② 《医療機関等確認用》インシデント発生時に診療を継続するために必要な情報を検討し、データ
やシステムのバックアップの実施と復旧手順を確認している。
非常時でも、稼働が損なわれた医療情報システムを復旧できるよう、情報システム
やデータ等のバックアップを適切に確保し、その復旧手順を整備・確認しておくこと
が求められます。企画管理者等はバックアップを確保する際、重要なファイルについ

▶経営管理編
3.4.1
▶企画管理編
11.2

ては、不正ソフトウェアの混入による影響が波及しないよう複数の方式で世代管理す

12.2

るよう設計し、システム運用担当者は手順に従いバックアップを確保してください。

11.1

復旧手順の整備については、例えば、BCP に復旧手順を定めるなどの方法が挙げられ
ます。

▶システム運用編
12.2
18.1

（用語の解説）
世代管理:バックアップの一種で、最新データだけでなく、それ以前のデータもバックアップする方法
を指します。例えば、３世代以上で管理する場合、日次でバックアップを行うならば、
「3 世代以上」
とは「３日以上」のバックアップを確保することになります。
（補足）
３世代目以降のバックアップはオフライン（物理的あるいは論理的に書き込み不可の状態）にする等の
対策が望ましいです。

③ サイバー攻撃の想定を含む事業継続計画（BCP）を策定している。
医療機関等の経営層等は企画管理者等と連携して非常時における業務継続の可否の
判断基準や継続する業務選定等の意思決定プロセスを検討し、サイバー攻撃の想定を
含む BCP 等を整備することとしています。この BCP を整備しておくことにより、万
が一サイバー攻撃を受けても重要業務が中断しない、または中断しても短い期間で再
開することが期待できます。
また、昨今サプライチェーンを構成する事業者が攻撃を受けることにより、サービ
スや物資の途絶が起こる、事業者を通じて医療機関等がサイバー攻撃を受ける、と言
う事案が多発しています。事業者確認用チェックリストを通して、事業者が BCP を策
定して、非常時の対応に備えていることを確認して下さい。
BCP を策定していても、実際には運用できず、バックアップが復旧できない事例も
多数発生しています。医療機関等、事業者のいずれにおいても、BCP 訓練を実施して
いることが望ましいです。

16

▶経 営 管 理 編
3.4.1
▶企 画 管 理 編
11.1