医療機関（病院）向けオールハザード対応BCP策定アドバイザリー

オールハザードBCP

地震、豪雨、そしてサイバー攻撃。医療機関の診療を止めかねない脅威は、ここ数年で確実に多様化しています。多くの病院では、自然災害を想定したBCP（事業継続計画）をすでに整備していますが、その前提は転換期を迎えています。

原因が地震であれ、ランサムウェアであれ、医療機関にとって重要なのは「必要な医療が止まらないことと、それに必要なリソースを確保すること」です。いま求められているのは、ハザードごとに別々の計画を積み上げることではありません。あらゆる事象を1つの枠組みで束ねる「包括BCP（オールハザードBCP）」への転換です。

一方で、病院の皆さまからは、

• どのようにリスクを整理すればよいか分からない
• 現状がどうか分からない
• 対応するための時間や人材が十分ではない
• 実効性を高めるための訓練や研修の方法が分かりにくい

などのご相談を頂くことが多くなってきています。

EYでは、現状の整理・分析、BCPの作成、見直し、訓練実施・評価等、総合的にご支援することが可能です。

医療機関に対する脅威は複合化の傾向が進んでいます

日本は災害大国です。2024年元日の能登半島地震、各地で頻発する線状降水帯による豪雨、そして近い将来の発生が懸念される南海トラフ巨大地震。内閣府は2025年12月に首都直下地震の被害想定を更新するなど、想定の見直しが続いています。

そして、災害はもはや単独では起こりません。地震が停電を招き、停電がシステム停止につながる「複合災害」が現実味を帯びています。2018年の北海道胆振東部地震では、北海道全域が停電するブラックアウトが発生し、震源から遠く揺れの小さい病院でも診療に影響が出ました。

同じ年の西日本豪雨では、岡山県の医療機関において、1階天井付近まで水没し、停電・断水・固定電話の不通に加え、1階に設置していた予備電源やCT・MRIが水没して使用できなくなりました。ライフラインの寸断は、そのまま医療提供の停止に直結します。

ここに新たな脅威として加わったのが、サイバー攻撃です。警察庁の集計では、ランサムウェアの被害件数は2021年度の7件から、2022年度には20件へと急増しました。2021年には徳島県のつるぎ町立半田病院、2022年には大阪急性期・総合医療センターがランサムウェア攻撃を受け、電子カルテが暗号化され、長期間の診療停止に追い込まれました。後者では、復旧までに約2カ月を要しています。

閉域網で守られていたはずの病院ネットワークも、クラウドやAIの活用により外部との接点が増え、誰もが標的になり得る時代になりました。電子カルテへの依存度が高まるほど、その停止が診療全体に及ぼす影響は大きくなります。

制度の動向と「義務化」の現状

制度の流れも、災害単独の備えから、サイバーを含む包括的な備えへと広がっています。

まず、自然災害についてです。災害拠点病院は、東日本大震災や熊本地震の教訓を踏まえた指定要件の改正により、BCPの策定が要件、すなわち義務として課されています。

指定要件では、施設の耐震化、通常時の6割程度の電力を確保できる自家発電設備、3日分程度の燃料・食料・飲料水・医薬品の備蓄、停電時にも使用できる井戸の確保、優先的な給水協定の締結などが具体的に求められています。

厚生労働省は、「BCPの考え方に基づいた病院災害対応計画作成の手引き」や、災害拠点病院向けのBCP策定ガイドラインを示してきました。各都道府県も、独自のガイドラインを整備しています。

一方で、これらの義務が及ぶのは災害拠点病院に限られます。それ以外の一般病院には、法的なBCP策定義務はありません。2018年の調査では、災害拠点病院・救命救急センターを除く病院のBCP策定率は、約2割にとどまっていました。

なお、介護分野では2024年4月から、すべての施設・事業所にBCPの策定と訓練が義務付けられています。医療の周辺領域でも、「備えの標準化」が進んでいるといえます。

次に、サイバーセキュリティについてです。2023年4月施行の医療法施行規則改正により、病院・診療所・助産所の管理者に対し、サイバーセキュリティを確保するための措置が義務化されました。従来の「努力義務」から、法的責任を伴う「義務」へと位置付けが変わった意味は大きいです。

これと連動して、厚生労働省は2023年5月に「医療情報システムの安全管理に関するガイドライン第6.0版」を公表しました。同ガイドラインでは、訓練・演習の結果をBCPに反映させる、いわゆるBCM（事業継続マネジメント）の重要性が示されています。

併せて、クラウドサービスや外部委託の利用が広がる中では、システムを提供する事業者側の安全管理を定めた総務省・経済産業省の関連ガイドライン、いわゆる「3省2ガイドライン」も踏まえる必要があります。自院だけでなく、委託先を含めたサプライチェーン全体で備える視点が欠かせません。攻撃者は、しばしば守りの薄い委託先や保守経路を狙うためです。

さらに2024年6月には、医療機関向けに「サイバー攻撃を想定した事業継続計画（BCP）策定の確認表」と、その解説となる手引き、Word形式で編集できるBCPのひな形が公開されています。これらは、BCPに「平時対応 → 攻撃検知 → 初動対応 → 復旧対応 → 事後検証」という一連の流れを盛り込むことを求めるものです。

そして、これらは「努力目標」にとどまりません。都道府県による医療法第25条に基づく立ち入り検査では、2023年からサイバーセキュリティ対策の確認が行われています。令和6年度版のセキュリティ対策チェックリストには、「サイバー攻撃を想定したBCPの策定の有無」が確認項目として加わりました。未策定であれば、具体的な改善めどの提示を求められる可能性があります。

診療報酬の面でも、2024年度改定で診療録管理体制加算の要件が見直されました。サイバーセキュリティ対策に加えて、「年1回程度の定期的な訓練・演習の実施と、その結果を踏まえた改善」が要件化されています。

つまり、「計画を作る」だけでなく、「訓練して回す」ところまでが、経済的なインセンティブとともに制度に組み込まれたのです。