まず、止まると困る仕事から逆にたどります

たとえば訪問介護なら、訪問予定と申し送りを確認できなくなると、職員が安全に訪問できるか判断しにくくなります。診療所なら、電子カルテのほか、予約や検査結果を確認する仕組みも、診療の流れに影響します。

確認するときは、画面に表示されるサービス名だけで終わらせず、その仕事に必要なものをたどってみましょう。介護記録がクラウド上にあっても、ログイン用のアカウント、現場の端末、インターネット回線が使えなければ、職員は記録を確認できません。

最初のメモには、「業務名」「使うシステム・機器」「止まったときの影響」「管理する人・会社」を書きます。管理する人が分からない項目は、その時点で確認すべき課題です。

備え1．アカウントを整理し、重要な入口を守ります

アカウントとは、メールやシステムを利用するときの本人確認に使う登録情報です。まず、管理者用アカウント、業務メール、外部から接続できるサービスなど、乗っ取られたときの影響が大きいものから確認します。

• 誰にアカウントを発行し、どの情報を見られるようにしているか。
• 退職者や異動者、作業が終わった外部業者の利用権限が残っていないか。
• 複数人で同じIDを使っていて、誰が操作したか分からなくなっていないか。
• パスワードに加え、認証アプリなどで本人確認する「多要素認証」を利用できるか。

多要素認証を使う場合は、機能を有効にするだけでなく、認証用の端末を紛失したときや、管理者が不在のときの復旧方法も決めておきます。設定変更によって現場がログインできなくならないよう、保守会社や管理担当者と手順を確認してから進めましょう。

職員の入れ替わりがある職場では、退職日や異動日に合わせて権限を見直す担当を決めると、対応漏れを減らせます。

備え2．パソコンだけでなく、通信機器や保守用の接続も確認します

更新は、ソフトや機器で見つかった弱点を修正するための対策です。パソコンの更新ができていても、事業所のルーターや、外部から保守作業をするための接続機器が確認から漏れることがあります。

機器やサービスごとに、「誰が更新するか」「サポートはいつまでか」「作業で業務が止まるか」を確認しましょう。自社で更新するもの、保守会社に依頼するもの、提供会社が管理するものを分けておくと、対応を任せたつもりで放置されることを防ぎやすくなります。

医療機器や電子カルテにつながる端末は、一般の事務用パソコンと同じ判断で設定を変更しないようにします。更新の適用方法や停止の影響は、製造販売業者やシステム提供会社、保守会社などに確認してください。すぐに更新できない場合も、そのままにせず、更新までの対策や機器の入れ替えを相談しましょう。

備え3．バックアップは「取っているか」から「戻せるか」へ

バックアップとは、元のデータが使えなくなったときに備えて、別に保存するコピーです。保存が成功していても、必要な記録が含まれていない、復元できる担当者が不在、復元に想定以上の時間がかかる、といったことはあり得ます。

保守会社やクラウド提供会社に、まず次のことを聞いてみてください。

1. 何が戻るか：記録本体のほか、添付資料や設定情報などはどこまで対象か。
2. いつの時点まで戻るか：前日分までしか戻らない場合、当日分をどの記録で補うか。
3. 誰が、どれくらいで戻せるか：依頼方法、受付時間、復元に要する時間の目安は何か。
4. 元のシステムと一緒に被害を受けないか：普段使うアカウントからコピーも削除できないか。分けて保護する方法はあるか。

「クラウドだから大丈夫」と考えず、事業所側の誤削除や乗っ取りが起きた場合に、契約上どこまで復元できるかも確認しましょう。

復元の練習を行うときは、本番の記録に上書きしないよう、保守会社などと手順を決め、検証用の環境やデータを使います。小さな範囲でも、誰が依頼し、何が戻り、現場で使えることを誰が確かめるかまで試せば、BCPの見直しに役立ちます。

備え4．委託先と「どこまで誰が対応するか」を書き出します

「ITは保守会社に任せています」という職場でも、任せている範囲は契約によって違います。機器の故障対応は含まれていても、サイバー事故の調査、データの復元、夜間・休日の対応には別の条件があるかもしれません。

保守契約やサービスの案内を見ながら、次のように役割を整理しましょう。

複数の会社が関わる場合は、「端末はA社、回線はB社、記録システムはC社」のように、窓口を分けて記録します。どこに原因があるか分からない段階でも、最初に誰へ相談すればよいかを確認しておきましょう。

全部はできないとき、どの対策を先に進める？

すべての職場で同じ順番になるわけではありません。次の例を参考に、自社の仕事への影響が大きく、放置すると対応が難しくなるものから着手してください。

ここで大切なのは、対策の名前を並べることより、実施したかどうかを後から確かめられることです。「確認する」とだけ書かず、担当者、期限、何をもって完了とするかを一緒に決めましょう。

今日の一歩：保守会社や管理担当者に、質問を一つ送れる状態にしましょう

たとえば、介護記録のバックアップが気になるなら、次のように聞けます。

介護記録が利用できなくなった場合に備え、契約上、何をどの時点まで復元できるかを確認したいです。復元を依頼する窓口と受付時間、事前に試せる方法があれば教えてください。

回答が届いたら、BCPや運用手順に反映します。前日分までしか戻らないと分かったら、当日分を誰がどの記録から補うかが次の課題です。一つの答えを、現場の手順につなげましょう。

更新の記録、復元を試した結果、確認した日付を残すと、担当交代の際にも役立ちます。取引先からセキュリティ対策について尋ねられたときにも、実施した内容を説明しやすくなります。

よくある質問

Q1．セキュリティソフトを入れていれば、ほかの対策は後回しでよいですか？

セキュリティソフトは備えの一つです。不要なアカウントの停止、機器の更新、バックアップからの復元、緊急連絡などは、それぞれ別に確認しましょう。

Q2．専任のIT担当者がいない場合は、誰が進めればよいですか？

経営者や管理者が取りまとめ役と代役を決め、現場は止まると困る業務を伝え、技術面は保守会社などに確認する形から始められます。取りまとめ役がすべての設定作業を担う必要はありません。

Q3．少ない予算なら、何を優先すればよいですか？

患者・利用者の安全や事業への影響が大きい業務を一つ選び、今ある契約や機器でどこまで対応できるかを確認します。不要な権限の整理や連絡先の更新など、購入を伴わずに着手できることもあります。追加費用が必要な場合は、何が改善し、どの課題が残るかを聞いて判断しましょう。

まとめ＋要約

• サイバー対策は、止まると困る業務と、その業務を支えるシステムを一つ選ぶところから始めます。
• 重要なアカウントの利用権限を見直し、多要素認証や管理者不在時の対応を確認しましょう。
• 機器やソフトの更新は、担当とサポート状況を確かめ、業務への影響を踏まえて進めます。
• バックアップは、何をいつの状態まで戻せるかを確認し、安全な方法で復元を試します。
• 委託先の対応範囲を確認し、施設側の判断・連絡・記録の役割をBCPに反映しましょう。

最終日は、SCS評価制度と取引先への説明を整理します

Day5では、SCS評価制度が取引先との関係でなぜ注目されているのかを取り上げます。評価取得の検討と日常の対策を分けながら、実施した対策をどう記録し、取引先から聞かれたときに何を説明できるようにしておくかを整理します。

自社に合った対策の順番を整理したい方へ