第5章 起きてしまったら

画面に英語の脅迫文が出た。
電子カルテが開かない。
その日の最初の 1 時間に何をするかで、止まる日数が変わります。

この章では、厚生労働省の BCP の手引きと第 2 章の 4 つの事例から、最初の 3 手、連絡先、紙で診療を続ける準備、復旧の順序を見ます。

最初の 3 手。切る、止めない、記録する

気づいた職員がその場ですることは、図の 3 つです。
身代金の画面の指示には従いません。
以下は、3 つそれぞれの根拠です。

切る。厚生労働省の BCP 策定の確認表の手引き（厚生労働省PDF）は、初動対応の「被害拡大防止」の最初に「ネットワークの遮断」を挙げています。
岡山県精神科医療センターの報告書も、全職員への教育として「LAN ケーブルを抜く」を挙げました。

止めない。電源を切ると、メモリの中に残る攻撃の痕跡が消え、原因の調査（フォレンジック）ができなくなります。
宇陀市立病院は、記録を残さずにシステムを再設定したため、入口が分からないままになりました。

記録する。あとで警察、保険会社、厚生労働省、個人情報保護委員会に説明する材料になります。
手引きは「フォレンジック調査と証拠保全」を初動の項目に入れています。

気づいたときには、攻撃はすでに最後の段階にあることが多いものです。
IPA の情報セキュリティ白書2026（IPAサイト）が紹介する 2025 年の 2 社の事例（第 2 章の図 2-6）には、侵入から一斉の暗号化まで 10 日ほどあった例と、当時のログが削除されていて侵入の原因を完全には究明できない例があります（p.21〜23）。
記録とログは、あとで何が起きたかを確かめる手がかりです。

初動で迷ったときの読み物として、白書は JPCERT/CC の「侵入型ランサムウェア攻撃を受けたら読む FAQ」（JPCERT/CCサイト）を挙げています（p.26）。

この 3 手を、気づいた職員がその場でできるように、掲示用の初動カード（この章の末尾）を電話の横に貼ってください。

誰に連絡するか

連絡先は 5 つです。
順番は、ベンダーと院内が同時、そのあとに国と警察です。

• 1ベンダーの保守窓口電子カルテと、ネットワークや VPN 装置の保守事業者。
  夜間休日の番号を別に確かめておく連絡体制図の Excel に記入欄
• 2厚生労働省医政局 医療情報担当参事官室 03-6812-7837。
  メールは igishitsu（アットマーク）mhlw.go.jp連絡先のページ（厚生労働省サイト）
• 3都道府県警察サイバー犯罪の相談窓口。
  被害の相談と届出。
  各都道府県警察のサイトで番号を確かめる相談窓口の一覧（警察庁サイト）
• 4個人情報保護委員会診療情報（要配慮個人情報）が漏えいしたおそれがあれば報告の義務。
  速報は速やかに、確報は 30 日以内（不正の目的のおそれがあるときは 60 日以内）漏えい等の対応（個人情報保護委員会サイト）
• 5MIST の初動対応支援厚生労働省の委託事業。
  「パソコンの動きがおかしい」「ファイルが暗号化された」段階から Web フォームで相談できるインシデントかも？（MISTサイト）

このほかの連絡先です。

• 所管の保健所と都道府県の担当課
• サイバー保険に入っていれば、保険会社の事故受付
• 顧問弁護士

大阪急性期・総合医療センターが当日に連絡したのは、病院機構の本部、大阪府、警察署、内閣サイバーセキュリティセンター、厚生労働省、保健所でした。
厚生労働省に報告した際に、初動対応支援の専門家チームの派遣を提案されています。

外部への連絡は、医療情報システム安全管理責任者か情報セキュリティ責任者に一本化します。
複数の人が別々に電話すると、情報が食い違います。

連絡先を「誰が、誰に」の形で 1 枚にしたものが連絡体制図（チェックリスト 3-①）です。
立入検査で現物を確認されます。
第 3 章で配ったひな形（Excel）には、氏名と携帯の記入欄と、連絡先一覧、掲示用の「連絡時に伝えること」が入っています。

紙で診療を続ける

止めるか、続けるかを決めるのは、医療安全の判断です。
大阪急性期・総合医療センターの経験を元にした厚生労働省委託の研修資料は、「安全安心な医療提供を継続するためには、診療制限しかなかった（医療安全を最優先）」と書いています（MIST の研修資料（厚生労働省PDF））。
2026 年 3 月の医療安全の通知も、重大な事故の報告を受けた管理者に「診療の継続の可否の検討」を求めていて、電子カルテが止まった朝に院長がする判断は、これと同じ判断です。

攻撃でなくても止まります。
市立奈良病院では 2026 年 4 月 21 日、サイバー攻撃ではなくセキュリティ監視装置の過検知と自動遮断で、救急の受入れが約 53 時間止まり、外来予約約 1,500 件のうち約 500 件と予定手術 56 件のうち 18 件が延期になりました。
奈良市の報告書は、安全を最優先した診療制限に合理性があったと評価しています（市立奈良病院 システム障害 報告書 概要版（奈良市PDF））。

止まっている間に起きやすい医療事故の型も、国の資料にあります。
2026 年 2 月の通知が示した「病院等において把握すべき重大事象」の別表には、次の 4 つがあります。

• 別表 1 の ⑤ 既知のアレルギーや禁忌薬剤の投与
• 別表 1 の ⑪ 医療機器の故障
• 別表 1 の ⑫ 重大な検査結果の伝達の失敗
• 別表 2 の ⑥ 生体情報モニターのアラームへの対応

電子カルテの警告、オーダー、検査結果の配信、ネットワーク型のモニターが止まれば、どれも紙と口頭に替わります。
BCP の紙運用の手順は、この 4 つをどう防ぐかまで書いて、医療安全管理委員会と共有します。別表の 24 事象と報告の仕組みは、病院の医療事故講座の第 5 章と重大事象の早見にあります。

海外には、患者への影響を数字で示した報告があります。
英国と米国の 2 つを、同じ観点で並べます。

日本では、公表された調査報告書に患者の死亡や健康被害の記載はありません。
止まったときの手順を先に決めておく意味は、ここにあります。

復旧の順序。BCP の 5 段階

厚生労働省の BCP 策定の確認表（厚生労働省Excel）は、平時、検知、初動対応、復旧、事後の 5 段階に分かれ、各項目にガイドラインの参照先が付いています。
ひな形（厚生労働省Word）を自院の名前に直すところから始めれば足ります。
手引きの中で、事務長が押さえる点は 3 つです。

• 復旧の優先度は、平時の「重要度」と違うことがある。受付と会計が先か、処方が先か、検査が先か。
  経営層が決めて指示します。
• 戻すときに、同じ穴を残さない。既知の脆弱性と、漏えいした可能性のあるパスワードは、復旧の前に直します。
  岡山県精神科医療センターは、パソコン 200 台を新しくしました。
• 事後に、報告と再発防止まで含める。異常の内容、原因、被害、復旧の工数と費用をまとめ、外部への報告と情報公開を検討します。
  第 2 章の 4 つの病院は、報告書を公表したことで、ほかの病院の教材になりました。

IPA の白書は、自然災害を想定した BCP を作っている組織でも、サイバー攻撃を想定していない場合がある、と注意しています（p.26）。
チェックリストの 3-③ が「サイバー攻撃を想定した」BCP を求めるのは、このためです。

数字で見る。復旧の長さと、バックアップの現実

警察庁の令和 7 年の統計から、復旧にかかった期間（第 1 章の図 1-3 と同じ統計）と、バックアップから戻せたかを見ます。

図 5-4 を上から読むと、ほとんどの組織がバックアップを取っていたのに、戻せたのは一部で、戻せなかった理由の多くは「バックアップも暗号化されていた」でした。
ネットワークにつながったままのバックアップは、本体と一緒に暗号化されます。
チェックリストの 3-② がオフラインの保存先を求めるのは、このためです。

警察庁の統計で、バックアップから復元できた割合は 2022 年から 2025 年まで、4 年とも 2 割前後（17〜26%）でした。
良くなってはいません。

配布物

• 掲示用初動カード（A4）最初の 3 手と、責任者に伝える 5 つ、してはいけないこと。
  電話の横とナースステーションに初動カード（PDF）
• 3-①連絡体制図のひな形院内の流れと外部 7 件の枠、連絡先一覧、連絡時に伝えること。
  第 3 章と同じファイル連絡体制図のひな形（Excel）
• 3-③BCP のひな形と確認表医療情報システム部門等における BCP のひな形と、5 段階の確認表ひな形（厚生労働省Word）
  確認表（厚生労働省Excel）

自院で確かめること

1. 初動カードが電話の横に貼ってあり、職員が「LAN ケーブルを抜く、電源は切らない」を知っているか。
   朝礼で 1 分で伝えられます。
2. 連絡体制図の空欄が埋まっているか。
   役職名ではなく氏名と携帯番号。
   ベンダーの夜間休日の番号は、契約書か保守約款で確かめます。
3. 紙の伝票が最新の様式か。
   電子カルテの導入前の伝票が、そのまま倉庫にあることが多いものです。
   止まっている間に別表の事象をどう防ぐかが、紙運用の手順に書いてあるか。

個人情報保護委員会への報告の期限は、同委員会のサイトで最新を確かめてください。
国の資料に沿って解説していますが、国が監修したものではありません。