すべての取引先を同じ水準で管理するのは現実的ではありません。診療の継続に直結する事業者、院内ネットワークへのアクセス権を持つ事業者、患者の個人情報や診療情報を扱う事業者を特定し、影響度の高いところから優先して評価・改善することが重要です。
契約時にチェックシートへの回答を求め、一度確認して終わりでは不十分です。セキュリティ態勢は、システムや再委託先の変更、新たな脆弱性の発見などによって絶えず変化します。客観的なセキュリティデータも活用し、委託先の状態を継続的に把握する体制が求められます。
加えて、経営層が決めておくべきなのは、どの診療機能を優先し、何時間以内に復旧させるかという方針です。電子カルテが使えない場合に継続する診療、紙や電話への切り替え手順、委託先が停止した場合の代替手段を定め、実際に機能するかを訓練で確認する必要があります。バックアップも、保存されているだけでは十分ではなく、必要な時間内に復元できて初めて診療継続の備えになります。
また、それぞれの責任の所在も明確にしなければなりません。脆弱性の修正、アクセス権限の管理、バックアップと復元、事故発生時の報告、診療継続と復旧の主導を誰が担うのか。再委託先にも同等の対策を求めるのか。平時の曖昧さは、緊急時の初動や復旧の遅れにつながります。
「守る」から「医療を止めない」へ
高度化するサイバー攻撃を完全に防ぐことは困難です。だからこそ医療機関には、侵入を防ぐだけでなく、被害を最小限に抑え、重要な診療を止めない「サイバーレジリエンス」が求められます。
その実現には、情報システム部門だけでなく、経営層、医療現場、調達・契約部門が、診療を支えるシステムや事業者を把握し、共通のリスクに対する認識を持つ必要があります。サイバーセキュリティは、単なるITコストではなく、患者の安全と病院経営を守るための投資です。
いま問われているのは、「院内のシステムを守れるか」だけではありません。「病院経営を支えるサプライチェーンのどこかが攻撃を受けても、医療を止めずにいられるか」です。サイバーセキュリティを経営の中核に組み込み、サプライチェーン全体のリスクを可視化することが、患者と地域医療を守る第一歩となります。
※ログイン後、コメント入力が可能です。