はじめに

2025年、国内でランサムウェアによる被害を受けた企業・組織は226件。そのうち業務が全面停止したのは8%、さらにバックアップが存在していても復元できたのは約2割にとどまったというデータがある（警察庁調査）。

「うちは小さいクリニックだから狙われない」——そう思っているとしたら、危険な誤解だ。医療機関は個人情報と医療情報の宝庫であり、むしろ攻撃者から見れば「支払い能力があり、情報の価値が高く、業務を止められない」という理想的なターゲットである。

電子カルテが止まれば診療は止まる。診療が止まれば患者の命に関わる。だからこそ攻撃者はクリニックに目を付け、高額の身代金を要求してくる。

この記事では、クリニック院長がすぐに使えるサイバーBCP（事業継続計画）の考え方と、電子カルテ運用で押さえるべき具体的な対策を解説する。

サイバーBCPとは何か

BCP（Business Continuity Plan）とは、自然災害・感染症・システム障害など不測の事態が発生した際に、事業を継続または早期に復旧するための計画だ。

これに「サイバー攻撃」という脅威を加えたのが「サイバーBCP」である。

クリニックにとってのサイバーBCPの核心は、次の3つの問いに答えることだ。

1. 電子カルテが使えなくなったとき、診療をどう継続するか
2. いつ、誰が、何を意思決定するか
3. どのくらいの時間で復旧させるか

多くのクリニックが「電子カルテに毎日バックアップしているから大丈夫」と考えているが、ランサムウェアはバックアップも暗号化する。クラウドバックアップも接続されていれば例外ではない。「バックアップがある＝安全」ではないのだ。

ランサムウェア感染からの時系列シナリオ

実際にランサムウェアに感染した場合、何が起きるかを時系列で確認しておこう。

Day 0（感染発覚）

Day 0〜3（診療継続の危機）

Day 3〜14（復旧作業）

Day 14〜（恒久対策）

クリニックが今すぐ実施すべき5つの対策

対策1：オフライン・エアギャップバックアップの構築

クラウドバックアップとネットワーク接続されたNASは、ランサムウェアの拡散先になりうる。有効なバックアップとは「感染したシステムから切り離されたバックアップ」だ。

実践例：

3-2-1ルールが基本だ。「3コピー、2種類の媒体、1つはオフサイト」——この原則を守るだけで復旧確率は格段に上がる。

対策2：最低限の紙運用フローを用意する

電子カルテが使えなくなっても、最低限の診療を継続するための「紙の診療フロー」を事前に整備しておく。

準備しておくべきもの：

理想論ではなく、現実的に3日間は紙で運用できる体制が必要だ。この準備があるかないかで、感染時のパニックの度合いは大きく変わる。
また、物理的な準備と同じくらい重要なのが「いつ、誰の判断で紙運用に切り替えるか（タイムラインと権限）」の取り決めだ。
「システムが停止して30分経っても復旧の目処が立たなければ、院長の権限で即座に紙運用へ切り替える」といった明確なトリガー（基準）がなければ、スタッフはシステム復旧を待ち続けてしまい、待合室が大混乱に陥る。

対策3：インシデント対応の初動マニュアルを1枚で作る

「感染したかもしれない」と気づいた瞬間に誰が何をするかを1枚のカードにまとめておく。パニック状態で複数ページのマニュアルを読める人間はいない。

1枚カードに書くべき内容：
1. 「感染の疑い」を感じたら → 該当PCのLANケーブルを抜く・Wi-Fiをオフにする
2. 院長・事務長に電話する（番号を明記）
3. 電子カルテベンダーのサポートに電話する（番号を明記）
4. 他のPCは操作しない（感染拡大防止）
5. 証拠保全のため、PCの電源は切らない

たった5ステップだが、これを事前に共有・掲示しておくだけで初動速度は大きく変わる。

対策4：セキュリティの「人間的な穴」をふさぐ

統計上、ランサムウェア感染の大半は「フィッシングメール」の添付ファイル・リンクが起点だ。つまり、スタッフが不審なメールを開いてしまうことから始まる。

最低限の教育ポイント：

対策5：ネットワーク機器（VPN・ルーター）の脆弱性をふさぐ

警察庁の調査において、ランサムウェアの侵入経路としてフィッシングメールと並んで多いのが「VPN機器やルーターの脆弱性」を突いた攻撃だ。特に医療機関では、システムベンダーがリモート保守を行うために設置した機器が狙われるケースが頻発している。

確認すべきポイント：

「ネットワークのことはベンダーに任せている」という丸投げの姿勢が、最大の脆弱性になり得ることを認識してほしい。

電子カルテ選定時に確認すべきセキュリティ要件

新規に電子カルテを導入する、または乗り換えを検討しているクリニックが確認すべきポイントをまとめる。

チェックポイント一覧

クラウド型電子カルテは、適切に管理されたデータセンターを使用しているため、オンプレミス型よりもセキュリティ対策が充実しているケースが多い。ただし「クラウドだから安全」と安心しきるのは禁物だ。アクセス権限の管理はクリニック側の責任であり、退職したスタッフのアカウントを放置することも立派な脆弱性になる。

医療機関のサイバーインシデント報告義務

大前提として、医療機関は厚生労働省が定める「医療情報システムの安全管理に関するガイドライン」に準拠した対策を講じることが求められている。同ガイドラインでも、サイバー攻撃を想定したBCPの策定と定期的な見直しが強く推奨されている。

その上で、2023年から一定規模以上の医療機関には、厚生労働省へのサイバーインシデント報告義務が課されるようになった。クリニックの多くは直接の対象外となることが多いが、都道府県への報告や患者への通知が必要になるケースは存在する。

2023年から、一定規模以上の医療機関には厚生労働省へのサイバーインシデント報告義務が課されている。クリニックの多くは対象外だが、都道府県への報告や患者への通知が必要になるケースは存在する。

知っておくべき原則は以下の2点だ。

1. 個人情報保護委員会への報告: 患者情報が漏洩・滅失した場合、個人情報保護法に基づく報告義務が生じる（規模を問わず）
2. 患者への通知: 患者の個人情報が漏洩した場合、本人への通知が原則として必要

「身代金を払えばデータは返ってくるし、誰にも知られなくて済む」という判断は誤りだ。身代金を払っても復元される保証はなく、むしろ支払い実績が「交渉可能な組織」として攻撃者間で共有されるリスクがある。

まとめ：「もしも」を想定することがクリニック経営の責任

サイバー攻撃は「運が悪い人が遭う」ものではなく、「準備していない人が遭う」ものになりつつある。

クリニックに求められるサイバーBCPの本質は、「完全に防ぐこと」ではない。攻撃を受けても診療を継続し、患者を守り、できる限り早く復旧することだ。

今日から実施できるアクションを改めて整理する：

地震・水害に備えたBCPは多くのクリニックが整備し始めているが、サイバー攻撃への備えはまだ後回しにされがちだ。次の被害者にならないために、今日から一歩を踏み出してほしい。

Mac・Windows・iPadで自由に操作、マニュア ルいらずで最短クリック数で診療効率アップ

オンライン診療機能を搭載 したクラウド型電子カルテ 「CLIUS」

特徴

１．使いやすさを追求したUI・UX ・ゲーム事業で培って来た視認性・操作性を追求したシンプルな画面設計 ・必要な情報のみ瞬時に呼び出すことが出来るため、診療中のストレスを軽減 ２．診療中の工数削減 ・AIによる自動学習機能、セット作成機能、クイック登録機能等 ・カルテ入力時間の大幅削減による患者様と向き合う時間を増加 ３．予約機能・グループ医院管理機能による経営サポート ・電子カルテ内の予約システムとの連動、グループ医院管理機能を活用することにより経営サポート実現 ・さらにオンライン診療の搭載による効率的・効果的な診療体制実現

対象規模

無床クリニック向け 在宅向け

オプション機能

オンライン診療 予約システム モバイル端末 タブレット対応 WEB予約

提供形態

サービス クラウド SaaS 分離型

診療科目

内科、精神科、神経科、神経内科、呼吸器科、消化器科、、循環器科、小児科、外科、整形外科、形成外科、美容外科、脳神経外科、呼吸器外科、心臓血管科、小児外科、皮膚泌尿器科、皮膚科、泌尿器科、性病科、肛門科、産婦人科、産科、婦人科、眼科、耳鼻咽喉科、気管食道科、放射線科、麻酔科、心療内科、アレルギー科、リウマチ科、リハビリテーション科、、、、

詳細を見る