医療機関のランサムウェア対策とBCP。システム停止に備えるPMの仕事

「電子カルテが、全部止まりました」——医療機関のシステム担当者からそう一報を受けたら、皆さんはまず何をしますか。僕がこの仕事に関わるようになって痛感したのは、止まった後の初動よりも、止まる前にどこまで手順を描けていたかで結果が大きく変わるということでした。

0. 結論：医療PMにとってBCPは「起きたら困る」から「必ず起きる前提」への仕事に変わった

結論から言うと、医療機関のランサムウェア対策とBCP（事業継続計画）は、もはやセキュリティ担当者だけが担う仕事ではなく、医療PMが実務として担うべき領域になっています。理由は単純で、電子カルテが停止した瞬間に問われるのは技術的な復旧速度だけでなく、紙運用への切替判断、部門間の情報伝達、ベンダーと行政への報告という、複数の立場をまたぐ調整だからです。厚生労働省の「医療情報システムの安全管理に関するガイドライン」第6.0版でも、BCPの整備は明確に求められる項目として位置づけられています。この記事では、実際に報道された障害事例を手がかりに、医療PMがBCPの現場で具体的に何を担うのかを、予防・発生時・復旧後の3つのフェーズに分けて説明し、さらによくある失敗のパターンと、医療機関の規模によって実務がどう変わるかも見ていきます。

1. なぜ医療機関のランサムウェア対策がPMの仕事になったのか

2021年10月、徳島県のつるぎ町立半田病院がランサムウェア攻撃を受け、電子カルテを含む院内システムが停止し、しばらくの間、新規患者の受け入れを制限する事態になったことは広く報じられました。2022年10月には大阪急性期・総合医療センターでも同様の被害が発生し、全面的な稼働再開までに一定期間を要したと報道されています。これらの事例に共通しているのは、システムが復旧するまでの間、病院という組織が「紙とペンでどう診療を続けるか」という、ITとは別次元の課題に直面したという点です。この課題を解くのは、セキュリティの専門知識だけでも、病院運営の知識だけでも足りません。ベンダーのエンジニアは復旧作業に集中し、院内の医師や看護部門は目の前の患者対応に集中します。その間で「今どこまで進んでいて、次に何を決めるべきか」を整理し、両者の言葉を翻訳しながらつなぐ役割が必要で、それが医療PMに求められる理由だと僕は考えています。

2. インシデント対応PMが担う3つのフェーズ

医療機関のBCP実務は、時系列で見ると大きく3つのフェーズに分かれます。それぞれで医療PMが担う中身は異なります。

予防フェーズでもっとも重要なのは、実際に手を動かす訓練を年に1回以上行っているかどうかです。手順書だけを整備して訓練をしていない医療機関は少なくなく、いざという時に「誰が紙運用への切替を決めるのか」という一番大事な意思決定の主体が曖昧なまま止まってしまうケースを、僕は複数の現場で見てきました。訓練では、実際に電子カルテを止めた状態を想定し、受付から会計までの一連の流れを紙の帳票で回してみることで、平時には気づかなかった抜け漏れが必ず見つかります。この抜け漏れを一つずつ手順書に反映していく地道な作業こそが、予防フェーズにおけるPMの本当の仕事だと僕は考えています。

3. 「紙運用に戻す」ための業務継続計画をPMはどう設計するか

システムが止まった瞬間、病院が最初に判断しなければならないのは、どの業務を紙運用に切り替え、どの業務を止めるかです。すべてを紙に戻すことは現実的ではなく、優先順位づけが必要になります。僕の体感値で言うと、優先度が高いのは救急対応と投薬に関わる部分で、これが止まると患者の安全に直結するため、代替手順を平時から用意しておく必要があります。一方で、会計や統計処理のような業務は一時的に停止しても人命に関わりにくいため、優先度を下げて構いません。

この優先順位づけを平時のうちに医師・看護部門・事務部門と合意しておくのが、PMの大きな仕事です。有事になってから合意形成をしようとすると、現場の混乱の中で議論する時間がなく、結局は声の大きい部署の意見だけが通ってしまう、という失敗をよく耳にします。平時の地味な調整会議こそが、有事の混乱を減らす投資になると考えています。さらに、紙の帳票そのものを事前に印刷して院内の決まった場所に保管しておく、といった物理的な準備も忘れてはいけません。システムが止まっている最中に「紙の様式がどこにあるかわからない」という事態になれば、せっかくの手順書も意味を持たなくなってしまいます。

4. 復旧後の仕事：原因究明・行政報告・再発防止をどう回すか

システムが復旧した後も、医療PMの仕事は終わりません。むしろここからが本番だと言ってもいいかもしれません。個人情報保護法上の要配慮個人情報である医療情報が漏えいした可能性がある場合、個人情報保護委員会への報告義務が生じますし、医療法に基づく立入検査でサイバーセキュリティ対応の状況が確認事項になることもあります。行政への報告書は、技術的な原因究明の内容を、非専門家である行政担当者にも伝わる言葉に翻訳する作業が必要で、ここでもPMの調整力が問われます。

再発防止策の実装も同様です。技術的な対策（バックアップの多重化、ネットワークの分離など）はベンダーが実装しますが、それを現場の運用フローにどう落とし込むか、次回の訓練にどう反映するかを設計するのはPMの役割です。一度のインシデントで学んだことを、組織の資産として残せるかどうかは、この復旧後のフェーズの質にかかっています。加えて、職員向けの説明会を開き、何が起きて何を変えたのかを丁寧に共有することも重要です。現場が「また同じことが起きるのではないか」という不安を抱えたままでは、日々の運用にも支障が出るためです。

5. よくある失敗と対処

BCP関連の案件に関わっていると、繰り返し似たような失敗に出会います。ここでは僕がよく見てきたパターンと、その対処を整理しておきます。

一つ目は「手順書はあるが、誰も読んでいない」という失敗です。分厚い手順書を作ること自体が目的化してしまい、現場の職員がその存在すら知らないケースは珍しくありません。対処としては、手順書とは別に、部署ごとに1枚のフローチャートを作り、休憩室など目につく場所に掲示しておくといった、地味だが実効性のある工夫が有効だと僕は考えています。

二つ目は「意思決定の権限が曖昧なまま有事を迎える」という失敗です。紙運用への切替を誰が決めるのか、院長なのか、事務長なのか、システム部門長なのかが平時に決まっていないと、有事に確認の電話をかけ合うだけで貴重な時間が失われます。この対処は単純で、権限者と代理順位を平時のうちに明文化し、訓練の中で実際にその人に判断してもらう経験を積んでおくことです。

三つ目は「ベンダー任せにして院内に知見が残らない」という失敗です。復旧作業のすべてをベンダーに委ねてしまうと、報告書もベンダーが作成したものをそのまま転記するだけになり、次回への学びが院内に蓄積されません。PMが復旧の過程に同席し、判断のログを自分の言葉で記録しておくことが、この失敗を避ける最も確実な方法だと僕は考えています。

6. ケース比較：中小病院と大規模医療センターでBCP実務はどう変わるか

医療機関の規模によって、BCP実務でPMに求められる動き方はかなり変わります。ここでは便宜的に、病床数200床未満の中小病院と、地域の基幹となる大規模医療センターを比較してみます。

中小病院の場合、専任のシステム部門を持たず、事務長や総務担当者がシステム管理を兼務しているケースが多いのが実情です。この場合、医療PMは手順書の作成から訓練の企画運営まで、ほぼ一人で組み立てる必要があります。外部のベンダーとの契約内容も限定的なことが多く、有事の際にどこまでベンダーが動いてくれるかを平時に確認しておくことが、通常以上に重要になります。

一方、大規模医療センターでは情報システム部門やセキュリティ担当者がすでに存在し、PMの役割はゼロから作ることではなく、既存の体制の中で部門横断の合意形成を進める調整役に近づきます。関係者の数が多い分、一人ひとりの意見を丁寧に拾いながら、限られた会議の時間で結論を出す進行力が求められます。

どちらの規模であっても本質は変わりません。技術的な対策の中身よりも、誰が何を決め、誰にどう伝えるかという合意の設計こそが医療PMの仕事の核だという点は共通しています。ただし、中小病院では「ゼロから作る力」、大規模医療センターでは「既存の体制を動かす調整力」というように、求められる比重が変わってくると僕は考えています。

7. BCP経験は医療PMのキャリアでどう評価されるか

BCP・インシデント対応の経験を持つ医療PMは、僕の体感では市場でまだ少数派です。理由は単純で、実際に大規模な障害を経験する医療機関の数自体が限られているためです。ただし、平時のBCP策定・訓練運営の経験であれば、他業界の危機管理プロジェクトの経験を持つ人材にも十分な接点があります。転職市場で評価されるのは、有事の当事者だった経験そのものよりも、「有事に何を優先し、誰とどう合意形成するか」という思考の型を語れるかどうかです。この型は、面接で具体的なエピソードとともに説明できれば、業界未経験でも十分に評価対象になり得ると考えています。面接の場では、過去に関わった障害対応や訓練の場面を思い出し、自分がどんな判断基準で優先順位をつけたのかを、時系列で語れるように準備しておくとよいと思います。

(結論)

医療機関のランサムウェア対策とBCPは、技術者だけの仕事でも、経営層だけの仕事でもありません。予防・発生時・復旧後の3つのフェーズをまたいで、立場の異なる関係者の間をつなぎ、意思決定の順番を整理する役割として、医療PMの存在価値がはっきり出る領域だと僕は考えています。皆さんいかがでしたでしょうか。では今日もがんばりましょう。