医療機関向けサイバーセキュリティ対応簡易アセスメント

医療機関向けサイバーセキュリティ対応簡易アセスメント

厚生労働省は2023年5月に「医療情報システムの安全管理に関するガイドライン第6.0版（以下、安全管理ガイドライン）」と「医療機関におけるサイバーセキュリティ対策チェックリスト」を策定し、医療機関が優先的に取り組むべき事項を明確にしました。特に着目すべきは、2024年度中にサイバー攻撃を想定した事業継続計画（BCP）の策定が求められていることです。PwCコンサルティング合同会社（以下、PwCコンサルティング）は、サイバーセキュリティ対策の第一歩として、サイバーセキュリティの簡易アセスメントを提供し、サイバー攻撃を想定したBCP策定を支援しています。

2. 医療機関の経営層は現場担当者に任せるのではなく指揮・管理を

2023年5月に改定された安全管理ガイドラインは、これまで示されてきた医療情報システムの安全管理の実効性を高めるという観点から、経営層向けの「経営管理編」、システム安全管理者向けの「企画管理編」、システム運用担当者向けの「システム運用編」に分けて再編されました。

注目すべきは、「経営管理編」において経営層が遵守すべき事項が明確化されたことです。リスク評価や統制、BCPの策定などについて、現場のシステム担当者に任せるだけでなく、経営層が責任を持って体制づくりを指示し、指揮・管理することが明確に示されたと捉えられます。

4.サイバー攻撃向けBCPの策定ポイント

BCPにおいて重要なことは、いかなるサイバー攻撃が発生した場合でも、対処と復旧の段取りが迅速に行われるように機能することです。PwCコンサルティングの豊富な支援事例を通して見えてきた、サイバー攻撃向けBCPを策定するにあたって求められるポイントは以下の「経営層との早期の連携」「Patient Centric（患者中心）のアプローチ」「教育や訓練・演習も含めた計画の策定」「最悪の事態を想定した事前対策」の4つです。

経営層との早期の連携

サイバー攻撃向けBCPを策定する際にはシステム部門が中心となることが多いですが、経営課題として捉えることが重要です。基本方針やBCPの適用範囲、サイバーセキュリティ体制などの検討を経営層を含めて進めていくことで、サイバー攻撃発生時の経営判断が迅速に実施できるようになります。また、BCP策定時および演習時においても経営層が主導することで、医療機関全体の危機意識を醸成することができます。特に、基本方針を策定するにあたっては、地域における医療機関の役割や、開設主体である自治体や法人などの経営方針などを考慮し、医療機関として絶対に守らなければいけない診療機能を決定する必要があるため、病院経営層の意思決定が不可欠です。

Patient Centric（患者中心）のアプローチ

サイバー攻撃向けBCPの目的はシステムの復旧ではなく診療機能の継続であるため、医療サービスを受ける患者の視点を失ってはなりません。BCPには患者や住民への説明や情報公開、近隣医療機関への連絡や依頼の内容およびその手順を記載し、患者への影響を最小化することが重要です。

また、サイバー攻撃発生時には、医療従事者による各機能のアセスメントが必要となります。これにより機能がどこまで止まり、患者の生命をどこまで守れるのかを明確にし、BCPで策定した優先的に継続すべき機能を維持できるように組織一丸となった対応を検討することができます。

教育や訓練・演習も含めた計画の策定

BCPに基づいた職員教育や定期訓練、演習を通して、最新の状況に合わせてBCPの見直しを行い、陳腐化を防止します。また、教育や訓練・演習に職員が参加することにより、サイバー攻撃発生時の現場の混乱を最小化することが可能となります。

定期的に訓練や演習を実施することは、職員一人ひとりがどのように対処すべきかを自ら考え行動する機会を提供するだけでなく、サイバー攻撃の風化を防止する役割もあります。

最悪の事態を想定した事前対策

最悪の事態を想定し、備えるべき目標や対策レベルを設定することで、通常時からリスクの軽減や回避を中心とした事前対策を設定することができます。事前対策には、セキュリティ対策だけでなく、サイバー攻撃発生に伴って必要となる業務の洗い出し、対応者の選定、各業務の手順書の作成、事前に準備すべき物品やリストの検討などが挙げられます。

また、限られた予算や人員で事前対策を行うには、重要度と実行難易度を加味し、優先順位をつけて取り組むことでより効率的に実行することが重要です。

5. PwCのサービス

サイバーセキュリティ簡易アセスメントとBCP策定支援

PwCコンサルティングには、病院運営、医療情報システム、サイバーセキュリティの各領域を専門とするプロフェッショナルがおり、医療機関の状況に応じたサイバーセキュリティ対策支援を実施しています。まずは「簡易アセスメント」から開始することをお勧めします。

簡易アセスメントで安全管理ガイドラインの遵守状況を確認しつつ、サイバーセキュリティに関する医療機関の弱点を見極めることで、早期に具体的対策に着手することが可能となります。また、現状を踏まえたうえで、医療機関に合わせたBCP策定やそれに基づく訓練の実施などを支援します。