公益社団法人日本精神科病院協会　殿厚生労働省医政局研究開発振興課「医療情報システムの安全管理に関するガイドライン」に関する「医療機関のサイバーセキュリティ対策チェックリスト」及び「医療情報システム等の障害発生時の対応フローチャート」についてサイバー攻撃の手法の多様化・巧妙化、クラウドサービス等の普及等、医療情報システムを取り巻く環境の変化に対応するために、「医療情報システムの安全管理に関するガイドライン第5.1版」を令和３年１月29日に策定したところです。今般、医療機関におけるサイバーセキュリティ対策に資するために、別紙のとおり「医療機関のサイバーセキュリティ対策チェックリスト」及び「医療情報システム等の障害発生時の対応フローチャート」を策定し、「医療情報システムの安全管理に関するガイドライン第5.1版」の別添としましたので、内容を御了知の上、貴会員等関係者に周知いただきますよう、よろしくお願いいたします。なお、この「医療機関のサイバーセキュリティ対策チェックリスト」及び「医療情報システム等の障害発生時の対応フローチャート」については厚生労働省ホームページの「医療情報システムの安全管理に関するガイドライン　第5.1版(令和３年１月)」(https://www.mhlw.go.jp/stf/shingi/0000516275.html)に掲載いたしますので、念のため申し添えます。
昨今、医療機関等へのサイバー攻撃が散見されており、医療情報の漏洩や、医療提供体制に影響が生じた事例もある。こうした状況下において、医療機関を中心とした医療分野のサイバーセキュリティ対策の強化は、より一層重要な取組となっている。本チェックリストは、各医療機関において自院のサイバーセキュリティ対策の現状を把握することを目的に、そのチェック項目を整理したものであり、以下のガイドライン等を参考としているので、詳細は適宜参照されたい。
  ・医療情報システムの安全管理に関するガイドライン5.1版本紙•オンライン診療の適切な実施に関する指針·電子処方箋の運用ガイドライン・オンライン資格確認等、レセプトのオンライン請求及び健康保険組合に対する社会保険手続きに係る電子申請
システムに係るセキュリティに関するガイドライン・国際医療機器規制当局フォーラム(IMDRF)による医療機器サイバーセキュリティの原則及び実践に関するガイダンス・サイバーセキュリティ経営ガイドラインVer 2.0 ･中小企業の情報セキュリティ対策ガイドライン第3版なお、｢医療情報システムの安全管理に関するガイドライン｣の内容がe−文書法、個人情報保護法等への対応を
行うためのセキュリティ管理なども含めて多岐に渡る一方、本チェックリストは｢医療情報システムの安全管理に関するガイドライン」のみを遵守しているかのチェックリストではなく、幅広くサイバーセキュリティ対策に特化した内容となっていることに留意されたい。
全体のチェックリストの構成について
■チェックリストは、チェックの主体によって、(1)経営層向けチェックリスト(2)システム管理者向けチェックリスト(3)医療従事者・一般のシステム利用者向けチェックリストの3種類から構成されている。 ■　各チェック項目は、チェックの主体に加えて、チェックの視点によって、①予防的手続（何か起きないように事前
に予防するために必要な手続を指す）、②発見的手続（何か起きたときに迅速に発見するために必要な手続を指す）、③是正的手続（何か起きた後で迅速に現状復帰等をするために必要な手続を指す）に分類されている。 ■　全体として医療機関のどの部分（チェックの主体やチェックの視点等）に弱みがあるのか把握し、優先的に必要
な対策を検討の上、全体のバランスを取りながらサイバーセキュリティ対策の強化を図ることが重要となる。経営層向けサイバーセキュリティ対策チェックリストの使い方■経営層が、自らのリーダーシップでセキュリティ対策を進めるために活用することを目的としている。 ■自院のサイバーセキュリティ対策の現状を把握するため、医療情報システム部門の責任者や各部門システムの管理者、各部門の責任者等を招集し、チェックリストに基づいてコミュニケーションを取りながら、セキュリティ対策の強化を検討する。 ■また、定期的(年に数回等)に各責任者とコミュニケーションを取ってセキュリティ対策強化の状況について報告を受け、今後の体制強化や予算等の方針を検討・決定する。システム管理者向けサイバーセキュリティ対策チェックリストの使い方■医療機関のシステム管理者(他業務と兼務している職員を含む)が、医療機関のサイバーセキュリティ対策を具体的に進めるために活用することを目的としている。 ■チェックリストに基づいて、セキュリティ対策のどの部分（各チェックの主体における予防・発見・是正の視点等）に弱みがあるのか把握の上、必要な対策の優先度を検討し、対策の強化を図る。 ■医療機関の規模や体制により、自らチェックできない場合は、医療情報システムベンダ、サービス事業者等に確認を行いながら、必要なサイバーセキュリティ対策について検討を進める。医療従事者・一般のシステム利用者向けサイバーセキュリティ対策チェックリストの使い方■医療従事者・一般のシステム利用者が普段の業務において何に気を付ければいいのか理解し、日常的にセ___ ■医療機関のシステム管理者が全職員に配布・回収し、セキュリティ対策の不十分な部分を把握するとともに、定期的な職員のセキュリティ意識の確認、職員の教育等に活用する。
 ■特定の部門の職員や職種等においてセキュリティ対策の不十分な部分が見受けられる場合は、部門の管理者等と情報共有し、組織的にセキュリティ強化を図る。
全体として医療機関のどの部分に弱みがあるのか把握し、優先的に必要な対策を実施の上、全体のバランスを取りながらサイバーセキュリティ対策を強化するため、ご活用ください。

す。
是正・・・何か紹せた後で迅進に選択飲得等をするために必要な手続を指す。
チェックの甘泉

全体として医療機関のどの部分に弱みがあるのか把握し、優先的に必要な対策を実施の上、全体のバランスを取りながらサイバーセキュリティ対策を強化するため、ご活用ください。 ox予防な見AR NO
予防･･･何か紹合ないように事情に予防するために必要な手続を救す。
発足･･･何か紹合たときに迅進に発見するために必要な手続きを救す。
是正･･･何か紹合た後で迅進に現伏使得等をするために必要な手続を救す。
チエックの結果
全体として医療機関のどの部分に弱みがあるのか把握し、優先的に必要な対策を実施の上、全体のバランスを取りながらサイバーセキュリティ対策を強化するため、ご活用ください。

チェックの結果
全体として医療機関のどの部分に弱みがあるのか把握し、優先的に必要な対策を実施の上、全体のパランスを取りながらサイバーセキュリティ対策を強化するため、ご活用ください。
0年前日平時において、非常時に備え、サイバーセキュリティの体制整備を行う。非常時に備えたサイバーセキュリティ体制の整備とリスク検知のための情報収取2 【経営層・医療情報システム安全管理責任者(必要に応じて医療従事者・一般のシステム利用者も含む)】情報セキュリティ事故が発生した場合に迅速に対応するための体制を整備する。体制整備の例・非常時において、誰が何をするのか役割や手順を定め、医療機関の内部や外部の医療情報システムのペンダ及びサービス事業者等との緊急の連絡先や情報伝達のルートを整備し、関係者へ周知する。 •非常時を想定した訓練等を実施し、決めた役割や手順通りに動けるかどうか定期的に確認する。所管官庁等や委託業者、医療情報システムのベンダ及びサービス事業者等の連絡先や担当窓口等をリスト等にまとめる。(システム等の使用が出来なくなることを想定し、スール以外の連絡手段についても確認してまとめる。）
が出来なくなることを想定し、スール以外の連絡手段についても確認してまとめる。）
・他の医療機関等でサイバー攻撃等の事象を発見した場合は、サイバー攻撃の原因や対応方法等に関する情報収集を行い、対策が必要な事項を院内で共有する。 ー定規模以上の病院や、地域で重要な機能を果たしている医療機関等においては、情報セキュリティ責任者（CISO)等の設置や、緊急連絡表た体制(CSIRT等)を整備する。 【参考】体制整備の考え方平時においては、個人情報保護の管理体制を整備し運用するが、サイバー攻撃を受けた時は、サイバーセキュリティ対策のために、医療機関の外
ネットワーク構成国の作成
【医療情報システム安全管理責任者】サイバー攻撃等を受けた場合、自組織の現状を把握して対応するため、かつ医療情報システムのベンダ及びサービス事業者等に相談ができるように、医療機関におけるネットワークの状況を調査し、ネットワー ーク構成図を作成する。（ネットワーク構成図には、事務系のネットワークも含めるともに、ネットワーク構成の変更がある都度、ネットワーク構成図の更新を実施する。） .  -ク数年20を活用し、早期の異常を検知できるように、日常から医療情報システムの稼働状況や負荷状況、ネットワークの状況を監視し、把握しておくことや、侵入検知等の装置や体制を構築する。 【医療情報システムのベンダ及びサービス事業者等】医療機関からの協力依頼に基づき、ネットワーク構成図の作成の支援を実施する。
1対応
医療情報システムや医療機器等の障害が見受けられる場合は、早期に医療情報システム安全管理責任者へ報告し、異常内容の事実確認を行う。人物等の教知1 【医療情報システム安全管理責任者】医療情報システムや機器等の障害を監視し、異常等の検知を行う。 (早期の異常を検知できるように、日常から医療情報システムの稼働状況や負荷状況、ネットワークの状況を監視し、把握しておくことや、侵入検知等の装置や体制を構築する。） 【医療従事者・一般のシステム利用者】医療情報システムや機器等に障害等の異常を感じた場合、ウイルス感染の兆候（HPの改ざんや患者情報の暗号化、データの紛失・消去等）があるかどうか確認する。 【外部(医療情報システムのベンダ及びサービス事業者等・委託業者・所管省庁等)】医療情報システムや機器等に障害等の異常が発生した場合は、異常内容、影響範囲、講じうる対応策等を調査する。
1-2
ケーブル等の切識
【医療従事者・一般のシステム利用者】ウイルス感染の兆検(HPの改ざんや患者情報の暗号化、データの紛失・消去等)がある場合は、ケーブル等の切離を実施する。現場で判断が難しい場合は、不用意に電源停止等はしない。
17
医療情報システム安全管理責任者へ連絡
【医療従事者・一般のシステム利用者】医療情報システム安全管理責任者へ異常の内容、発生日等について報告を実施する【外部(医療情報システムのベンダ及びサービス事業者・委託業者・所管省庁等)】は、「東京に」が、「東京」と呼ばれる。
保守ベンダー等の外部業者は、医療情報システムや機器等に障害等の異常を発見した場合は、医療情報システム安全管理責任者へ異常内容、影響範囲、講じうる対応策等を報告する。
T
医療情報システム安全管理責任者による確認
【医療情報システム安全管理責任者】医療情報システム安全管理責任者は、医療従事者・一般のシステム利用者や外部業者等からの連絡に基づき、異常の事象について確認する2 :新羅羅迅速に初動対応を進めて、サイバー攻撃による被害拡大の防止や診療への影響を最小限にする。 21東日本【医療情報システム安全管理責任者】重大な障害がある場合、障害の原因がサイバー攻撃の兆候(HPの改ざんや患者情報の暗号化、データの紛失・消去、外部への通信量の増加、ウの、それぞれの人物である。
イルス対策ソフト等による検知等）があるかどうか、例えば医療情報システムのベンダ及びサービス事業者等によるメンテナンス等の問題なのか
、それぞれの人物である。医療情報システム自体の問題なのか、LAN設備やケーブルの問題なのか、設備の電源系統の問題なのか、調査を実施する。また情報漏えいや情報持ち出しの有無についてもあわせて調査する。必要に応じて医療情報システムのペンダ及びサービス事業者等に協力依頼をして調査を進めバッ【医療情報システムのベンダ及びサービス事業者等)】医療機関からの依頼に基づき、障害の原因調査の支援を実施する。
（参考）兆候の検知や対応方法の例
·医療従事者等から不正メールの受信報告を受けた場合・・・類似メールの受信状況と反応した医療従事者等の把握をし、不正メールの受信停止設定を実施する。 •医療従事者等から不正メールに対応し、IDやパスワード等を入力してしまった報告を受けた場合・・・入力したIDやパスワードの変更と類似メールの受信状況や反応した医療従事者等の把握をし、不正メールの受信停止設定をする。医療従事者等より不正メールでウイルスのダウンロードをしてしまった報告を受けた場合・・・端末のネットワー -クの切断と、ネットワーク上の接続機器のチェックを実施する。類似メールの受信状況と反応した医療従事者等の把握をし、不正メールの受信停止設定を実施する。 •端末の停止や動作が遅い等の動作不良の状態になっている・・・ネットワークやサーバーの負荷状況を確認する｡必要に応じて医療情報システムのベンダ及びサービス事業者等に協力依頼をする。 •端末のデータアクセスが不良となっている・・端末、ネットワーク、サーバーの負荷状況を確認（機器の電源ランプの稼働時の点滅の確認、通信量のチェック、pinglによる接続確認を実施する、HDDケーブルの不安定やネットワークルーブの発生の有無の確認等）を実施する。必要に応じて医療情報システムのペンダ及びサービス事業者等へ協力依頼を実施する。
2-2
医療情報システムのペンダ及びサービス事業者等へ確認
【医療情報システム安全管理責任者】障害の前日等に、医療情報システムや医療機器等のメンテナンスの実施やデータ移行等の作業実施の有無を確認し、該当する場合は医療情報システムのベンダ及びサービス事業者等に、前日の作業が障害の原因となっていないかどうか確認する
27
ネットワーク撮影やケーブル等の関連
【医療情報システム安全管理責任者】医療機関内の他のサーバー等へのアクセスが可能かどうか調査し、ネットワーク機器やケーブル等の問題がどうか調査を実施し、対象の機器やケーブルの絞り込みをする。
2-4 電源系統、プレーカー、ハードウェア等の関連
【医療情報システム安全管理責任者】医療情報システムや機器等の起動ができるかどうか確認し、起動ができない場合は電源やブレーカ等の電源系統の確認や機器自体の故障、ハードウェア自体の故障の有無やアプリケーションの状況の調査等を実施する。
25
IPA#ヘ相談
【医療情報システム安全管理責任者】サイバー攻撃の可能性について、コンピュータウイルスや不正アクセスに関する技術的な相談として、情報処理推進機構(IPA)情報セキュリティ安心相談窓口(03–5978–7509)等に相談する。
2
 
【医療情報システム安全管理責任者】 2ー1による原因調査の結果、サイバー攻撃の兆候（HPの改ざんや患者情報の暗号化、データの紛失・消去、外部への通信量の増加、ウイルス対東京フト等による検知等がある場合は、被害拡大を防止するために、ネットワークの遮断等により通信を遮断し惑染拡大を防止する。現場での判
断が難しい場合は、不用意な電源停止は行わない。またバックアップ等のデータの遠軽を実施するとともに、重要な医療情報システム等へのアク
セスログを収集する。医療機関内で対応が難しい場合は、医療情報システムのペンダ及び(参考)被害拡大防止の例•医療従事者等から不正メールの受信報告を受けた場合・・・類似メールの受信状況と反応した医療従事者等の把握をし、不正メールの受信停止設定を実施する。医療従事者等から不正メールに対応し、IDやパスワード等を入力してしまった報告を受けた場合・・・入力したIDやパスワードの変更と類似メールの受信状況や反応した医療従事者等の把握をし、不正メールの受信停止設定をする。 -医療従事者等より不正メールでウイルスのダウンロードをしてしまった報告を受けた場合・・・端末のネットワークの切断と、ネットワーク上の接続機器のチェックを実施する。類似メールの受信状況と反応した医療従事者等の把握をし、不正メールの受信停止設定を実施する。 ·端末の停止や動作が遅い等の動作不良の状態になっている・・・ネットワークやサーバーの負荷状況を確認する。必要に応じて医療情報システムのペンダ及びサービス事業者等に協力依頼をする。 •端末のデータアクセスが不良となっている・・端末、ネットワーク、サーバーの負荷状況を確認（機器の電源ランプの稼働時の点滅の確認、通信量のチェック、pinglによる接続確認を実施する、HDDケーブルの不安定やネットワークループの発生の有無の確認等）を実施する。必要に応じて医疲れている。
2-7
はやら同知
【医療情報システム安全管理責任者】サイバー攻撃の兆検がある場合は、経営層へ報告し、その後、医療従事者・一般のシステム利用者へ、感染の疑いがある医療情報システムや機器等の使用の中止を指示する。
2-8
経営用による確認・推示
【経営層】医療情報システム安全管理責任者からサイバー攻撃を兆候について報告を受けた後、対応チームの組成の必要性を検討すると同時に、被害状況の調査等について医療情報システム安全管理責任者へ指示をする。
2
対応(使用修正等)
【医療従事者・一般のシステム利用者】医療情報システム安全管理責任者の指示に従い、該当する医療情報システムや機器等の使用を停止する。 (サイバー攻撃を受けたときを想定して事前に事業継続計画(非常時による紙カルテによる運用等)を立てて、医療従事者・一般のシステム利用者へ教育訓練しておくことが必要である。)
2-10　被害状況等調査
【医療情報システム安全管理責任者】医療情報システムへのアクセスログの分析や情報の改ざんや暗号化の有無等からサイバー攻撃(ウイルス感染等)の範囲、個人情報の漏洩の有無等について調査し、経営層へ報告を実施する。必要に応じて医療情報システムのベンダ及びサービス事業者等へ協力依頼して調査を進める。報告事項の例・異常が発見された日・異常が発生している箇所や診療への影響・今後の被害拡大の可能性・攻撃元（判明する場合） •攻撃手法(判明する場合) ・被害発生の要因講じうる対応策等【医療情報システムのベンダ及びサービス事業者等】医療機関からの協力依頼に基づき、サイバー攻撃による被害状況の調査の支援を実施する。
2-11　被害状況の報告
【医療情報システム安全管理責任者】経営層へ被害状況の調査結果について報告する。 【経営層】医療情報システム安全管理責任者から被害状況の報告(診療継続への影響や個人情報や機密情報等の漏えいの有無等)を受け、対応方針(厚生労働省への報告【2－13】、所轄の地方公共団体や個人情報保護委員会への報告【4－3】、法的措置や証拠保全等)について指示をする。(必要に応じて願問弁護士や医療情報システムのベンダ及びサービス事業者等へ相談する)法的措置の検討に時間を要する場合は、証拠保全や復旧対応を同時に進める。
2-13   厚生労働省へ報告
【経営層】医療情報システムがサイバー攻撃(サイバー攻撃の可能性を含む)を受けた場合や、サイバー攻撃により障害が発生し、個人情報の漏洩や医療提供体制に支障が生じる又はそのおそれがある事案であると判断される場合は、厚生労働省医政局研究開発振興課医療情報技術推進室へ連絡する。
2-14
【医療情報システム安全管理責任者】自院及び委託業者で証拠保全が実施可能か検討し、困難な場合は医療情報システムのベンダ及びサービス事業者等へ依頼する。（日常から授数の医療情報システムのベンダ及びサービス事業者等と危機対応についてコミュニケーションを取っておく。）
2-15 医療情報システムのペンダ及びサービス事業者等への依頼
【医療情報システム安全管理責任者】証拠保全を依頼した医療情報システムのペンダ及びサービス事業者等から証拠保全の結果やサイバー攻撃元や手法等の報告をうける。また復旧に向けて、具体的な復旧作業や手順、コストの整理を実施する。
2-16 実施結果の報告(証拠保全及び復旧計算)
【医療情報システム安全管理責任者】経営層へ証拠保全の結果や復旧に向けた計画や工数、費用等について報告を実施する。復旧に時間がかかる可能性がある場合は、紙運用の実施も含めて検討する。
2-17 経営用による確認
【経営席】医療情報システム安全管理責任者から証拠保全の結果や復旧に向けた計画、必要工数や費用等について確認する。
2-18 音楽への周出
【経営層】被害状況について警察へ届出をする
3年1月21
復旧計画に基づいて、医療情報システムのペンダ及びサービス事業者等と協力して復旧を行う。証拠保存の観点からバックアップデータ等を取得する。専用性の3 【経営層】復旧に向けた計画、工数、費用等を踏まえて、復旧指示を実施する。必要に応じて予算の手当を実施する。
3-2
医療情報システムのペンダ及びサービス事業者等へ依頼
【医療情報システム安全管理責任者】自院で復旧が困難な場合は、医療情報システムのペンダ及びサービス事業者等に協力を依頼する。 (日常から複数の医療情報システムのペンダ及びサービス事業者と危機対応についてコミュニケーションを取っておく）
3
真設定や写インストール、パックアップデータのリストア等
【医療情報システム安全管理責任者】 (医療情報システムのベンダ及びサー -ビス事業者等に）状況を確認し、バックアップを実施する。次にウイルス感染等の場合は、(医療情報システムのベンダ及びサービス事業者等の協力を得て、)可能であればクリーンインストールを実施する。ソフトウェアに問題が生じている場合は、設定は、その後も、その後も再インストール後に、ソフトウェアのアップデートやパックアップデータのリストアが必要な場合は実施する。
T
復旧結果の確認
【医療情報システム安全管理責任者】復旧処理について、医療情報システムや機器等が正常に稼働するかどうか確認を実施する。正常に稼働することが確認できたら、医療従事者・一般のシステム利用者へ復旧できたことを連絡する。 4.5復旧結果の報告を受け、再発防止に向けた検討と再発防止策の周知と実施を進める。
4
復旧結果と情報漏えい事実の有無の報告
【医療情報システム安全管理責任者】復旧結果について、経営層へ報告する。異常の内容、原因、被害状況、復旧にかかった工数や費用等について報告する。また情報漏えいの事実の有無や範囲について経営層へ報告する。
4-2
【経営層】医療情報システム安全管理責任者からの報告を受けて、再発防止策の検討を指示する。
所轄の地方公共団体や個人情報保護委員会等へ報告
43
【経営層】個人情報の漏えい、減失又は毀損等のおそれがある場合は個人情報保護委員会や所轄の地方公共団体等へ速やかに報告を実施する。
4-4 法律専門家(弁護士)へ相談
【経営層】法的措置について弁護士等の法律専門家に相談する。証拠保全の結果も踏まえて検討を進める。検討に時間がかかる場合は、再発防止の取組を先に進める。
45
天兒防止集の検討
【医療情報システム安全管理責任者】経営層や対応チームのメンバーを交えて、再発防止策の検討や必要となる費用の検討を実施する。
4
平兒防止策の周知
【医療情報システム安全管理責任者】検討した再発防止策について、医療従事者・一般のシステム利用者へその内容を周知するとともに、適宜説明等により教育する。

4-7
事発防止策の実施
【医療従事者・一般のシステム利用者】医療情報システム安全管理責任者から周知された再発防止策について、日常の業務への落とし込みを実施するともに、定期的にチェックをする。
4
医療情報システムのペンダ及びサービス事業者等の委託業者への再発防止策の推示
【医療情報システム安全管理責任者】検討した再発防止策について、医療情報システムのベンダ及びサービス事業者等の委託業者へその内容を周知するとともに、委託業務への反映を指示する。定期的に委託業者の業務をチェックし、指示した再発防止策が実施できているかどうか確認する。
4
情報公開の教計
【経営層】サイバー攻撃の影響や被害状況や影響範囲等を踏まえて、情報公開の必要性について検討する。