チェックリスト3-②は、診療を続けるのに必要な情報を決め、バックアップをとり、戻し方を確かめているかを聞く項目です。
目安は「3世代以上」「2種類以上の方式」「1つはネットワークから離して保管」の3つです。
診療所では、バックアップを業者に任せていることがほとんどです。業者に4つのことを聞いて答えを残せば、記入に必要な材料がそろいます。
3-②で聞かれていること
令和8年度版チェックリストの3-②は、次の文です。
②インシデント発生時に診療を継続するために必要な情報を検討し、バックアップを確保のうえ、復旧手順を確認している。
インシデントは、サイバー攻撃や故障などで、システムが使えなくなるような出来事のことです。復旧手順は、バックアップからデータやシステムを元に戻すやり方を指します。
1つの文に、3つのことが入っています。
| 中身 | やること |
|---|---|
| 必要な情報を決める | システムが止まったときに、診療を続けるのに最低限いる情報は何かを決める |
| バックアップをとる | 決めた情報を、何世代か、複数の方式で残す |
| 戻し方を確かめる | 戻す手順を決め、実際に戻せるかを確かめる |
医療機関の確認用にだけある項目
3-②は、医療機関が書く「医療機関・薬局確認用」にだけ載っています。業者に書いてもらう「事業者確認用」には、3-②がありません。
バックアップを業者に任せていても、答えるのは医療機関です。業者に中身を聞いて、院内で把握しておく形になります。
選択肢は「はい・いいえ」の2つで、「対象外」はありません。チェックリストは令和8年度中にすべての項目で「はい」を目指すよう求めていて、「いいえ」なら令和8年度中の目標日を書きます。
立入検査で現物を見せる項目ではない
マニュアルが立入検査で現物を確認するとしているのは、2-①の台帳、3-①の連絡体制図、3-③のBCP、4-①の規程類です。
3-②は含まれていません。確認日と回答が記入されているかを見られる項目です。
ただし、マニュアルは戻し方の手順をBCPに書く方法を例に挙げています。BCPに書いておけば、立入検査でBCPを見せるときに一緒に説明できます。
何世代・何種類・どこに置くか
数え方の基準は、マニュアルとガイドライン第7.0版のシステム運用編18.1に書かれています。厚生労働省のQ&Aは、これを3-2-1ルールとして整理しています。
バックアップは「3つ・2種類・1つは離す」で考える
- 世代3世代以上最新だけでなく、前の日の分も残す
毎日とるなら3日分以上
攻撃に気づくのが遅れても戻れる - 方式2種類以上外付けディスク・RDX・NAS・クラウドなどから2つ
1つが壊れても、もう1つで戻せる - 保管1つは離す院内のネットワークから切り離す
書き込めない状態にしておく
古い世代ほど切り離しておく
世代は「3日分以上」
世代管理は、最新のデータだけでなく、それより前のデータも残しておくやり方です。
ガイドラインは、毎日バックアップをとる場合、少なくとも3世代を残すよう書いています。毎日とるなら、3日分以上が手元にある状態です。
最新の1世代だけだと、攻撃に気づいたときには、その1世代もすでに壊れていることがあります。ガイドラインも、数世代前までのバックアップにはすでに影響が及んでいる可能性があると書いています。
方式は「2種類以上」
ガイドラインは、1つの故障ですべてのバックアップが使えなくなるのを避けるため、次の中から2つ以上を選ぶことを想定しています。
| 方式 | 例 |
|---|---|
| 外部・内蔵のストレージ | 外付けハードディスク、SSD |
| 取り外せる媒体 | RDX（カートリッジ式のディスク）、磁気テープ、DVD |
| NAS | 院内ネットワークにつなぐ共有ディスク |
| クラウドサービス | 業者のデータセンターなど院外への保存 |
厚生労働省のQ&Aは、組み合わせの例として「HDDとRDX」「クラウドサービスとNAS」を挙げています。
1つはネットワークから離す
マニュアルは、3世代目以降のバックアップは、書き込めない状態（オフライン）にするなどの対策が望ましいとしています。ガイドラインも、3世代目以降の古い世代は書き込めない状態にする対策が必要と書いています。
オフラインは、院内のネットワークやパソコンにつながっていない状態のことです。取り外したRDXを鍵のかかる場所に置く、などが分かりやすい形です。
ガイドラインは特に、一定規模以上の病院や地域で重要な役割を担う医療機関に対して、バックアップの媒体をネットワークから切り離して保管することを強く求めています。
離しておく理由
警察庁が令和7年にランサムウェア被害を受けた企業・団体に行ったアンケートでは、バックアップからの復元について答えた99件のうち、復元できなかったのは79件でした。医療機関に限らない、業種全体の数字です。
復元できなかった理由に答えた72件では、「バックアップの暗号化・消去」が48件、「運用不備」が19件でした。警察庁は、復旧を妨げるためにバックアップも一緒に暗号化される場合が多いとしています。
2021年に被害を受けた徳島県の半田病院では、報告書によると、2018年までにオフラインで保管していたバックアップは影響を受けず、復旧に使えたとされています。被害の経緯は病院・クリニックのサイバー攻撃事例にまとめています。
「必要な情報」を先に決める
3-②の最初の部分は、バックアップの前に「何を戻すか」を決めることです。
ガイドラインは、すべての情報をバックアップから戻すのではなく、診療のためにすぐに必要な情報をあらかじめ検討しておくよう書いています。
診療所なら、次のような情報が候補になります。
| 情報 | 止まったときに困ること |
|---|---|
| 患者の基本情報 | 受付・本人確認ができない |
| 直近の診療録・処方 | 再診で前回の内容が分からない |
| 予約 | 来院予定の患者が分からない |
| レセプトのデータ | 月末の請求が出せない |
| アレルギー・禁忌の情報 | 処方や検査の安全確認ができない |
厚生労働省の研修資料は、データ全体を守る対象と、システムが止まったときに最低限の診療を続けるためのデータを分けて決めるよう勧めています。
止まっている間の代わりも決めておく
戻すまでの間に診療を続ける方法は、BCPで決めておきます。
ガイドラインの経営管理編は、電子カルテが止まっている間、紙で診療を続けるのかなどを、経営層がBCPに沿って判断するよう求めています。紙の運用の決め方はサイバー攻撃を想定したBCPの作り方で解説しています。
戻し方を決めて、戻せるか確かめる
バックアップがあっても、戻し方が決まっていなければ使えません。
ガイドラインは、数世代前までのバックアップにもすでに影響が及んでいる可能性があり、不用意に戻すと被害を繰り返すことになるとしています。そのため、戻す手順をあらかじめ検討し、BCPとして定めておくよう求めています。
戻せるかは、試しておく
厚生労働省の研修資料は、バックアップから戻せることを、最低限はシステムを入れたとき、できれば定期的に確かめるよう勧めています。
ガイドラインは、こうした確認の作業を、実際の運用環境とは分けて行うよう求めています。診療中の電子カルテで試すのではなく、業者に別の環境で確かめてもらう形です。
厚生労働省のQ&Aも、バックアップを本番の環境から分けて、定期的に戻す試験を行うよう書いています。
クラウド型の電子カルテの場合
クラウド型では、バックアップも戻す作業も業者に頼むことになります。ガイドラインの保守委託機関編も、その前提で書かれています。
厚生労働省のQ&Aは、クラウドのバックアップをオフラインとみなせる形として、次の3つを挙げています。
- クラウドから取り出したデータを、RDXなど別の媒体に保管する
- クラウドからNASなどへ自動で送り、送るとき以外はネットワークから切り離しておく
- クラウドの中の、論理的に切り離された別の場所に保存し、すぐに戻せるようにしておく
Q&Aは、オフラインで保管していることが業者との契約書などに書かれているかも確かめるよう求めています。
業者に聞く4つのこと
ガイドラインのシステム運用編は、外部にバックアップを任せている場合、業者に対象・頻度・戻せる世代・方式・保存場所を確かめて、契約などで明らかにするよう求めています。
契約している業者ごとに、次のように頼めばそのまま使えます。
いつもお世話になっております。厚生労働省のサイバーセキュリティ対策チェックリスト3-②（バックアップと復旧手順）に対応するため、当院のバックアップの状況を確認しています。 貴社が納品・保守している電子カルテ・レセコンについて、次の点を教えていただけますでしょうか。
- バックアップの対象（どのデータ・システムか）と、とる頻度
- 残している世代の数と、それぞれの保存場所・方式（院内のNAS、RDX、クラウドなど）
- 院内や本番の環境から切り離して保管している世代があるか。あれば、その方法
- 戻すときの手順と、戻すまでにかかるおおよその時間。戻せることを最後に確かめた日 あわせて、上記の内容が契約書やサービスの説明書に記載されている場合は、該当箇所をお知らせください。
返ってきた答えは、BCPや運用管理規程と一緒に保管しておきます。
答えから「はい」と言えるか見る
業者の答えを、次の表に当てはめると判断しやすくなります。
| 確認すること | 「はい」に近い答え |
|---|---|
| 世代 | 毎日とっていて、3日分以上残している |
| 方式 | NASとRDX、クラウドとNASなど2種類以上 |
| 保管 | 少なくとも1つは、ネットワークから切り離しているか、書き込めない状態 |
| 戻し方 | 手順が決まっていて、戻せることを確かめた日が分かる |
すぐに整わない部分があれば、3-②を「いいえ」にして、業者と決めた対応の目標日を書きます。目標日の書き方はチェックリストの書き方で解説しています。
規程にも書いておく
ガイドラインは、バックアップの頻度や方法などを運用管理規程に定めるよう求めています。厚生労働省の研修資料も、規程のデータ管理の章に、取得の頻度・保存期間・保管場所と、障害のときの戻し方・担当者を書く例を示しています。
業者から聞いた内容を、そのまま規程に写せば十分です。書き方は運用管理規程の作り方にまとめています。
今日やること
- 止まったときに診療を続けるのに最低限いる情報（患者の基本情報・直近の処方・予約など）を書き出す
- 電子カルテ・レセコンの業者に、上の依頼文で4つのことを聞く
- 返事をBCPと運用管理規程に写し、3-②の確認日（足りなければ目標日）を書く
