ランサムウェア被害の帰趨は、発覚から最初の数時間でおおむね決まります。技術的な復旧の巧拙よりも、誰が何をどの順番で決めたかが、診療再開までの日数を左右するためです。
初動が難しいのは、相反する要求が同時に発生するからです。被害拡大を止めるには速やかに切り離したい。しかし切り離せば診療が止まる。証拠を保全したいが、電源を落とすと消える情報もある。復旧を急ぎたいが、原因が分からないまま戻せば再感染する。これらをその場で考え始めると間に合いません。
本記事は、医療機関がランサムウェアの被害に直面したときの初動を時間軸で整理したものです。同時に、その多くが平時に決めておかなければ実行できないことを示します。攻撃者側の手口の詳細には踏み込まず、防御側の判断に絞っています。
免責：本記事は一般的な情報提供です。実際のインシデント対応は、被害状況・契約関係・法令上の義務により大きく異なります。具体的な対応は専門事業者、所管官庁、法務の助言に基づいて判断してください。
最初の1時間——止血と保全
最初の1時間の目的は、原因究明ではなく拡大の停止と状態の保全です。順序を決めておきます。
| 時刻の目安 | やること | 判断者 |
|---|---|---|
| 0〜10分 | 事象の確認。複数端末か、単独端末か。基幹システムに影響が及んでいるか | 発見者・当直責任者 |
| 10〜20分 | インシデント宣言。対応体制の発動。連絡網の起動 | 当直責任者／医療情報システム安全管理責任者 |
| 20〜40分 | 影響範囲の切り離し。院内ネットワークの分離、外部接続の遮断 | 情報システム担当（事前の権限委譲に基づく） |
| 30〜60分 | 診療部門への周知。外来・入院・救急の受入方針の一次判断 | 診療部門長・院長 |
| 60分以内 | 記録開始。時刻付きで事実を書き始める | 対応記録係（専任で置く） |
「電源を落とすべきか」は最初に迷う点です。 一般論として、電源断はメモリ上にしか存在しない情報を失わせるため、後の原因調査を難しくします。一方で暗号化が進行中であれば、止めることで被害範囲が狭まる可能性があります。優先すべきはネットワークからの切り離しで、LANケーブルを抜く・無線を無効にするといった形で通信を断ち、電源は原則として維持したまま専門家の指示を待つ、という整理が扱いやすいでしょう。ただし状況により判断は変わるため、この方針を平時に自院で決め、計画に書いておくことが要点です。
やってはいけないことも同じ重みで決めておきます。
- 感染が疑われる端末で業務を続ける、再起動を繰り返す
- バックアップ装置を確認のためにネットワークへ接続し直す
- 身代金要求画面の指示に従って外部サイトへアクセスする
- 事実確認前に院外へ断定的な情報を流す
切り離しの判断をどう設計するか
切り離しは診療を止める判断と表裏一体です。だからこそ、判断基準と権限を平時に決めておく必要があります。
切り離しの単位を事前に把握しておくことが前提になります。院内ネットワークがフラットな1つのセグメントであれば、選べる選択肢は「全部止める」しかありません。部門系・基幹系・事務系・検査機器系が分離されていれば、影響範囲を限定して切り離せます。ここは平時の設計課題で、ネットワーク分離と資産管理 で扱っています。
判断のために手元に必要なものは次のとおりです。いずれも被害システムの外に、紙またはオフラインで持っておきます。
| 必要なもの | 用途 |
|---|---|
| ネットワーク構成図 | どこで切れば何が止まるかを即断する |
| 機器・システム一覧（管理者と保守先つき） | 誰に連絡すれば止められるか／戻せるか |
| 部門システムの依存関係 | 検査・画像・薬剤など、止めた影響の把握 |
| 外部接続の一覧（VPN、保守回線、オンライン請求、地域連携） | 遮断すべき経路の漏れを防ぐ |
外部からの侵入経路として境界機器の既知脆弱性が問題になる構造については VPN機器の脆弱性対策、共通する失敗の型は インシデントの構造から学ぶ にまとめています。
身代金の要求にどう向き合うか
まず前提として、支払っても復旧する保証はありません。 復号ツールが提供されない、提供されても完全に戻らない、さらに追加の要求が続く——いずれも起こり得ます。また近年は暗号化に加えてデータを窃取し、公開を避けたければ支払えと迫る形も一般化しており、支払ったところで窃取されたデータが消える保証はありません。
医療機関として押さえるべき論点を整理します。
| 論点 | 考え方 |
|---|---|
| 復旧の確実性 | 支払いは復旧を保証しない。復旧の基本線はあくまでバックアップからの再構築 |
| 再攻撃の誘発 | 支払う組織であるという情報自体がリスクになり得る |
| 法的・制度的な検討 | 資金移転の相手方によっては法令上の問題が生じ得る。必ず法務・警察・所管官庁に相談する |
| 説明責任 | 公的性格の強い医療機関では、支払いの是非そのものが説明を求められる |
| 情報漏えいの扱い | 支払いの有無にかかわらず、漏えいの事実があれば報告義務は別に発生する |
結論として、支払いを前提にした計画は立てないでください。 計画の主軸は「バックアップから、どの順番で、何日で戻すか」です。バックアップが同一ネットワーク上にあって同時に暗号化される構造を避ける設計は 医療機関のバックアップ設計｜3-2-1ルール を、2026年度改定の加算1が求める複数方式・一部オフラインの要件は サイバー攻撃を想定したBCP をご覧ください。
なお、身代金の支払いはサイバー保険でも扱いが分かれる領域です。補償範囲と免責の考え方は 医療機関のサイバー保険 で整理しています。
外部支援をどう呼ぶか
自院だけで対応しきれる規模の被害は多くありません。誰に、どの順番で連絡するかを一覧にしておきます。
| 連絡先 | 何を依頼するか | 平時に確認しておくこと |
|---|---|---|
| 電子カルテ・部門システムのベンダー | 影響範囲の確認、復旧手順、代替手段 | 夜間・休日の受付方法と到達時間 |
| ネットワーク・機器の保守事業者 | 切り離しの実施、ログの保全 | 現地対応の可否と所要時間 |
| インシデント対応の専門事業者 | 原因調査、封じ込め、復旧支援 | 事前契約の有無。未契約だと着手が遅れる |
| 警察（サイバー犯罪相談窓口） | 被害の申告、助言 | 所轄の連絡先 |
| 所管の保健所・自治体主管課 | 診療体制への影響の報告 | 報告ルートと様式 |
| 個人情報保護委員会 | 漏えい等の報告 | 報告の要否判断と期限 |
専門事業者は、被害が起きてから探すと着手までに時間がかかります。 事前に相談先を決めておく、あるいは保守契約や保険に付帯する支援サービスの範囲を確認しておくことが実効的です。報告義務の枠組みは 個人情報漏えい時の報告義務 で詳しく扱います。
記録を残す——後で効いてくる作業
初動の最中は記録が後回しになりますが、記録の有無が後段のすべてを左右します。 原因調査、報告書、保険請求、公表資料、再発防止。いずれも「いつ何が起きて、誰が何を決めたか」を根拠にします。
記録係は専任で置いてください。 対応にあたる人が片手間で書くと、まず抜けます。記録するのは次の4種類です。
- 事象の記録 — 何が、いつ、どこで観測されたか。推測と事実を分けて書く
- 判断の記録 — 誰が、何を、なぜ決めたか。却下した選択肢も書く
- 連絡の記録 — 誰にいつ連絡し、何を伝え、何を依頼したか
- 技術的な保全 — ログ、画面の写真、機器の状態。上書きされる前に確保する
とくにログは保存期間を過ぎれば消えます。ログの取得・保全の設計は ログ管理と監査証跡、電子カルテ側の点検は 電子カルテのアクセスログ点検 をご覧ください。
記録の様式は平時に用意し、紙でも書ける形にしておきます。共有ドライブ上のExcelしかない、という状態はインシデント時には使えません。
収束と再開の判断
封じ込めの次に来るのが「いつ戻すか」です。ここで急ぐと再感染します。再開の条件を平時に決めておきます。
- 侵入経路が特定され、塞がれていること
- 復旧に使うバックアップが汚染されていない時点のものであると確認できること
- 戻す端末・サーバに残存する不正なプログラムがないこと
- 認証情報が全面的に更新されていること（管理者アカウント、保守用アカウントを含む）
- 監視を強化した状態で段階的に戻す計画があること
そして、復旧後に必ず振り返りを行い、計画へ反映します。 実際のインシデントは最良の訓練材料です。手順のどこで迷ったか、どの情報が手元になかったか、誰に連絡がつかなかったか。これを 医療機関のインシデント対応計画 に戻すところまでが初動対応の一部です。
まとめ
ランサムウェア被害時の初動で押さえるべき点は次のとおりです。
- 最初の1時間の目的は原因究明ではなく拡大の停止と状態の保全。順序と判断者を平時に決める
- 優先するのはネットワークからの切り離し。電源断の是非は平時に方針を決め、計画へ書いておく
- 切り離しの選択肢はネットワーク設計で決まる。構成図・機器一覧は紙またはオフラインで持つ
- 支払いは復旧を保証しない。 支払い前提の計画は立てず、バックアップからの再構築を主軸にする
- 外部支援は事前に相談先を決めておく。被害後に探すと着手が遅れる
- 記録係を専任で置く。 事象・判断・連絡・技術的保全の4種類を、紙でも書ける様式で残す
初動の手順書は、自院のネットワーク構成と契約関係を踏まえて作らないと機能しません。ポテックは医療情報システムの設計・運用に関わる立場から、体制づくりと手順整備のご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側のインシデント対応体制を評価する視点は ISMS（ISO/IEC 27001）とは が参考になります。
参考・出典
※インシデント対応の具体的な手順は被害状況・システム構成・契約関係により異なります。本記事は一般的な考え方を示すものであり、実際の対応は専門事業者および所管官庁の助言に基づいて判断してください。