医療機関向けサイバー攻撃訓練（電子カルテが止まった日を想定したBCP机上訓練）
医療機関向けに、サイバー攻撃を想定した訓練を、企画から当日の進行、振り返りまで行います。
サイバー攻撃で電子カルテが日曜の早朝に止まったら、月曜の朝の外来をどう回すか。誰が何を決め、どこへ連絡するか。
会議室に関係者が集まり、時間の流れに沿って起きることを一つずつ確かめる訓練です。システムには触れません。
医療機関でサイバー攻撃の訓練が求められている理由
-
1
サイバー攻撃への備えは、侵入を防ぐ対策に加えて、被害に遭ったあとも診療を続けられるように準備しておくことが求められるようになりました。
厚生労働省の資料にも、対策を講じてもリスクを完全に排除することはできないため、サイバー攻撃を想定した事業継続計画（BCP）をあらかじめ策定しておくよう記されています。
-
2
医療法に基づく立入検査では、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」が確認されます。令和8年度版には、インシデント発生時の連絡体制図と、サイバー攻撃の想定を含むBCPの項目があり、連絡体制図とBCPは立入検査で現物が確認されます。
-
3
厚生労働省の「医療情報システムの安全管理に関するガイドライン」第7.0版（令和8年6月）は、経営層に対し、BCPを整備したうえで、通常時から定期的に訓練・演習を行うことを求めています。企画管理編にも、非常時を想定した訓練を定期的に実施し、その結果を対応手順に反映することが定められています。
-
4
計画書があっても、実際に動かしてみると、判断する人や連絡の順番があいまいなことが見つかります。厚生労働省のチェックリストマニュアルにも、BCPを策定していても実際には運用できず、バックアップを復旧できない事例が多数発生しており、BCP訓練の実施が望ましいと記されています。訓練で一度確かめておくと、いざというときの判断が早くなります。
- 「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月）経営管理編 3.4.1・企画管理編 11、12.2
- 「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」令和8年度版（令和8年6月）と同マニュアル
- 「サイバー攻撃を想定した事業継続計画（BCP）策定の確認表」（令和6年6月）
いずれも厚生労働省「医療情報システムの安全管理に関するガイドライン」のページで公開されています。
サイバー攻撃訓練（机上訓練）の進め方
概要
- 対象
- 病院・有床診療所が中心です。診療所向けの短縮版もあります。
- 時間
- 2〜2.5時間程度（会議室で行います）
- 参加
- 院長・事務長・情報システムの担当・看護部・医事・各部門の責任者など
- 進行
- 当社代表の堀江がファシリテーターを務めます
シナリオの例
- 日曜の早朝、電子カルテが使えなくなる
- 月曜の朝、外来の受付と会計が止まり、問い合わせが集中する
- 午後、警察へ被害を連絡し、機器の扱いを相談する
- SNSで、病院の状況についての情報が広がる
- 経営層として、診療の継続・公表・外部への説明を判断する
各場面で、誰が・何を・いつまでに決めるか、連絡は誰から誰へ流れるかを確かめます。シナリオは、貴院のシステム構成と体制に合わせて作ります。
訓練で得られるもの
改訂案の作成もお手伝いできます。
立入検査などで、取り組みの説明に使えます。
ご依頼の流れ
オンライン・30〜60分。システム構成・体制・いまのBCPを伺います。
貴院の構成に合わせた場面と、判断のポイントを用意します。
会議室で実施します。
オンラインで行います。気づいた点と直すべき点をまとめてお渡しします。
よくあるご質問
机上訓練とはどのような訓練ですか？
会議室に関係者が集まり、想定した場面（シナリオ）に沿って、誰が何を判断し、どこへ連絡するかを話し合いながら確かめる訓練です。システムや機器には触れないため、診療を止めずに行えます。サイバー攻撃を想定したBCP訓練は「サイバーBCP訓練」「IT-BCP訓練」と呼ばれることもあります。
標的型メール訓練や、システムの復旧訓練とは何が違いますか？
標的型メール訓練は職員一人ひとりが不審なメールを見分けられるかを、復旧訓練はバックアップからシステムを戻せるかを確かめるものです。机上訓練では、被害が起きたあとに病院として何を決めるか（診療を続けるか、どこへ連絡するか、何を公表するか）を確かめます。目的が異なるため、組み合わせて行うこともできます。
どのくらいの時間がかかりますか？
当日は2〜2.5時間程度です。事前のヒアリング（30〜60分）と振り返りはオンラインで行います。
誰が参加すればよいですか？
院長・事務長・情報システムの担当・看護部・医事・各部門の責任者など、非常時に判断や連絡を担う方です。
小規模な病院や診療所でもできますか？
できます。診療所向けの短縮版もご用意しています。
立入検査の準備にもなりますか？
医療法に基づく立入検査では、チェックリストに沿って、サイバー攻撃を想定したBCPや連絡体制図が確認されます。訓練で見つかった直すべき点はBCPの見直しに、訓練の記録は取り組みの説明に使えます。
費用はどのくらいですか？
内容と規模に応じてお見積りします。初回のオンライン相談は無料です。
料金
内容と規模に応じてお見積りします。まずはお問い合わせください（初回のオンライン相談は無料です）。