 連絡先リストが被害システムの中にしかない |
| 初動手順 | 最初の1時間で何をするか、何をしてはいけないか | 「速やかに対応する」で終わっている |
| 診療継続の切替 | 電子カルテが使えないときの紙運用と優先順位 | 紙の様式が用意されていない |
| 記録と報告 | 何を記録し、どこへいつ報告するか | 報告先の一覧がない |
このうち初動手順は ランサムウェア被害時の初動、診療継続の切替は サイバー攻撃を想定したBCP、報告義務は 個人情報漏えい時の報告義務 で個別に扱っています。
発動基準は必ず数字か事象で書いてください。「複数端末で同一のファイル拡張子変化を確認した」「基幹システムへのログインが全職員で不能」といった、当直者が迷わず判断できる粒度が必要です。
誰が何を判断するか
インシデント対応が遅れる最大の理由は、技術力の不足ではなく判断の所在が不明なことです。計画には、判断事項ごとに一次判断者と最終決裁者を書き分けます。
| 判断事項 | 一次判断 | 最終決裁 | 想定時間 |
|---|---|---|---|
| インシデント宣言（対応体制の発動） | 当直責任者・情報システム担当 | 医療情報システム安全管理責任者 | 覚知から30分以内 |
| ネットワークからの切り離し | 情報システム担当 | 安全管理責任者（事後報告可の運用も設計する） | 覚知から1時間以内 |
| 外来・入院の受入制限 | 診療部門長 | 院長 | 発動から2時間以内 |
| 外部支援（専門事業者・所管官庁）の要請 | 安全管理責任者 | 院長 | 発動当日 |
| 公表・広報の判断 | 広報担当 | 院長・理事長 | 事実確認後 |
| 個人情報保護委員会への報告 | 個人情報保護責任者 | 院長 | 法定の期限内 |
切り離しの判断を現場に委ねられるようにしておくことが実務上は要です。 決裁を待つ間に被害が広がる一方で、誤った切り離しは診療を止めます。「この条件を満たす場合は担当者判断で切り離してよい、事後に報告する」という形で、あらかじめ権限を下ろしておく設計が現実的です。
役割を誰に割り当てるか、委員会をどう構成するかは 医療機関のセキュリティ体制の作り方 で詳しく扱います。
連絡体制は「止まる前提」で作る
公表事例に共通する失敗のひとつが、連絡先リストが被害を受けたシステムの中にしかなかったというものです。院内グループウェア、共有フォルダ、電子カルテ内のメモ。いずれも暗号化されれば同時に失われます。
連絡体制は次の3層で設計します。
- 紙の連絡網 — 職員の連絡先、主要ベンダー、所管保健所、警察、地域の連携医療機関。防災用の持ち出し袋や、当直室・事務長室など複数箇所に施錠保管する
- 院内ネットワークに依存しない連絡手段 — 携帯電話、あるいは業務用とは別のメッセージ手段。平時から疎通確認をしておく
- 代表連絡窓口の一本化 — 問い合わせ・取材・患者からの照会を1か所に集約する。現場が個別対応すると情報が食い違う
外部の連絡先は、契約上の連絡先と、実際に電話がつながる番号を分けて書いてください。 保守契約書に書かれた代表番号が夜間につながらないケースは珍しくありません。夜間・休日の受付方法と、契約上の到達時間（SLA）を一覧にしておきます。委託先との取り決めの書き方は SLAと責任分界の書き方 で扱っています。
診療を続けるための切替計画
インシデント対応計画の目的は、システムを直すことではなく診療を続けることです。ここが自然災害のBCPと発想が共通する一方で、サイバー攻撃では復旧までの期間が読めないという違いがあります。
切替計画には次を含めます。
- 業務の優先順位 — 救急・手術・透析・分娩など、止められない機能を先に特定する
- 紙の様式 — 処方箋、指示簿、検査依頼、同意書。印刷して保管する。データだけでは意味がない
- 参照できる最低限の情報 — 入院患者の一覧、アレルギー・禁忌、当日の手術・検査予定。どこまでを紙で保持するかを決める
- 復旧後のデータ統合 — 紙で運用した期間の記録をどう電子カルテへ戻すか。ここを決めていないと復旧後に二次的な混乱が起きる
「何日間、紙で回せるか」を数字で持っておくことが計画の質を分けます。3日なのか2週間なのかで、備蓄すべき様式の枚数も、代替手段への投資判断も変わります。詳細は サイバー攻撃を想定したBCP を、バックアップの構成は 医療機関のバックアップ設計｜3-2-1ルール をご覧ください。
計画を「使える」状態に保つ
計画は作った瞬間から古くなります。人事異動で連絡網が変わり、システム更改で手順が変わるためです。維持のために最低限決めておくことは3つです。
| 維持活動 | 頻度の考え方 | 残す記録 |
|---|---|---|
| 連絡網の更新 | 人事異動のタイミングに合わせる | 更新日と配布先 |
| 机上訓練（ウォークスルー） | 計画改訂時と、体制変更時 | シナリオ、参加者、出た課題 |
| 実地訓練（縮退運用の試行） | 年次の計画に組み込む | 実施記録、所要時間、改善事項 |
| 計画の見直し | 訓練・実際のインシデント後 | 改訂履歴 |
訓練の価値は「できなかったことが分かる」ことにあります。 滞りなく終わった訓練は、シナリオが易しすぎたと考えたほうがよいでしょう。決裁者が不在という条件を入れる、連絡網が使えない前提にする、といった負荷をかけて初めて計画の穴が見えます。
訓練の設計と記録の残し方は 職員教育・訓練の設計、メール訓練の具体は 標的型攻撃メール訓練 で扱います。厚生労働省が2025年5月14日に公表したチェックリストとの突き合わせ方は 厚労省のチェックリストをどう使うか をご覧ください。
まとめ
医療機関のインシデント対応計画を作る際に押さえるべき点は次のとおりです。
- 2026年度改定で新設された電子的診療情報連携体制整備加算の加算1は、サイバー攻撃を想定したBCP策定と訓練を要件にしている。計画は算定要件になった
- 計画の骨格は適用範囲と発動基準／役割と権限／連絡体制／初動手順／診療継続の切替／記録と報告の6項目
- 判断事項ごとに一次判断者と最終決裁者を書き分ける。とくに切り離しは現場に権限を下ろしておく
- 連絡先リストは被害システムの外に置く。紙で、複数箇所に保管する
- 切替計画の質は「何日間、紙で回せるか」を数字で持っているかで決まる
- 訓練はできなかったことを見つけるために行う。滞りなく終わる訓練は負荷が足りない
計画の骨格を作るところまでは自院でできても、判断基準の粒度や訓練シナリオの設計は、経験がないと手が止まりやすい部分です。ポテックは医療情報システムの設計・運用を通じて、体制づくりとガイドライン対応のご相談を受けています。自院だけで進めるのが難しい場合は お問い合わせ からご相談ください。委託先事業者側の体制については ISMS（ISO/IEC 27001）とは も参考になります。
参考・出典
※診療報酬の算定要件は告示・通知・疑義解釈により具体化され、改定・解釈の変更があり得ます。最新の内容は厚生労働省の公表資料をご確認ください。