医療機関のセキュリティ 10のセルフチェック

10のセルフチェック

1. バックアップは、院内とは別の場所にも保管している

   なぜ要るか：同じサーバー・同じ建物の中だけに置いたバックアップは、不正アクセスや災害で一緒に使えなくなることがあります。

   確かめ方：バックアップの保存先を書き出し、院外（クラウドや別拠点）にも1つあるかを確認します。

2. バックアップからの復元を、この1年以内に一度は試した

   なぜ要るか：「取っているはず」のバックアップが、いざ戻そうとすると壊れていた、手順が分からなかった、という事例は少なくありません。

   確かめ方：復元の手順書があるか、最後に試した日付が記録されているかを確認します。

3. 退職した職員のアカウントは、退職日に止めている

   なぜ要るか：使われなくなったアカウントは、入口として残り続けます。

   確かめ方：人事の退職処理とアカウント停止が、同じ手順書の中でつながっているかを確認します。

4. 共有のパスワードを使い回していない

   なぜ要るか：複数人で同じパスワードを使うと、誰が操作したか分からず、1つ漏れると全部に広がります。

   確かめ方：共有端末・共有アカウントを書き出し、個人ごとのアカウントに分けられないか検討します。

5. 外部から院内のシステムに接続できる経路を、すべて把握している

   なぜ要るか：リモート保守、在宅勤務、ベンダーの接続。把握していない経路が、いちばん狙われます。

   確かめ方：外部接続の一覧（誰が・どこから・何に）を作り、不要なものを閉じます。

6. 電子カルテ・レセプト・勤怠などのソフトは、更新（アップデート）が止まっていない

   なぜ要るか：更新が止まったソフトやプラグインは、公開されている弱点がそのまま残ります。

   確かめ方：主要なシステムの最終更新日と、サポート期限を確認します。

7. 生成AIなどの外部サービスに入力してよい情報・いけない情報を、院内で決めている

   なぜ要るか：便利なAIサービスに患者情報や内部文書を入れてしまう事例が増えています。

   確かめ方：利用ルール（用途・入れてはいけない情報・使ってよいサービス）が文書になり、職員に周知されているかを確認します。

8. 不審なメールや電話への対応を、職員全員が知っている

   なぜ要るか：本物そっくりのメールや、取引先を名乗る電話は、AIで精巧になっています。

   確かめ方：年1回以上の研修か注意喚起が行われ、「迷ったら開かずに相談する先」が決まっているかを確認します。

9. システムが止まったときの紙運用と、連絡の手順（BCP）が決まっている

   なぜ要るか：止まった瞬間に「誰が何をするか」が決まっていないと、診療と連絡が同時に混乱します。

   確かめ方：事業継続計画（BCP）に情報システム停止時の手順が含まれ、年1回は机上で確認しているかを見ます。

10. セキュリティについて、相談できる先が決まっている

    なぜ要るか：専任の担当者がいない医療機関ほど、「誰に聞けばいいか分からない」で初動が遅れます。

    確かめ方：院内の責任者と、院外の相談先（ベンダー・支援先）が決まっているかを確認します。決まっていなければ、まずは当社の相談窓口（フリーダイヤル 0120-911-017）をメモしておいてください。