中小企業のサイバー対策はどこまで備えればいい？医療・介護事業者が決める次の一手【Day5】

「対策の必要性は分かった。でも、予算も人手も限られている。うちは、どこまで備えればいいのだろう」

サイバー対策を調べると、ログインの保護、バックアップ、職員教育、業務継続計画（BCP）、取引先からの要請と、取り組むことが次々に出てきます。専任の担当者がいない事業所で、すべてを一度に進めるのは簡単ではありません。

最終回のDay5では、これまでの内容をもとに、今すぐ自社で改善すること、保守会社と確認すること、取引条件を確かめてから判断することを分けます。最初に目指すのは、最も止まると困る業務について、責任者が不在でも、現場が安全に続けられる範囲と最初の連絡先を判断できる状態です。

• 患者・利用者の安全や当日のサービスに直結する業務から、備えを確認します。
• 連絡先や役割の整理は自社で着手し、復元や機器の設定などは保守会社と進めます。
• 費用は導入時の金額に加え、毎月の負担、職員の作業時間、契約外の支援も見て判断します。
• SCS評価制度への対応は、公式の評価基準と取引先が求める条件を確認して決めます。
• 「対策した」と言えるかは、手順が見つかる、連絡できる、必要なデータが戻るといった結果で確かめます。

今回の問い：「次に一つだけ改善するなら、何を選び、誰が、いつまでに、何を確認できれば完了としますか？」

1．まず決めるのは「守りたい業務」と「止まったときの限界」

Day1とDay2で確認したように、警察庁が集計した2025年のランサムウェア被害報告226件には、中小企業の143件が含まれています。これは自社の被害確率を示す数字ではありませんが、規模の小ささだけを理由に備えを後回しにできないことは分かります。

では、何を守るのか。事業所で一番高価な機器を探すより、使えなくなると、患者や利用者、顧客への対応が最初に止まる仕事を探す方が、優先順位を決めやすくなります。

同じ事業所でも、停止が半日で済む場合と、翌日まで続く場合では、対応できる範囲が変わります。まずは「半日なら何ができるか」「翌日まで続くと何が足りなくなるか」を、実際に業務を担当している人と考えてみましょう。医療・介護では、売上や費用の見積もりより先に、安全にサービスを提供できる条件を確認します。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

2．今すぐ改善すること、外部と進めること、条件を確認すること

次の対策を一つに絞れないときは、何が分かれば前に進めるのかを整理します。連絡先が見つからない問題と、バックアップの中身が分からない問題では、頼る相手も必要な作業も異なります。

個人事業主や少人数の事業所では、一人が複数の役割を担うこともあります。その場合でも、自社で判断する範囲と、外部の助けが必要な範囲は分けられます。担当者が不在になると連絡も判断も止まるなら、代わりに動ける人や外部窓口を先に決めておきましょう。

3．予算は、対策の価格と「止まったときの負担」を比べる

新しい製品やサービスを検討するときは、見積書の金額に加えて、「これを導入すると、いま困っていることのうち何が改善するのか」を確認します。

たとえば、連絡先が見つからず初動が遅れるなら、必要なのは連絡先の保管方法と代行者の見直しかもしれません。一方、診療や介護に必要なデータを復元できるか確かめていないなら、保守会社との復元試験に予算を使う理由を説明しやすくなります。

費用を比較するときは、次の点をそろえて考えてみてください。

• 導入時の負担：初期費用、設定作業、職員への説明、切り替え時に必要な時間。
• 続けるための負担：月額費用、アカウントの管理、定期的な確認や訓練にかかる時間。
• 事故時の負担：調査や復旧で別料金になる作業、時間外の対応、現場で必要になる入力や照合。

Day2で取り上げたように、業務停止の負担は、取り戻せない仕事による利益の減少、復旧や追加作業の費用、入金の遅れに分けると把握しやすくなります。後で回収できる入金まで、そのまま損失に足す必要はありません。一方で、患者や利用者の安全への影響は金額だけでは測れません。少額の対策でも、安全に関わる判断を早められるなら優先する理由になります。

予算を決める前に、「導入後に何を試し、どんな結果なら役に立ったと判断するか」を一つ決めておきましょう。

4．「対策済み」と言えるか、三つの場面で確かめる

完了の目安は、製品を入れたことや、BCPに一文を書き足したことだけではありません。現場が次の場面で動けるかを確認しましょう。

1. 気づいた直後：異変を見つけた職員が、管理者の不在時も、いつもの連絡アプリを使わずに連絡先を探し、何が起きているかを伝えられる。
2. システムが止まっている間：責任者や代行者が、必要な情報を安全に確認できるかを見て、続ける業務と見合わせる業務を判断できる。
3. 復旧した後：保守会社から技術面の説明を受け、現場が停止中の記録を照合し、責任者が業務を戻す範囲を決められる。

たとえば、訪問介護事業所が机上訓練で「代行者には連絡できたが、最新の訪問予定を確認できなかった」と分かったとします。この場合、連絡体制は機能していますが、代替手順には改善が必要です。次に直すことを「最新版の予定を、承認された方法で確認できるようにする」と具体化すれば、再訓練で改善したか判断できます。

机上訓練は、架空の記録を使い、実際のサービスを止めずに行えます。ただし、訓練で復元手順を説明できても、データが実際に戻ることを確かめたわけではありません。復元の確認は保守会社などと方法を決め、訓練の結果とは分けて記録しましょう。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」、厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」およびサイバー攻撃を想定したBCP策定資料

5．SCS評価制度と、事故が起きたときの報告は分けて考える

SCS評価制度は、取引先を含む事業者のつながり全体で、セキュリティ対策の水準を高めるための制度です。IPAは2026年10月28日に、★3・★4の評価に向けたガイドや解説書を公開しました。この公開により、すべての中小企業や医療・介護事業者に評価の取得が一律に義務づけられたわけではありません。

取引先から評価の取得や対策の説明を求められたら、まずどの取引・業務・システムが対象か、何をいつまでに求められているかを確認しましょう。要求事項が具体的になってから、公式資料と照らし合わせ、足りない対策や費用、対応する担当者を整理します。現時点で具体的な要請がない場合も、対策の担当者、保守会社との役割分担、訓練や復元の確認結果を残しておくと、後から説明しやすくなります。

事故が起きたときの行政への報告、本人への通知、取引先への連絡、公表は、評価制度とは別の判断です。ニュースで報道されたか、自社サイトで公表したかで、報告や通知の要否は決まりません。個人データの漏えい等やそのおそれがある場合は、適用される法令や窓口の案内を確認し、医療機関等に適用される連絡手順や委託契約上の連絡も別に確認してください。

参考：IPA「SCS評価制度の評価用ガイド等を公開」、IPA「SCS評価制度」、個人情報保護委員会「漏えい等の対応とお役立ち資料」、厚生労働省「医療分野のサイバーセキュリティ対策について」

6．今日の打ち合わせで「次の一手」を決める

最後に、次の打ち合わせで使える記入例を紹介します。これは架空の訪問介護事業所の例です。期間や完了の目安は、事業所の状況に合わせて設定してください。

一つ改善したら、同じ場面をもう一度試します。結果が確認できたら、次に影響の大きい業務へ広げましょう。法令や契約で期限のある対応、すでに分かっている重大な弱点は、通常の見直しと分けて優先します。

よくある質問

Q1．予算が少ない場合、サイバー対策はどこまでできますか？

優先業務を決める、緊急連絡先を確認する、既存の保守契約で対応してもらえる範囲を聞く、といったところから始められます。その結果、必要な復元試験や設定変更が契約に含まれていないと分かったら、対象を絞って見積もりを取りましょう。

Q2．既存の介護BCPに「サイバー攻撃」と書き足せば十分ですか？

言葉を加えるだけでは、職員が次に何をするか分かりません。記録が開けないときの代替手段、管理者が不在のときの判断、復旧後の記録の照合まで決め、短い訓練で使えるかを確かめましょう。

Q3．取引先からまだ何も言われていません。SCS評価の取得を急ぐ必要はありますか？

まずは公式情報を確認し、自社の取引条件に照らして判断しましょう。取得を検討する場合も、評価の対象となる範囲、求められる水準、費用や担当を先に整理します。自社の基本対策や、委託先との役割分担の確認は、取得の判断を待たずに進められます。

Q4．どの段階で保守会社や専門家に相談すればよいですか？

復元の可否や安全に設定を変える方法など、自社だけで確認できない項目が見つかった段階で相談できます。すでに不審な動きや被害の疑いがある場合は、平時の見直しを待たず、自社の初動手順に従って保守会社などの対応窓口へ連絡してください。

まとめ＋要約

中小零細企業や個人事業主、医療・介護事業者のサイバー対策は、止まると困る仕事を選び、現場が動ける備えを一つずつ確かめるところから進められます。

• Day1：中小企業でも被害は起きている。報道、公表、行政への報告、本人への通知を区別する。
• Day2：業務停止の影響を、安全面、失われる利益、追加作業や復旧費、入金の遅れに分けて考える。
• Day3：連絡や代替業務は自社で決め、設定や復元などは保守会社・専門家と役割を分ける。
• Day4：介護・医療のBCPにシステム停止時の手順を加え、管理者が不在の場面を訓練する。
• Day5：次の一手を選び、担当者、期限、確認方法を決める。SCS評価制度への対応は取引条件と公式資料を照らし合わせる。

今日の一歩は、現場の担当者に「明日の朝、このシステムが使えなかったら、最初にどの仕事が止まりますか？」と聞くことです。その答えから改善することを一つ選び、担当と確認する日を決めてください。

自社に合った備えを、どこから進めるか迷ったら

「介護のBCPはあるが、システム停止に使えるか分からない」「保守会社の提案を受けたものの、どこから費用をかけるべきか迷っている」という方は、今ある備えと、止まると困る業務の整理からご相談ください。

既存のBCP、使っている主なシステム、保守契約で分かっている範囲があれば、現場で先に決めることと、保守会社や専門家へ確認することを整理できます。初回の相談に、患者・利用者の氏名や個別の診療・介護記録は必要ありません。

※公的資料と制度の記載は2026年11月6日時点の公表情報に基づきます。記事内の場面や記入例は、備えを考えるための仮の例です。実際の初動、報告、通知、評価取得の判断は、適用される法令、業種ごとの案内、契約、自事業所の手順に沿って確認してください。