連絡体制図は、サイバー攻撃を受けたとき、誰が誰に連絡するかを1枚にまとめた図です。チェックリストの3-①で、立入検査で現物を確認される書類の1つです。
診療所なら、「気づいた職員から院長へ、院長から業者・厚生労働省・警察などの外へ」という形の1枚で十分です。自治体が公開している見本を土台に、自院の連絡先を書き込めば作れます。
連絡体制図に求められていること
チェックリストマニュアルは、3-①について次のように説明しています。
- 経営層は、攻撃に備えて、業者や外部の専門家と非常時の情報共有や支援の取り決めを整えるよう指示する
- 担当者は、緊急連絡網を示した連絡体制図を作る
- 連絡体制図には、院内の連絡先に加えて、業者、セキュリティの専門業者、外部の有識者、都道府県警察の担当部署、厚生労働省などを書いておく
連絡体制が整っていれば、速やかに初動の対応ができ、被害が広がるのを防げるとされています。
ガイドライン第7.0版の経営管理編も、サイバー攻撃を受けた、またはその疑いがある場合は、早急に厚生労働省、都道府県警察、その他の所管官庁などに報告するよう求めています。
診療所の連絡体制図は、この形でいい
チェックリストマニュアルの例は病院の組織図を前提にしていて、診療所にはそのまま使えません。診療所向けには、次の形が現実的です。
診療所の連絡体制図は「院長に集めて、外へ」の1枚でいい
- 院内気づいた職員 → 院長（安全管理責任者）院長が不在のときに代わりに判断する人も書いておく
- 院長（または代理）から連絡する先
- まず電子カルテ・レセコンの業者担当者名と、夜間・休日の連絡先
- まず厚生労働省医政局 医療情報担当参事官室 03-6812-7837
- あわせて都道府県警察サイバー犯罪の相談窓口と、最寄りの警察署
- あわせて保健所・都道府県自治体の見本に入っていることが多い
- 漏えいのおそれ個人情報保護委員会患者の診療情報が漏れたおそれがあれば報告
- 必要に応じてセキュリティ事業者・弁護士・保険会社契約しているところがあれば
自治体と医師会の見本
静岡県は、立入検査のページで「インシデント発生時の連絡体制図（診療所例）」を公開しています。中身は次のとおりです。
- 左側に「○○クリニック」の枠。中に院長と事務員（担当者）
- 右側に連絡先が7つ。医療情報システムの業者、情報セキュリティの業者、警察、厚生労働省、保健所、個人情報保護委員会（漏えいのとき）、顧問弁護士など（必要に応じて）
- 複数の医療機関を持つ法人は、法人の中でも情報を共有する、という注記
日本医師会の「サイバーセキュリティ対策チェックリストの実践ガイド」にも、小規模な医療機関の例があります。院長が責任者を兼ね、職員からの報告が院長に集まり、院長から外部に連絡する形です。外部の連絡先として、都道府県の衛生主管部局や、サイバー保険に入っていれば保険会社も挙げています。
院長が不在のときの代わりを決めておく
厚生労働省の小規模医療機関向けのガイダンスは、院長などが役割の大半を担う医療機関では、組織図を作ることより、緊急時に代わりに判断する人を用意するなど、1人に頼りきりになるリスクへの対策のほうが重要だとしています。
連絡体制図には、院長が休み・不在のときに判断する人（副院長・事務長など）も書いておきます。
書いておく連絡先
それぞれの連絡先について、分かっている情報をまとめます。
業者（電子カルテ・レセコンなど）
最初に連絡することが多い相手です。担当者名、日中の電話、夜間・休日の連絡先を書きます。複数の業者と契約しているなら、システムごとに書き分けます。
静岡県の見本では、医療情報システムの業者とセキュリティの業者を並べ、同じ業者の場合もあると注記しています。
厚生労働省
医政局 医療情報担当参事官室（電話 03-6812-7837、メール igishitsu@mhlw.go.jp）です。
サイバー攻撃やその疑いのほか、医療情報システムに障害が起きた場合も対象です。厚生労働省のページでは、発生後速やかに、発生日時・影響の範囲・分かっている被害の状況などを簡潔にまとめて連絡するよう案内しています。
都道府県警察
警察庁のページに、都道府県警察ごとのサイバー事案の相談窓口と、警察署の一覧がまとまっています。自院のある都道府県の窓口と、最寄りの警察署の番号を調べて書きます。
人命に関わる事案は最寄りの警察署、緊急なら110番です。全国共通のオンラインの通報・相談窓口もあります。
保健所・都道府県
国のガイドラインでは連絡先として明記されていませんが、静岡県の見本は保健所を、日本医師会の実践ガイドは都道府県の衛生主管部局を連絡先に入れています。自院が所属する自治体の見本に合わせるのが確実です。
個人情報保護委員会（漏えいのおそれがあるとき）
患者の個人情報が漏れた、またはそのおそれがあるときは、個人情報保護委員会への報告が必要です。詳しくは次の節で説明します。
厚生労働省の初動支援（MIST）
厚生労働省の委託事業である医療機関向けセキュリティ教育支援ポータルサイト（MIST）には、「インシデントかも？」という相談フォームがあります。「パソコンの動きがおかしい」「ファイルが暗号化された」といった疑いの段階から相談でき、専門家がオンラインや現地で初動の対応を支援する、と案内されています。
日本医師会の会員の医療機関なら、日本医師会のサイバーセキュリティ対応相談窓口（年中無休）も使えます。
文字で書くと、こうなる
図にするのが難しければ、表でも構いません。たとえば次のような形です。
| 順番 | 連絡先 | 名前・担当 | 電話（日中） | 夜間・休日 |
|---|---|---|---|---|
| 1 | 院長（責任者） | ○○ | ○○ | ○○ |
| 1 | 不在時の代理 | 事務長 ○○ | ○○ | ○○ |
| 2 | 電子カルテの業者 | ○○株式会社 ○○様 | ○○ | ○○ |
| 2 | 厚生労働省 医療情報担当参事官室 | 03-6812-7837 | ||
| 3 | ○○県警察 サイバー犯罪相談窓口 | ○○ | ||
| 3 | ○○保健所 | ○○ | ||
| 必要時 | 個人情報保護委員会 | 03-6457-9680（代表） |
連絡するときに伝えること
慌てていると、何を伝えればいいか分からなくなります。厚生労働省のBCPのひな形は、異常に気づいたときに担当部門へ伝える内容として、発生した場所・発生した機器・発生した日時・連絡者・異常の内容・範囲を挙げています。
厚生労働省への連絡も、発生日時・影響の範囲・分かっている被害の状況が中心です。連絡体制図の下に、この項目を書いたメモ欄を作っておくと、そのまま電話で読み上げられます。
個人情報保護委員会への報告は期限がある
個人情報保護法の施行規則では、次のどれかにあたる漏えい（おそれを含む）は、個人情報保護委員会への報告が必要です。
- 要配慮個人情報が含まれるもの。診療情報や調剤情報、検査の結果、病歴などが該当し、人数の条件はない
- 不正に使われると財産的な被害が出るおそれがあるもの
- 不正な目的によるもの。不正アクセスや、ランサムウェアで暗号化されて元に戻せない場合など
- 本人の数が1,000人を超えるもの
医療機関では、患者の診療情報が関わる時点で報告の対象になると考えておくのが安全です。
| 報告 | 期限 |
|---|---|
| 速報 | 知ったあと速やかに（目安はおおむね3〜5日以内）。その時点で分かっていることでよい |
| 確報 | 知った日から30日以内。不正な目的によるものは60日以内 |
業者のシステムで漏えいが起きた場合も、委託元である医療機関に報告の義務がかかります。業者からの第一報を誰が受けるかも、連絡体制図で決めておくと迷いません。
作ったら、置き場所と更新を決める
紙でも1枚置いておく
システムが止まると、電子ファイルの連絡体制図は開けなくなります。厚生労働省のBCPの手引きでも、連絡先を院内に掲示するか、マニュアルの分かりやすいところに示すよう求めています。受付やバックヤードなど、職員がすぐ見られる場所に紙で置いておきます。
年に1回、連絡先を確かめる
業者の担当者や電話番号は変わります。チェックリストの年1回の点検にあわせて、連絡先に変更がないかを確認し、変わっていれば図を直します。
気づいたら最初にやることも書き添える
連絡体制図の余白に、異変に気づいた職員が最初にやることを書いておくと役に立ちます。日本医師会の診療所用BCPの記載例では、次の対応が挙げられています。
- 感染が疑われるパソコンやサーバを、LANケーブルを抜く、Wi-Fiを切るなどして通信から切り離す
- パソコンは原則としてシャットダウンしない（記録が失われるため）
- コピー機なども含め、院内の端末を通信から切り離す
ガイドラインの経営管理編は、ランサムウェアで金銭を要求されても、支払いは犯罪組織を支援するのと同じなので厳に慎むよう求めています。迷ったときは、連絡体制図に書いた相手に相談します。
今日やること
- 自治体の見本（静岡県の診療所例など）をダウンロードする。自院の自治体に見本があれば、そちらを優先する
- 業者・厚生労働省・都道府県警察・保健所・個人情報保護委員会の連絡先を調べて書き込む
- 院長が不在のときに判断する人を決めて書き、紙に印刷して院内に置く
これでチェックリストの3-①は「はい」です。連絡体制図は、サイバー攻撃を想定したBCPの別紙としても使います。
