小規模医療機関向けＢＣＰ
医療情報システム部門
事業継続計画（BCP）
2026年6月1日
（医療機関名）
医療法人 おうちにかえろう会 まつおクリニック
目 次
第１章 総則
１ 策定目的
２ 基本方針
３ 対象範囲
４ 想定する事象
５ 文書の管理および周知
第２章 体制整備
１ 医療情報システム安全管理責任者
２ 情報機器台帳
３ 代替運用
４ バックアップ体制
第３章 サイバーインシデント発生時の対応
１ 初動対応
２ 業務継続対応
第１章 総則
１ 策定目的
本事業継続計画（以下、本BCPという）は、医療機関名（以下、当院という）においてサイバーインシデント発生時における組織的対応の基本方針及び職員の取るべき行動の基本原則を示すことによって、サイバー攻撃に対応する体制の速やかな構築と、組織としての適切な対応の実施に資することを目的とする。
２ 基本方針
当院は、個人情報の保護と医療サービスの継続性を確保するために、以下の方針に基づき、サイバーセキュリティ対策の水準を高めていく。
（１）サイバー攻撃による被害を極小化し、速やかな現状復帰を目指す。
（２）患者の信頼と業務継続性の確保のため、院内の即応体制を整備し、実際の被害状況に応じて柔軟な対応を行う。
３ 対象範囲
対象とする医療情報システムは以下の通り。
- 電子カルテシステム モバカル
- 医事会計システム（レセプト）オルカ
- 医用画像システム エコー
- 各種部門システム（検査、処方など）医師会
- オーダリングシステム なし
４ 想定する事象
本ＢＣＰで想定する事象とは、以下のサイバー攻撃による医療情報システムの利用停止、または医療情報の漏えいまたはそのおそれとする。
①標的型メール攻撃
②不正アクセス等
③マルウェア感染（ランサムウェアを含む）
④上記の予兆と思われる事象
- ５ 文書の管理および周知
本ＢＣＰは、医事課部門にて現状を適切に反映した原本及び関連資料の整備を行い、当院の全職員に開示周知する。
第２章 体制整備
平時において、非常時に備えたサイバーセキュリティの体制整備を以下のとおり行う。
１ 医療情報システム安全管理責任者
まつお（理事長）を当院における医療情報システム安全管理責任者とし、サイバーセキュリティの連絡体制図及び外部関係機関の連絡先を別紙１のとおり定める。
２ 情報機器台帳
医療情報システム安全管理責任者は、情報機器の現況を反映した管理台帳を別紙２のとおり整備する。併せて、定期的に棚卸しを行い、機器の所在と稼働状況の確認を行う。
３ 代替運用
各システムが利用できなくなった場合、その業務内容の代替手段を以下のとおり定める。
| 業務内容 | システム | 代替手段 |
| 診療録等 | 電子カルテシステム | 紙運用 |
| 処方・検査 | オーダリングシステム | 紙運用（カーボンコピー） |
| エコー画像診断 | モバイル | 撮影機器ワークステーションにて画像閲覧 |
| 会計 | 医事会計システム | 未収扱いを検討 |
業務内容に対する代替手段
４ バックアップ体制
クラウドカルテ（クラウド型電子カルテモバカル）レセプト（オルカ）のデータは、通常、サービス提供元のデータセンターで自動的に多重化およびバックアップされる
第３章 サイバーインシデント発生時の対応
- １ 初動対応
（１）発生事象の発見・報告
事象の発見者は、速やかに以下の内容を医療情報システム安全管理責任者へ報告する。
発見日時・経緯
発生状況
処置内容
（２）被害拡大防止・二次被害抑止
医療情報システム安全管理責任者は、被害拡大防止や二次被害抑止の観点で、以下の対応または指示を速やかに実施する。
①事象が発生した該当端末等を社内ＬＡＮやインターネット等のネットワークから切り離す。
②類似事象が他部門で発生していないかを確認し、発生している場合はネットワークを停止する。
（３）証拠保全・原因調査
医療情報システム安全管理責任者は、サイバー攻撃の原因や被害範囲の特定のために、以下の対応を行う。
①発生した事実関係を時系列で整理し、情報を管理する。
②端末初期化等を控えるよう指示し、外部調査に必要なシステム上の証拠を保全する。
（４）外部関係先への連絡
医療情報システム安全管理責任者は、別紙１・連絡体制図に記載のある連絡先に速やかに状況を連絡する。
- ２ 業務継続対応
（１）業務復旧対応
早期に通常業務に戻るために、以下の対応を行う。
①システム復旧について、システム事業者と連携し、その可否を判断する。
②データ復旧について、バックアップデータの復旧手順に従い、データ復旧可否を判断する。
（２）診療可否の判断と診療形態の決定
診療継続と判断した場合、提供可能な診療形態を速やかに決定する。
附則
本ＢＣＰは、令和8年6月1日から施行する。