1 感染した日 ― 並行して進める初動

2　個人情報の漏えいとして扱う

ランサムウェアで個人データが暗号化され、復元できなくなった場合は、個人情報保護法上の「毀損」に当たります。ただし、同じ内容のデータが他に保管されている場合は、この暗号化については毀損に当たりません。一方、データが盗み出された場合やその合理的なおそれがある場合は、バックアップの有無にかかわらず漏えい等を検討します。復旧できたことと、報告・本人通知が不要であることは同じではありません。

3　身代金 ― 払うかどうかの法的な評価

身代金は、支払えば安全に復旧できるというものではありません。厚生労働省のガイドライン第7.0版は、犯罪組織を支援することになるとして金銭の支払を厳に慎むよう求めています。また、送金相手等によっては外為法の支払規制も問題になります。「一律に禁止する規定がないなら払ってよい」と判断してはいけません。

警察、専門業者、弁護士、保険会社と連携し、バックアップからの復元、安全な環境の再構築、診療の代替・搬送等を検討します。「患者のためなら例外的に支払ってよい」という法的な基準があるわけではありません。脅迫への対応を担当者だけに任せず、得られた情報と検討した選択肢、患者安全への対応、経営層の判断を記録してください。

4　復旧 ― 何を優先するか

復旧は、技術の問題であると同時に、優先順位の問題です。

• 安全な復旧　感染範囲、侵入経路、残存する不正アクセスの手段等を調べ、再侵入を防ぐ。専門家と、隔離した安全な環境の再構築・段階的な復旧を検討する。全調査の終了まで何もできないという意味ではないが、動いたからと確認せず本番へ戻さない。
• 復元の順序　患者の生命・安全への影響とシステム間の依存関係で決める。患者情報の参照、投薬、検査、救急対応等を評価し、会計を一律に検査・薬剤システムより先にしない。診療機能ごとの再開条件を先に定める。
• 紙運用中の記録の取込み　紙運用が数週間に及べば、その間の診療録・処方・検査結果を電子カルテにどう反映するかが大きな作業になる。紙の原本を保存し、入力の手順と確認を決める（第104講）。
• 復元できないデータ　最後のバックアップ後の記録について、他の保存先や紙の記録等から回復できるか調べる。すべて失われたと決めつけず、残る欠落を特定し、処方・検査等への影響を評価する。滅失・毀損等の報告対象となる場合は報告へ反映する。
• レセプト　通常の請求が難しい場合は、支払基金・国保連合会に早期に相談する。個別に示された特例があるか確認し、自院にも概算請求や期限延長が当然に認められるとは考えない。
• 費用　復旧費用、紙運用の人件費、診療の縮小による損失、通知・公表の費用、専門業者・弁護士の費用。サイバー保険の対象範囲を確認する。委託先経由の侵入なら、委託先への責任追及も検討する。

5　攻撃を受けることを前提にした備え

厚生労働省のチェックリストは、サイバー攻撃を想定したBCPの策定を確認しています。別に公表されているBCP策定の確認表・手引きは、通常時、検知、初動、復旧、事後の対応を整理しています。これらとガイドラインを使い、自院の機能に合う手順を作ります。

チェックリストによる点検と、ガイドラインに沿う管理・訓練を組み合わせます。規程や契約を作るだけで終わらず、更新、権限点検、バックアップ、復元試験、訓練を実施し、記録から確かめられる状態にします（第89講）。

6　今日やること・やってはいけないこと

7　よくある質問

個人情報が漏えいしたかどうかわからない段階で、患者に通知する必要がありますか。

具体的な事情から漏えい等が起きた合理的なおそれがあり、法定の類型に当たる場合は報告対象です。速報は分かっている事項から行い、本人通知も状況に応じ速やかに進めます。通知でかえって混乱や被害を招かないよう内容・時期を検討しますが、調査完了を一律の条件にはしません。公表・問い合わせ窓口も活用し、通知対象の特定と必要な追加通知を続けます。

攻撃者から「払わなければ患者データを公開する」と連絡がありました。

連絡内容を保存し、警察・専門家・弁護士に速やかに共有します。実際の窃取やそのおそれを調べ、報告・本人通知は公開される前から検討・実施します。公開された一部のデータだけで漏えい範囲が確定するわけではありません。支払っても公開や再要求が止まる保証はなく、担当者が独断で交渉・送金を進めないことが重要です。

小さな診療所です。狙われることはありますか。

小規模でも、脆弱な機器や認証情報を悪用される危険があります。クラウド型でも、院内端末だけが被害範囲になるとは限りません。盗まれた認証情報によるクラウド上の閲覧・変更・削除や、サービス提供側の障害等も想定します。事業者との役割分担、認証、端末・遠隔接続の管理、バックアップ、停止時の診療手順を確認してください。