IT-BCP策定に関するチェックリスト
2024年6月13日
徳島大学大学院医歯薬学研究部 医療情報学分野
徳島大学病院 病院情報センター
田木真和

医療機関のサイバー攻撃対策強化に関する政策等
医療法第25条第1項の規定に基づく立ち入り検査（2022年度の留意事項）

医療機関においてサイバーセキュリティ対策の強化を図るため、以下に掲げる事項について確認を行う。
① PCやVPN機器等の脆弱性情報を収集し、速やかに対策を行える体制の確保② 診療継続のためのデータやシステムのバックアップの確実な実行③ 復旧手順の検討とBCP策定、サイバー攻撃を想定した訓練④ 医療情報システムの保守会社等への連絡体制や厚生労働省への連絡体制の確保

医療情報システムの安全管理に関するガイドラン 第6.0版（2023年5月改定）【11.2】非常時に備えた通常時からの対応（サイバー攻撃）●緊急時対応体制（CSIRT）の整備 ●利用者等の関係者の教育・訓練 ●脆弱性対策等●情報共有体制の構築（外部有識者、事業者） ●攻撃を受けた際の代替運用や手段の確保 など●BCPを踏まえた情報システムに関する手順整備 ●ネットワークやバックアップ等に関する安全性の確保 など●医療情報システムに関する各種ドキュメントの整備 ●臨時措置に必要な情報システ
ム資源の確保方法の準備 など

診療報酬改定（2024年度）【診療録管理体制加算１】200床以上の保険医療機関について、
第1：専任の医療情報システム安全管理責任者を配置
第2：非常時に備えた医療情報システムのバックアップを複数の方式で確保し、その一部はネットワークから切り離したオフラインで保管
第3：非常時を想定した医療情報システムの利用が困難な場合の対応や復旧に至るまでの対応についての業務継続計画を策定し、少なくとも年１回程度、定期的に当該業務継続計画に基づく訓練・演習を実施
2

IT-BCPの策定により損失を最小限に脇元直彦. サイバー攻撃を受けた際の利益損失とIT-BCPの策定について. 第43回医療情報学連合大会, 2023.
3

BCPとは⚫

大地震等の自然災害、感染症のまん延、テロ等の事件、大事故、サプライチェーン（供給網）の途絶、突発的な経営環境の変化など不測の事態が発生しても、重要な事業を中断させない、または中断しても可能な限り短い期間で復旧させるための方針、体制、手順等を示した計画のことを事業継続計画（Business ContinuityPlan、BCP）と呼ぶ。
内閣府防災情報. 事業継続ガイドライン
4鳥飼幸太. サイバー攻撃に備えた医療IT-BCPの策定. 第27回日本医療情報学会春季学術大会, 2023.
5サイバー攻撃を想定したIT-BCPについて（サイバー攻撃）⚫ 大規模災害、情報セキュリティインシデント及び感染症の流行による影響等によって情報システムの運用が中断又は途絶するときに、情報システムを継続又は復旧させることにより、……

⚫

情報システムの停止を原因として遂行できなくなることを避けるために、必要な計画を事前策定し継続的に維持改善を行うこと、危機的事象発生時に同計画に沿って適切に対処することは、情報システム担当者の重要な役割の一つである

内閣サイバーセキュリティセンター. 政府機関等における情報システム運用継続ガイドライン第3版
6

サイバー攻撃によるシステム停止は長期間の診療制限につながる…
通常診療まで約2か月かかった

https://www.handa-hospital.jp/⚫

自治体の指導による災害拠点病院に対するBCPの策定と訓練は実施されたため、病院基幹システムが機能しない状態での事業継続は適切に実践されたが、サイバー攻撃によるリスクは想定されていなかったコンピュータウイルス感染事案有識者会議調査報告書. 徳島県つるぎ町立半田病院, 2022.

サイバー攻撃対応のためのBCPを普及させる必要がある
7

本日の内容の基礎資料⚫

厚生労働省科学研究⚫

群馬大学 鳥飼幸太 先生、 大津赤十字病院 橋本智広 先生 （分担研究）

8

医療機関におけるサイバー攻撃に対するIT-BCP策定モデル⚫

NIST CSF / CISA CDMから、備え、インシデント対応、復旧を中心に記述

https://www.ipa.go.jp/security/reports/oversea/nist/about.html

https://www.cisa.gov/cdm
9

サイバー攻撃を想定したIT-BCPチェックリスト（厚生労働省 2024/6/6）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html……
10徳島大学病院におけるIT-BCP策定の取組み⚫

NISCの政府機関等における情報システム運用継続計画ガイドライン付録を基に2023年度に策定

https://www.nisc.go.jp/policy/group/general/itbcp-guideline.html
11

IT-BCP策定のチェックリスト
1. 平時： サイバーセキュリティの体制整備
2. 検知： 障害時、早期に医療情報システム部門へ報告し、異常内容を確認
3. 初動対応： サイバー攻撃による被害拡大の防止や診療影響を最小限に
4. 復旧処理： 医療情報システムの事業者等と協力して復旧

5. 事後対応： 再発防止に向けた検討と再発防止策の周知と実施

13

１．平時

14

1-1 サーバ、端末PC、ネットワーク機器を把握できているか⚫

⚫

⚫

院内のサーバおよび端末PCのOS、IPアドレス、使用用途、脆弱性対応状況、ウイルス対策ソフトの稼働状況等の一覧を整備しておく
各PCにログオンする際に管理者権限でログオンするPCが分かるようにしておく
院内設置のすべてのVPN装置、ファイアウォール、ルータ等の所在と、IPアドレス、使用用途等を明記した一覧を作成する

15

1-1 ネットワーク構成図・システム構成図が整備できているか⚫

HIS系、インターネット系等の院内LAN、外部接続点（ファイアフォール、VPN、地域連携、オンライン資格確認等）のネットワーク構成が判別できるようにIPアドレスおよびルーティングがわかる構成図を整備しておく

16情報機器の一覧を作ることではなく把握することが目的⚫

情報機器の外部接続点に関する確認事項
I.

院内ネットワークへ接続する場合

II. 対外接続ネットワークへさらに接続する場合
III. 外部情報サービスを利用する場合
IV. システムで医療情報の外部交換をする場合
V. 医療情報の外部保存をする場合
17

外部接続点との接続例

Ⅴ 外部保存インターネット

院外バックアップ

地域連携システム
他医療機関

Ⅱ 対外接続電子カルテ
サーバ

Ⅲ 外部情報サービス
インターネット系NW

部門
サーバ

HIS系NW

仮想ブラウザe-Learning
サーバ

研究用
サーバ
自宅

外来
クラウドサービス

病院端末

病棟

データ抽出

医局端末

医局
外注ホームページ

オンライン資格確認

医事

患者用NW

Ⅳ 外部交換

放射線部
検査部
事務端末

保守メーカー
患者用インターネット

リモートメンテナンス

外注検査
外注検査データ送受信
18情報機器のネットワーク接続に関する確認事項

19

1-1 システム停止が事業継続に与える影響を把握できているか⚫

⚫

各システムが利用できなくなると、どの業務が継続できなくなるか（検査部
門システムの場合、検査の受付と検査結果の電子カルテ送信ができなくなる等）といった被害を想定し、代替運用の手順を作成しておく
代替運用サーバ、参照サーバ、バックアップデータの保持といった非常時対策状況を確認しておく

20

21

1-1 サーバ、端末PC、ネットワーク機器の脆弱性への対応ができているか⚫

サーバ、端末PC、ネットワーク機器について、病院が管理する機器と、事業者が管理する機器を明確化し、脆弱性情報の収集、脆弱性対応プログラムの適用基準等を定めておく

22

脆弱性プログラム更新と責任分界点の把握
医療機器保守メーカー

徳島大学病院

設置場所

×

NW
機器名

回線名

NW
機器名

サーバー名

回線名
セキュリティ管理室

医療機器保守メーカー

医療機器名

システム保守メーカー
23

1-2 インシデント発生時における組織内と外部関係機関への連絡体制図が整備できているか⚫

⚫

非常時の役割や手順を定め、医療機関の内部や外部関係機関との緊急連絡先や情報伝達ルートを整備し関係者へ周知しておく
契約書やサービス・レベル合意書(SLA）により、非常時の責任分界点や役割分担について事業者等との明示的な合意内容を確認しておく

24

医療機関の内部や外部関係機関との情報伝達ルート

非常時の責任分界点や役割分担
外部機関との情報伝達ルート25

1-2 リスク検知のための情報収集体制が整備できているか⚫

⚫

自医療機関に重要な脆弱性情報が事業者から報告されるスキーム（保守契約等）を確立しておく
ファイアウォール、VPN等外部接続点のアクセスログを定期的に確認する体制を整備しておく

26

サイバーセキュリティに関する情報共有の仕組み⚫

CISSMED

大会企画シンポジウム２ 6月15日（土）9：00～ 第1会場
医療機関のサイバー防御態勢強化に向けた情報共有～どのような情報を我々は知り、そして発信すべきか27

1-2 教育訓練が実施できているか⚫

⚫

⚫

策定したBCPが迅速かつ適切に利用できるように、教育訓練を定期的に実施するシステムが利用できなくなることを想定して、障害時マニュアルや伝票運用マニュアルを準備しておく
教育訓練の結果、必要に応じて改善計画を作成する。

28

IT-BCP教育訓練計画

29

2022年度 重要インフラ分野におけるサイバーセキュリティ体制強化支援

30

リスクアセスメントの結果

31

2023年度

分野横断的演習https://www.nisc.go.jp/pdf/council/cs/ciip/dai16/16shiryou06.pdf
32

演習で洗い出された課題洗い出された課題

課題が発生した理由

資産管理リストの最新化

脆弱性を含むネットワーク機器を検索しても見つけられなかった

スムーズな連絡方法が存在しない障害対策委員の招集に時間がかかった

伝票運用における手順が確立されていない

伝票運用の問い合わせが多かった

届出処理に時間を要した

届出様式が煩雑であり、連絡先が複数あった（提出先は統一して欲しい）

関係医療機関へ連絡ができていなかった連絡網が存在しない

IT-BCPと障害時対策マニュアルで対応フローが重複していた

対応フローが2つあり、どちらを採用するべきか迷った

IT-BCPで想定しているトラブル内容が不十分であった

復旧まで数日かかる場合の運用が決まらなかった

患者向け院内放送とメディア対応の手順がない

患者向け院内放送とメディア対応の運用が決まらなかった

病院全体での訓練が必要と感じた

病院情報センターだけで訓練を実施した
33

1-2 バックアップの実施と復旧手順が確認できているか⚫

⚫

オフラインバックアップ等サイバー攻撃を想定したデータとシステムのバックアップの実施と復旧手順の確認をしておく
復旧手順においては、業務フローを意識して復旧するシステムの優先度（復旧する順序）をあらかじめ設定しておくことが望ましい

34

オフラインバックアップデータの確保
サイバー攻撃による大規模システム障害を考慮すれば、攻撃を直接受けることのないオフラインのバックアップを取得しておくことこそが、医療継続の最大の切り札⚫

システム復旧に向けて、基幹システムのオフラインバックアップ（遠隔地テープ保存）から、電子カルテを参照できる環境を先に構築
情報セキュリティインシデント調査報告書. 大阪府立病院機構大阪急性期・総合医療センター, 2023.

災害対策用

院内ネットワーク

毎日更新
遠隔地バックアップデータ

バックアップ装置
3週前（オフライン）

サイバー攻撃対応
2週前

1週前

バックアップ装置（オンライン）バックアップサーバ
毎日更新
システムサーバ35

ネットワークから切り離したオフライン保管

疑義解釈資料の送付について（その7）https://www.mhlw.go.jp/content/12404000/001259608.pdf
36システムの復旧優先度

37

２．検知

38

2-1 異常時の連絡体制図が全職員に把握されているか⚫

⚫

相談窓口の一本化や体系化を組織内で行う連絡先を院内に掲示したり、情報セキュリティマニュアルなどのわかりやすい箇所に明示する

39

連絡先の掲示40

2-2 院内で発生した異常が院内職員によって覚知できるか⚫

発生部署、発生個所、発生日時、連絡者、異常の状態について、口頭、状況の印刷、リモート接続などを用いて正確に伝達する

41

システムを利用した異常検知⚫

例：NDR(Network Detection and Response)

アラート名
Concern
Index

カテゴリ別のアラート

検知内容疑わしいトラフィックを生成

Target Index 疑わしい振る舞いをする
トラフィックの標的

アラート通知が多いホスト

1週間のイベント

本日のイベント

Recon

偵察行為

C&C

C&Cサーバとの通信

Exploitation

マルウェアの拡散等の攻撃DDoS
SourceDDoS攻撃の送信元

DDos Target DDoS攻撃の標的

フロー数使用されているアプリケーション

Data
Hoarding

データの大量ダウンロード、内部情報漏えい行動

Exfiltration

外部へのデータ漏えい

PolicyViolation

ポリシー違反Anomaly

その他の動作異常
42

異常検知の事例⚫
⚫

ICMP Flood
端末一覧に存在しないIPアドレスの機器からネットワーク機器へのICMPパケットが多く出ている不明機器

上位ネットワーク機器

ゲートウェイ機器

問題点の確認システム管理者が把握できていない新規クライアント端末？が設置？
不明機器はネットワーク作業用でメーカ持ち込み端末、作業終了後は検出されていない
田木真和ら. NetFlowデータを活用した院内通信の可視化と自動解析アラート機能検証によるセキュリティ対策評価. 第39回医療情報学連合大会, 2019.
43

2-3 被害情報が組織を通じて速やかにCSIRTならびに意思決定者まで到達するか⚫

⚫

連絡経路を組織化し、院内のどの部署から生じたシステム障害であっても、CSIRT（対応者）と経営者に必ず伝達されるように連絡リレーと担当者を整備する
組織変更に応じて適宜最新化し、連絡経路が機能することを担保する

44

医療機関の内部や外部関係機関との情報伝達ルート
経営者や対応者

担当者

45

46

47

３．初動対応48

3-1 原因調査等が実施できるか⚫

⚫

⚫

障害の原因としてサイバー攻撃の兆候があるか、医療情報システムのメンテナンス等の問題か、医療情報システム自体の問題か、LAN設備やケーブルの問題か、設備の電源系統の問題か等調査を実施する
情報漏えいの有無を調査する

必要に応じて医療情報システム・サービス事業者等に協力を依頼できる体制にする

49

3-2 事業者等への連絡と作業履歴の確認ができるか⚫

障害の前日等に医療情報システムのメンテナンスやデータ移行等の作業の有無を確認し、該当する場合は、当該作業が障害の原因であるかを確認する

50

医療情報システムのメンテナンス状況の履歴管理
病棟・外来

ヘルプデスク保守ベンダ

障害発生
ヘルプデスクへ連絡

new

障害対応
チケット記載accepted
内容確認
チケット受領

assigned
リモート
メンテナンス
現地対応

pending
対応完了
チケット記載チケット確認現場へ連絡

reopened

対応内容
承認

closed

チケット承認対応済み

51

3-3 被害拡大防止に向けた対応ができるか⚫

⚫

⚫

原因調査の結果、サイバー攻撃の兆候がある場合は、ネットワークの遮断により通信を遮断し感染拡大を防止する
バックドアの無効化、無効にされたセキュリティ機能の復帰、攻撃された脆弱性への対応等の被害拡大防止措置を行う
必要に応じて医療情報システム・サービス事業者等に協力を依頼できる体制を整えておく

52

3-4 経営層が医療情報システム使用中止等の指示を判断できるか
⚫

⚫

⚫

⚫

サイバー攻撃の兆候等がある場合は、経営層に報告し、対象となる医療情報システム等の使用の中止を指示する
経営層は、対応チーム設置、及び対象となる医療情報システム等の使用中止に伴う業務運用（診療体制等）方針について検討し、必要に応じて組織内に周知し、対応を求める

経営層は診療を継続する観点で「医療施設の災害対応のための事業継続計画」も参考にしながら病院全体の事業継続計画を策定する対象となる医療情報システム等の異常・障害時の、診療体制、及び医療情報システム等を代替した業務運用方法（紙カルテ運用、参照系環境構築等）に関する対処についても定めておく
53

54

55

医療情報システム等を代替した業務運用方法（伝票運用）

56

57

58

3-5 被害状況等調査と経営層への被害状況等の報告ができるか
⚫

⚫

⚫

⚫

アクセスログの分析や情報の改ざんや暗号化の有無等からサイバー攻撃の範囲、個人情報漏洩の有無等について調査（フォレンジック調査＋証拠保全）
し、経営層へ報告する
必要に応じて、事業者へ協力を依頼して調査を進める
自機関で証拠保全が可能か検討し、困難な場合は事業者等へ依頼する。経営層へ被害状況等を適時報告する
あらかじめ初動対応の流れについて事業者等と事前に確認しておくこと59https://www.npa.go.jp/bureau/cyber/what-we-do/digitalforensics.html
60

特定非営利活動法人デジタル・フォレンジック研究会. 証拠保全ガイドライン第9版
61

3-6 組織対応方針を確認できるか⚫

⚫

被害状況（診療継続への影響や個人情報漏洩への有無等）に基づいた経営層による対応方針を確認し、対応する被害状況について所管省庁への報告、法的措置、機密情報漏洩等の対応を確認して報告する

62

被害状況の確認と方針の決定

63

４．復旧処理64

4-1 復旧指示の確認と実施ができるか⚫

⚫

復旧計画、復旧時間、費用等を踏まえて、経営層は復旧計画を指示し、情報システム担当者等は復旧計画の実施を行う
ワークフローを意識してあらかじめ設定した医療情報システムの「復旧優先度」を基に復旧を行う

65

復旧指示と復旧作業の実施

66

4-2 医療情報システム等の事業者等への対応依頼ができるか⚫

自機関で復旧が困難な場合、事業者等へ復旧作業を依頼する
例）⚫
⚫

情報システム担当者と事業者間で、バックアップ復元手順や対応者を、平時に定めておく復旧に時間を要する場合、代替として、紙カルテ運用、参照系環境構築を検討する

67

オフラインバックアップデータ範囲の把握① 磁気テープ装置によるバックアップ⚫

基幹システム ＋ 部門システム⚫

⚫
⚫

基幹システム：

電子カルテ、アプリケーションメディア、医事会計、データウェアハウス

フルバックアップ2世代分（1世代15日間隔）毎にマガジンを交換してオフライン保管
6マガジン 12世代（半年前まで）をローテーション保管② クローンファイルシステムによるバックアップ
システム種別基幹システム部門システム

保存期間

作成間隔

世代数

短期

毎日

60 世代

長期

2ヶ月

11 世代

短期

10 日

6 世代

田木真和ら. ランサムウェアによるサイバー攻撃に備えた病院情報システムのバックアップシステムの構築. 第43回医療情報学連合大会, 2023.
68

方法①：磁気テープ装置へのフルバックアップ
データベースバックアップ

院内

Copyコマンド部門・2次
バックアップ

部門サーバ
複数VM

電子カルテモジュール
DWH

ストレージレプリケーション

医事会計 APメディア 電子カルテ

ソフトウェアによるバックアップ

VM
VM
VM
DB

DB
robocopy

バックアップNW

オフライン保管用のフルバック
課題 アップを毎日取得できない
約12.5日間（40.5TB）

ベンダごとにことなる

仮想基盤用
バックアップ①(96TB)

仮想基盤用
バックアップ②(96TB)

フルバックアップデータの複数世代オフライン保管を検討

医事会計・AP用
バックアップ(24TB)

電子カルテ用バックアップ(24TB)

災害対策用
院内ストレージ遠隔バックアップ

災害対策用
遠隔地ストレージ

遠隔バックアップNW

田木真和ら. ランサムウェアによるサイバー攻撃に備えた病院情報システムのバックアップシステムの構築. 第43回医療情報学連合大会, 2023.
69

方法②：クローン領域へのファイルシステムバックアップで補完
データベースバックアップ

院内Copyコマンド

部門・2次
バックアップ

部門サーバ
複数VM

電子カルテモジュール
DWH

ストレージレプリケーション

医事会計 APメディア 電子カルテ

ソフトウェアによるバックアップ

VM
VM

クローン領域に複製

VM
DB

DB
robocopy

バックアップNW

ベンダごとにことなる

仮想基盤用
バックアップ①(96TB)

仮想基盤用
バックアップ②(96TB)

医事会計・AP用
バックアップ(24TB)

電子カルテ用バックアップ(24TB)

クローン領域

クローン領域

クローン領域

クローン領域

災害対策用
院内ストレージ

バックアップデータのファイルシス
テムの複製をクローン領域に作成しネットワークから切り離して保管磁気テープの間隔を補完
遠隔バックアップ
平均取得時間：11分14秒
災害対策用
遠隔地ストレージ
フルバックアップデータ量の0.9%

遠隔バックアップNW

田木真和ら. ランサムウェアによるサイバー攻撃に備えた病院情報システムのバックアップシステムの構築. 第43回医療情報学連合大会, 2023.
70

オフラインバックアップデータ範囲の把握① 磁気テープ装置によるバックアップ⚫

基幹システム ＋ 部門システム⚫

⚫
⚫

基幹システム：

電子カルテ、アプリケーションメディア、医事会計、データウェアハウス

フルバックアップ2世代分（1世代15日間隔）毎にマガジンを交換してオフライン保管
6マガジン 12世代（半年前まで）をローテーション保管② クローンファイルシステムによるバックアップ
システム種別基幹システム部門システム

保存期間

作成間隔

世代数

短期

毎日

60 世代

長期

2ヶ月

11 世代

短期

10 日

6 世代

田木真和ら. ランサムウェアによるサイバー攻撃に備えた病院情報システムのバックアップシステムの構築. 第43回医療情報学連合大会, 2023.
71

オフラインバックアップデータの早期復旧⚫

イミュータブルストレージの活用⚫

簡易な操作かつ早期のシステム復元が可能となる

吉野絢祐ら.電子カルテシステム復旧用テスト環境構築と目標システム復旧時間の設定について. 第43回医療情報学連合大会, 2023.
72

4-3 再設定や再インストール、バックアップデータの復旧等ができるか⚫

端末PCやサーバ復旧手順について、情報システム担当者、事業者等と連携して事前に定め、それに基づき、再設定や再インストール、バックアップからデータ復旧等を実施する
バックアップデータだけでなく再設定や再インストールに必要な設定ファイル等も保管しておく

田木真和ら. ランサムウェアによるサイバー攻撃に備えた病院情報システムのバックアップシステムの構築. 第43回医療情報学連合大会, 2023.
73

4-4 復旧結果の確認ができるか⚫

⚫

復旧処理について、医療情報システム等が正常に稼働することを確認する
作業者は手順の進捗状況に合わせて経営層に報告を行い、経営層は組織方針に合わせて運用を変更する

74

被害状況・復旧状況の報告

情報セキュリティインシデント調査報告書. 大阪府立病院機構大阪急性期・総合医療センター, 2023.
75

５．事後対応

76

復旧完了報告と復旧作業記録

77

情報公開

https://www.handa-hospital.jp/topics/2022/0616/index.html
78

情報公開

https://www.gh.opho.jp/incident/1.html
79

最後に： IT-BCPチェックリストに即したひな形（厚生労働省）
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html……
80