2024/06

医療情報担当者に向けてのIT-BCP策定に関する手順と注意点
日本医療情報学会
研修企画委員会
福井大学

山下芳範
福井大学

2024/6

University of Fukui

1

医療系でのセキュリティ問題
ウイルス感染が広がって端末が利用不能
ウイルスによる内部サーバへの攻撃
電子カルテのデータが乗っ取られた– ファイルの暗号化ロックによる使用不能– 身代金の要求– バックアップも使用不能・戻せない

部門システムのデータが乗っ取られた

2024/6

福井大学
University of Fukui

2

12024/06

セキュリティ問題の背景
リモートメンテナンス等外部接続の増加– バックドア問題

医療情報システムと外部との関わりの拡大
クローズドなネットワークが安全とは言い切れない現実
意図しない状況からのサイバー攻撃の可能性

福井大学

2024/6

University of Fukui

3

すべき対応とはガイドライン第6版にある項目– リスク評価とマネジメント
脆弱性などの把握・報告 → MDS/SDS、チェックリスト– 異常事象発生時の対応
システムのログの扱い
事故発生時の報告・原因究明・対策– 事業者からの情報提供
経時的に発生するリスク– 非常時体制とリカバリ方法の確立
2024/6

福井大学
University of Fukui

422024/06

セキュリティ対策がすべてではない！！
何かあったときにどうすべきか？？
が重要
2024/6

福井大学
University of Fukui

52024/6

福井大学
University of Fukui

632024/06

2024/6

福井大学
University of Fukui

72024/6

福井大学
University of Fukui

842024/06

本日のセミナーはこの部分

福井大学

2024/6

University of Fukui

9

気になる部分

2024/6

福井大学
University of Fukui

1052024/06

法令改定によって医療機関に求められている情報収集

・医療機関のチェックシートの作成

・ベンダー（事業者）のチェックシートの収集・ベンダー（事業者）からのシステムのMDS/SDSの収集
2024/6

福井大学
University of Fukui

112024/6

福井大学
University of Fukui

1262024/06

2024/6

福井大学University of Fukui

13

医療情報部門・医療情報担当者が担うべきセキュリティ対応
チェックシートだけで大丈夫か？
MDS/SDSをもらうだけで大丈夫？

セキュリティの本質的対応が必要
この機会に経営層の理解ももらって対応強化
2024/6

福井大学
University of Fukui

1472024/06

福井大学

2024/6

University of Fukui

15

どのように対応？？
院内におけるセキュリティのリスクを考える– ベンダー側の情報提供が重要！！

どうしても、リスク評価は１００％とはならない– 考えうる対策はするが、「お守り」という認識で– 継続的な情報提供をどうするか？

何かが起こる前提で考える– 起こった時の対応を考慮する– そのためにも、弱点を知ることが重要
継続的なフォローも必要となる– 万一の時の対応手段を考慮する

2024/6

福井大学
University of Fukui

1682024/06

なぜバックアップか？
元に戻す唯一の方策– 滅多になくてもやはり必要

ランサムウエアやウイルス対策だけでなく、システムのBCP対応としても重要– サイバー攻撃のためだけではない– 災害等非常時対応として考える
福井大学

2024/6

University of Fukui

17

バックアップに求められるもの
違う機器にバックアップする
メイン
サーバ

バックアップサーバ

複数世代の管理2024/6

磁気テープがおすすめ？

隔離された場所での保管
福井大学
University of Fukui

18

92024/06

なぜIT-BCP？？
何かが起こる
リスク評価は多彩– サイバーセキュリティだけではない– 故障・災害などもリスクの１つどのように継続するのか？？
– サイバー攻撃でも運用継続ができないことが課題
福井大学

2024/6

University of Fukui

19

非常時の対応としてサイバー攻撃を含む重大障害対応– もちろん災害や故障も含むBCPとしての対応として考える

2024/6

福井大学
University of Fukui

20

102024/06

機器の把握も求められる端末や機器のリスト化

病院内機器の把握
ネットワーク上のリスク把握
2024/6

福井大学
University of Fukui

21

機器一覧に合わせての確認用シート

2024/6

福井大学
University of Fukui

2211

2024/06

どのようなリスクがあるか考えてもらうための一覧

2024/6

福井大学
University of Fukui

232024/6

福井大学
University of Fukui

24

122024/06

最低限の切り分け項目

福井大学

2024/6

University of Fukui

25

全体の流れの把握

2024/6

福井大学
University of Fukui

26

132024/06

電子カルテシステム障害発生時用の紙媒体セット

病棟・外来・各部門に配置
オーダー方法や記録が変わったときは差し替える

2024/6

福井大学
University of Fukui

27

2024/6

福井大学
University of Fukui

28

142024/06

福井大学

2024/6

University of Fukui

29

附属病院情報セキュリティ連絡体制
CISO

＋連絡先
監督官庁、IPA、警察
個人情報保護委員会
ベンダー各社窓口

総括責任者
（病院長）
運用責任者

全学実施責任者

CIO （医療情報部長）
電子カルテ利用者
インシデント
発見者

部門システム利用者
インシデント発見者
2024/6

CSIRT
医療情報部（受付窓口）

安全管理責任者
医療情報部

情報管理責任者
インシデント
一次対応部門システム担当者
福井大学
University of Fukui

30

152024/06

実際の連絡体制

福井大学

2024/6

University of Fukui31

レベル4:ネットワーク等含む全域障害
レベル5:電子カルテ系大規模(ハード等）障害対応

障害発生30分以内(目標10分以内）①IPメッセージ(1)(障害告知：医療情報部教員）②連絡網（ヘルプデスク）③院内放送(1) (障害告知：医療サービス課）

60分以内

復旧可能性
60分以上

60分以内(目標10分以内）①IPメッセージ(2)(状況報告：医療情報部教員）②状況分析（診療情報担当＆ベンダー）→医療サービス課長→総務管理課長→執行部へ連絡(60分以内は紙運用を避ける）③院内放送(2) (医療サービス課）

紙運用決定①重大障害・紙運用判断（執行部） ＊新患は仮ID発行（8888001～）②障害告知： IPメッセージ(3)（紙運用：医療情報部教員)③院内放送(3) (医療サービス課）④対策本部設置（診療情報担当3123）
復旧本部設置（医療情報演習室3580：復旧作業が必要な場合）

参照系復旧①IPメッセージ(4)(参照系復旧通知：医療情報部教員）②院内放送(4) (医療サービス課）

復旧案内①IPメッセージ(5)(復旧通知：医療情報部教員）②院内放送(5) (医療サービス課）

2024/6

福井大学
University of Fukui

3216

2024/06

非常時の院内放送マニュアル福井大学

2024/6

University of Fukui

33

その他の欄の活用
項目は、ガイドラインの項目の対応のみ脆弱性としての認知ができない– 考慮すべきリスクの記載を求める– 責任範囲を明確にする
責任分界点
2024/6

契約内容での確認
例：範囲・非常時

福井大学
University of Fukui

3417

2024/06

御清聴ありがとうございました。
2024/6

福井大学
University of Fukui

3518