サイバーインシデントは中小零細企業にも起きている｜医療・介護事業者がまず知っておきたい備え【Day1】

「サイバー攻撃のニュースをよく見るけれど、どれも大きな会社の話。うちのような小さな事業所にも関係があるの？」

そう感じるのは自然なことです。全国ニュースでは、利用者が多い企業のサービス停止など、影響が広い事案が目に入りやすいからです。ただ、報道で見かける事案と、実際に起きている事案の範囲は同じではありません。

診療所なら電子カルテ、介護事業所なら訪問予定や利用者の記録、個人事業主ならメールや請求データ。普段使っている仕組みが一つ止まるだけでも、仕事の続け方を変えなければならないことがあります。

• 警察庁のランサムウェア被害集計には、中小企業の被害も多数含まれています。
• ニュースでの報道、自社による公表、行政への報告、本人への通知は、それぞれ判断が異なります。
• 医療・介護では、情報が漏れるリスクに加え、必要な記録が使えずサービスが止まるリスクも考えます。
• 最初の備えは、止まると困る業務を一つ選び、代わりの手順と連絡先を確かめることです。

この記事を読みながら、次の問いを自社に当てはめてみてください。

「明日の朝、いつものシステムが使えなかったら、誰が何を判断し、どこまで仕事を続けられますか？」

1．そもそも、サイバーインシデントとは？

この記事では、情報やシステムの安全を損なった、またはその疑いがあり、対応が必要になった出来事をサイバーインシデントと呼びます。

たとえば、次のようなケースです。

• 偽のログイン画面にパスワードを入力し、第三者にアカウントを使われた疑いがある。
• 不正なプログラムによってファイルが開けなくなり、業務が止まった。
• 利用者の情報が入った資料を、誤って別の宛先へメールで送った。
• 委託先が攻撃を受け、自社が使う予約・記録サービスにアクセスできなくなった。

外部からの攻撃のほか、操作ミスや委託先の事故も、自社の業務や情報に影響します。一方で、パソコンが起動しないからといって、すぐにサイバー攻撃と断定はできません。原因が分からない段階でも、異変を誰に伝え、誰が確認を進めるかを決めておくと、初動が遅れにくくなります。

2．中小企業にも被害が起きていることは、警察庁の集計から分かる

警察庁が公表した2025年（令和7年）のランサムウェア被害の集計では、企業・団体等の226件のうち、中小企業が143件、大企業が64件、団体等が19件でした。ランサムウェアとは、データを使えなくするなどして金銭を要求する不正プログラムのことです。

これは警察が把握したランサムウェア被害の件数です。国内で起きたすべてのサイバーインシデントを示すものではなく、企業規模ごとの被害に遭う確率も、この数字だけでは比較できません。

ただ、この集計から中小企業でも実際に被害が起きていることは分かります。ニュースで同じ業種や同じ規模の事業者を見かけないことを、自社が安全だと判断する材料にはできません。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

3．「報道される」「公表する」「報告する」はどう違う？

「公表されていないなら、報告が必要なほどの事故ではなかったのでは」と思うかもしれません。ここは、誰が誰に何を伝えるのかで分けて考えると分かりやすくなります。

サイバー事故の公表について、すべての事業者に共通する一つの基準があるわけではありません。一方、個人情報保護法では、一定の個人データの漏えい等について、個人情報保護委員会への報告や本人への通知が求められます。取引先への連絡も、委託契約などで別に定められている場合があります。

たとえば、民間事業者が扱う病歴などの要配慮個人情報を含む個人データに漏えい等が発生した場合や、そのおそれがある場合は、報告対象となる類型の一つです。「件数が少ない」「まだ漏えいが確定していない」という理由だけで、対象外とは判断できません。

自社サイトにお知らせを載せれば、行政への報告や本人への通知も自動的に済むわけではありません。逆に、公表の判断を待つ間も、必要な報告や連絡は別に進めることになります。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

4．医療・介護では、記録が見られない間もサービスは続く

サイバー対策というと、個人情報が外部に漏れないようにすることを思い浮かべるかもしれません。しかし、医療・介護の現場では、必要な情報を、必要なときに使えることも大切です。

たとえば、訪問介護事業所で、朝になって職員が訪問予定と利用者記録を開けなくなったとします。これは備えを考えるための仮の例です。

• 誰が、当日の訪問先と予定時刻を確認するか。
• 服薬や食事など、支援上の注意点を安全に確認できるか。
• 訪問時間や担当を変更する場合、誰が利用者や家族に連絡するか。
• 紙などで残した記録を、復旧後に誰が確認して反映するか。

復旧を待つ間にも、現場では判断が必要です。記録が使えないことで、予約や訪問の変更、職員の追加対応、請求の遅れが生じることもあります。対策を考えるときは、機器やソフトの費用に加え、業務が止まったときに誰の仕事が増え、どんな影響が出るかを確認しましょう。

医療機関等には、個人情報の漏えい等への対応とは別に、厚生労働省が案内するサイバー攻撃時の連絡手順があります。対象となる医療機関等は、自院に適用される連絡先や手順を平時から確認しておきましょう。

参考：厚生労働省「医療分野のサイバーセキュリティ対策について」

5．介護事業所のBCPに「システムが使えないとき」の手順はある？

BCPは「業務継続計画」のことです。非常時に優先する仕事、続け方、復旧までの役割などを決めておく計画です。

介護事業者の方は、自然災害や感染症を想定して作ったBCPを、一度開いてみてください。建物も電気も使えて、職員も出勤できるのに、記録・連絡・予定管理のシステムだけが使えない。その場合も、今の計画で動けるでしょうか。

厚生労働省は、医療機関等向けにサイバー攻撃を想定したBCPの確認表やひな形を示しています。この医療機関等向けの資料を、すべての介護事業所にそのまま適用するという意味ではありません。ただ、自施設のBCPに不足している視点を探す参考になります。

介護事業所なら、まず「訪問・送迎の予定を確認できない」「職員への連絡に使うアプリが使えない」など、身近な場面を一つ選びます。そのうえで、優先業務、代替手段、判断する人、復旧後の記録の戻し方を確認します。紙で代替する場合も、必要最小限の情報に絞り、保管や回収の担当まで決めておきましょう。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」およびサイバー攻撃を想定したBCP策定の資料

6．SCS評価制度は、なぜ小さな事業者にも関係するのか

サプライチェーンとは、商品やサービスを届けるまでに関わる事業者のつながりです。医療や介護なら、システムの保守会社、クラウドサービス、請求業務の委託先なども、そのつながりの一部です。

IPAは2026年10月28日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）について、★3・★4の評価に向けたガイドや解説書を公開しました。取引先を含めたセキュリティ対策を進めるための制度です。

このガイドの公開は、すべての中小企業や医療・介護事業者に評価の取得が一律に義務づけられたという意味ではありません。実務では、まず取引先から求められている対策や、契約で約束している連絡・管理の内容を確認しましょう。

たとえば、「業務システムが止まったらどこに連絡するか」「バックアップから戻せるか」「自社と保守会社のどちらが何を担当するか」。こうした基本を説明できることは、評価の取得を検討する前から役立ちます。

参考：IPA「SCS評価制度の評価用ガイド等を公開」、IPA「SCS評価制度」公式ページ

7．何から始めるか迷ったら、止まると困る仕事を一つ選ぶ

専任の担当者がいない事業所で、最初からすべての対策を見直すのは難しいものです。まずは、明日できなくなると一番困る業務を一つ選んでください。診療所なら受付や診療情報の確認、介護事業所なら訪問予定の確認、個人事業主なら取引先との連絡などが考えられます。

1. 止まると困る業務と、使っている仕組みを書き出す。例：当日の訪問先を確認するために、クラウドの予定表を使っている。
2. 代わりの方法が実際に使えるか確認する。同じシステムにログインしないと見られない資料では、停止時に使えません。情報の保管方法や、誰が取り出せるかも確認します。
3. 最初の連絡先と判断する人を決める。管理者や保守会社の連絡先を、普段のパソコンや社内メールが使えないときにも確認できるようにします。

担当者が「バックアップはあります」と答えたら、次に聞きたいのは「最後に戻せることを確認したのはいつですか？」です。保存されていることと、必要なときに使える状態へ戻せることには違いがあります。自社だけで確認できない場合は、保守会社に、復元の担当・範囲・確認方法を聞くところから始めましょう。

よくある質問

Q1．職員が数人しかいない事業所にも、サイバー対策は必要ですか？

規模よりも、どんな情報を扱い、何が止まると困るかで考えましょう。少人数の事業所では、詳しい職員が一人しかいないこともあります。その人が不在でも連絡先と代替手順が分かるようにしておくと、対応しやすくなります。

Q2．システムを外部に任せていれば、事業所で備える必要はありませんか？

保守会社がシステムの調査や復旧を担当する場合でも、診療や介護サービスをどう続けるかは現場の判断です。契約で任せている範囲と、事業所に残る役割を確認しましょう。

Q3．情報漏えいが確認されてから、報告先を調べればよいですか？

漏えい等が起きたおそれがある段階でも、法令上の報告対象となる場合があります。医療機関等の連絡や委託契約に基づく連絡も含め、どの窓口に何を確認するかは平時に決めておきましょう。

Q4．最初に費用をかけるなら、何を優先すべきですか？

まず、止まると困る業務を一つ選び、どこに弱点があるかを確認します。連絡先が分からないなら連絡体制の整理が先です。記録の復元を確認できていないなら、保守会社と復元手順を確認する方が、製品を追加するより先に解決すべき課題かもしれません。

まとめ＋要約

サイバーインシデントは、中小企業でも実際に起きています。医療・介護事業者は、情報の漏えいに加え、システムが使えない間に診療やケアをどう続けるかを考えておく必要があります。

• 報道されるかどうかで、自社のリスクや報告の要否を判断しない。
• 公表、行政への報告、本人への通知、取引先への連絡を区別する。
• 介護のBCPを開き、記録や連絡のシステムが使えない場面でも動けるか確認する。
• SCS評価制度の動きも踏まえ、取引先に自社の対策や役割を説明できるようにする。

今日の一歩は、止まると困る仕事を一つ選び、「どう続けるか」「誰に連絡するか」を、現場の職員と確認することです。

次回予告｜Day2：サイバー被害で、どの仕事が止まり、どんな負担が生じるのか

次回は、公的な調査をもとに、被害件数から分かることと、その数字だけでは分からないことを整理します。診療、訪問、請求などが止まったときの負担を見積もり、限られた予算で何を優先するかを考えます。

自社の備えをどこから見直すか迷ったら

「介護のBCPはあるけれど、システムが止まる場面は想定していない」「保守会社に何を聞けばよいか分からない」という方は、止まると困る業務と、現在の連絡・復旧手順の整理からご相談ください。

お手元にあるBCP、利用している主なシステム、保守契約の担当範囲が分かれば、現場が先に決めることと、外部の専門家に確認することを整理しやすくなります。

※制度やガイドの記載は2026年11月6日時点の公表情報に基づきます。個別事案の報告や通知は、対象となる法令、事業者の区分、所管窓口の案内、契約などに沿って判断してください。