三井記念病院：医療機関を狙った攻撃から患者さんの命とシステムを守る 三井記念病院が取り組むIT-BCPへの挑戦

病院全体で危機感を共有、「鉄は熱いうちに打て」で意識を高める

平川：
最初に皆さんのご所属と役職、そして今回のプロジェクトにおける役割を教えてください。

三瀬：
三井記念病院 副院長、腎臓内科部長の三瀬直文です。プロジェクトでは病院の責任者の立場から全体を見守り、また、病院全体としての情報セキュリティ対策の取り組みを推進する役割を担っています。

棚倉：
形成外科部長の棚倉健太です。プロジェクトにはシステム委員会委員長の立場で関わりました。

榎木：
医療情報システム課の榎木久芳と申します。私は医療情報システム部門の現場責任者として、プロジェクトの全体管理を担当しております。病院のITインフラと業務プロセスを知る立場から、現実的かつ効果的なIT-BCP策定に向けて、各部門との調整や技術面の実務を担当しました。

朝原：
医療情報システム課でシステム技術を担当している朝原章登です。私の役割は主に各部署間の調整役として、円滑なプロジェクト進行をサポートすることです。これまでIT-BCP対策の経験がなかったため、今回のプロジェクトを自身の学びの機会としても捉え、積極的に参加しました。

平川：
ありがとうございます。まず、私から今回のIT-BCP策定プロジェクトについて説明させてください。PwCコンサルティングでは2024年5月から約3カ月間にわたり、三井記念病院のサイバー攻撃を想定したIT-BCPの策定をご支援しました。主な内容はIT-BCP適用範囲の明確化と、サイバー攻撃発生時のCSIRT（Computer Security Incident Response Team）体制構築や既存運用管理体制の整備です。

今回のプロジェクトを振り返るにあたり、なぜIT-BCPの策定が必要だったか、背景を教えてください。

榎木：
近年、医療機関へのサイバー攻撃は急増しています。国内でも実際に医療機関がランサムウェア攻撃の標的となり、電子カルテシステムを含む医療情報システムが広範囲に停止して診療活動に深刻な制限が生じる事態が起きています。

こうした事態に、私たちは深刻な危機感を抱いています。当院でも同様の事態が発生した場合を想定し、早急な対策が必要であると考えました。また、令和6年度診療報酬改定でサイバーセキュリティ対策が診療録管理体制加算の要件に追加されることが決定し、医療機関全体での対策の重要性が示されました。

これらを踏まえ、当院では患者安全と医療サービスの継続性確保、および診療報酬改定への対応を目的に、サイバーセキュリティ対策の一環としてIT-BCPを策定することとなりました。

平川：
診療報酬改定もIT-BCP策定の重要な要因だったのですね。病院経営層という立場からは、医療情報システムと情報セキュリティの重要性をどのようにお考えでしょうか。

三瀬：
現在、多くの情報が電子化されており、情報システムは診療に不可欠です。病院経営に携わる者としても、近年のサイバー攻撃事例からその重要性を強く認識しています。医療情報システムは日々の病院運営を支える要であり、サイバー攻撃によるシステム停止は医療安全に対する深刻な脅威です。

一番よいのは攻撃をされないように予防することですが、万が一を想定し、インシデントが発生した場合にも被害を最小限に食い止め、診療機能を停止させないようにしなければなりません。どのような状況下でも安全な医療を提供するという社会的責任を果たすため、サイバー攻撃への迅速な対応が非常に重要だと考えています。

碓井：
本プロジェクトでは、院内でもさまざまな部門を含めたヒアリングや現状確認、各種調整を行いながらIT-BCPの策定を進めてきました。システム委員会委員長として、棚倉先生が特に意識されていたことは何でしょうか。

棚倉：
各部門のシステム委員会メンバーも近年の医療機関に対するサイバー攻撃事例は認識していました。実際、当院でも2024年2月にシステムトラブルを経験し、医療情報システムの停止に備えた対策への意識が高まっていました。「鉄は熱いうちに打て」と言うように、病院全体が危機感を共有している中で、具体的に形のあるIT-BCPを策定できたことは、非常に意義深く、また時宜を得た取り組みだったと感じています。

院内普及を徹底し、全員参加でセキュリティ強化

平川：
次にPwCコンサルティングのご支援に対するご意見を聞かせてください。現在、サイバーセキュリティ対策を支援するコンサルティング会社は数多くありますが、なぜPwCをパートナーに選んでくださったのでしょうか。

榎木：
一番の要因は、過去の事例や経験の豊富さです。プロジェクト開始前に他のコンサルティング会社とも比較検討を行いましたが、最終的には情報セキュリティと医療情報システムに関するPwCコンサルティングの豊富な知見が決め手となりました。経験に裏打ちされた助言や他院の事例紹介は、私たちが陥りがちな「病院特有の考え方」から脱却し、より広い視点でIT-BCPを策定する上で有益でしたね。

また、コンサルティングの範囲が明確に定められていたことも評価ポイントでした。具体的には、IT-BCP策定の基本的な枠組みや重要な要素についてはPwCコンサルティングに作成いただき、その先の病院固有の詳細や運用面については病院側が主導で検討するという役割分担が明確でした。この明確な線引きにより、効率的にプロジェクトを進めることができ、同時に病院側の主体性も維持できたと感じています。

平川：
ありがとうございます。今後のIT-BCP運用に向けた課題や改善点についても教えてください。

三瀬：
IT-BCPは各部署の意見を反映して作成しましたが、いわば骨格に過ぎません。実際に運用してみないと見えてこない課題があると認識しています。そのため、定期的な訓練の実施や職員への周知活動を含め、細部にわたる見直しと継続的な改善が必要不可欠だと考えています。

平川：
まさにその通りで、非常時に迅速な初動対応が取れるための対策ができているかが非常に重要なポイントです。医療情報システム課にて、IT-BCPの院内普及や啓発活動で注力した点をお聞かせください。

朝原：
サイバーセキュリティ対策と事業継続は病院全体で取り組むべき課題であり、全ての部署、全ての職員が関わる必要があります。「IT-BCPだから自分の部署には関係ない」という考え方は避けなければなりません。

普及活動についてはまだ準備段階ですが、実際に運用を始めれば、さまざまな課題が出てくることが予想されます。例えば、職員の理解度の差や部署ごとの優先順位の違い、日常業務との兼ね合いなどが挙げられるでしょう。これらの課題に対しては、一つ一つ丁寧に対応し、解決していく必要があります。

碓井：
院内で発生したインシデントを受けて、IT-BCPとは別に院内でインシデント対応マニュアルを作成されたと伺っています。今回のIT-BCP策定にあたり、そのマニュアルとの整合性をどのように図っていかれたのでしょうか。

棚倉：
当院の組織構造はやや特殊で、中央管理部門（ヘッドクォーター）が比較的小規模です。そのため、これまではこの特殊な組織構造に最適化したシステム障害全般に対応するマニュアルを独自に作成し、運用してきました。

しかし、サイバー攻撃のような深刻かつ長期的な対応が必要となる事態に対しては、より包括的なアプローチが必要だと認識しました。そこで今回のプロジェクトでは、常設のCSIRT設立を検討しました。このプロセスで特に重要だったのは、CSIRTをどのように常設化し、トップ直属ではない一段階下の組織として、長期的に機能する体制を構築することでした。この概念について、PwCコンサルティングからは多くの支援を受けました。

組織体制を構築する上で最も重要だったのは、全員が納得できるリーダーシップの確立と役職の明確化です。これまでは、この点が曖昧になっていた面がありました。そこで、副院長である三瀬先生に指揮を執っていただくことで、病院全体が一丸となって取り組み、かつ全員が納得できる組織体制を構築できたと考えています。

既存のマニュアルとの整合性については、IT-BCPを上位概念として位置づけ、既存のマニュアルを補完・拡張する形で統合しました。これにより、日常的なシステム障害対応と重大なサイバーインシデント対応の両方をカバーする包括的な体制が整いました。

碓井：
ガバナンスの面では、既存の組織体とCSIRTの役割分担を明確にするため比較表を作成し、「どのような状況で」「誰が何をするか」を詳細に定義しましたね。

榎木：
はい、各組織メンバーの役割分担の明確化だけでなく、各システムの管轄についても医療情報システム課の担当者が機器やシステムのリストを作成して調整を行いました。

碓井：
プロジェクトでは、約80種類ある院内システムの中から、復旧優先度を細かく検討しました。システムの優先順位付けや復旧タイミングの決定は難しい作業であったと拝察します。そこで明らかになった課題とそれをどのように解決されたかを教えていただけますか。

榎木：
システムの優先順位付けは、病院の基本方針に基づいて進めました。まず最優先としたのは、患者さんの命に直結する重要な診療科に直接関わるシステムです。集中治療部門で使用するシステムや、画像検査などの診断・治療に不可欠なシステムを最重要と位置付けました。

一方で緊急性の低いシステムもあり、これらは相対的に優先順位を下げて考えました。しかし、委員会での議論では直接診療には関わらないものの重要なシステムの存在が指摘されました。例えば、入院患者さまに食事を提供するためのシステムなどがこれに該当します。このような意見を受け、当初の私の視点と現場の視点の違いが明らかになりました。

部署ごとに考え方や優先順位の捉え方には違いがあり、これらを調整するのに苦労しました。これを解決するため、各部署の意見を丁寧に聞き、議論を重ねました。そして最終的には合意形成に至り優先順位リストが完成しました。

今振り返ると、この過程で最も難しかったのは、既存の慣習や体制と新しいIT-BCPの概念を調和させることでした。例えば、従来の業務フローや部門間の連携方法と、IT-BCPが要求する新しい対応方法との間にギャップがあり、これを埋めていく作業は容易ではありませんでした。

とはいえ、このプロジェクトを通じ、本当に止められないシステムの存在を改めて認識しました。