中小企業のサイバー対策は何から始める？診療所・介護事業所でできることと、保守会社に頼ること【Day3】

「対策した方がいいとは思うけれど、何から始めればいいのか分からない」「システムは保守会社に任せているけれど、どこまで対応してもらえるのだろう」

専任の担当者がいない事業所では、こうした疑問が出るのは自然なことです。サイバー対策と聞くと機器やソフトの購入を思い浮かべますが、現場で決められることもあります。たとえば、訪問予定が見られないときの連絡先や、責任者が不在のときに誰が判断するかです。

Day2では、業務が止まったときの負担を見積もりました。Day3では、その負担を減らすために、自社で始めること、保守会社と一緒に進めること、専門家に任せることを整理します。

• 最初に、止まると困る業務を一つ選び、担当者と代替手段を確認します。
• ログインの保護や更新は、誰が設定し、使えなくなったときに誰が対応するかまで決めます。
• バックアップは、保存の有無だけでなく、必要なデータをどこまで戻せるかを保守会社と確かめます。
• 診療や介護をどこまで安全に続けられるかは、現場の責任者が判断できる体制をつくります。

今回の問い：「一番止まってほしくない業務を守るために、自社で何を決め、外部に何を頼みますか？」

1．対策の入口は、機器の一覧より「止まると困る仕事」

最初からすべてのパソコンやサービスを点検しようとすると、どこを優先すべきか見えにくくなります。まずは、明日の朝に使えないと困る仕事を一つ選びましょう。

診療所なら、受付から診療に必要な情報を確認するまで。訪問介護事業所なら、当日の訪問先と支援上の注意点を職員が確認するまで。個人事業主なら、顧客からの依頼を受け取り、約束した仕事を届けるまで。システムの名前ではなく、そのシステムで何をしているかを書き出すのがコツです。

1. 普段、何を使っているか。端末、サービス、アカウント、委託先を、選んだ業務に関係する範囲で整理します。
2. 使えないと、どこで仕事が止まるか。業務の流れに沿って、何が確認できなくなるかを現場の職員に聞きます。
3. 誰なら判断できるか。通常の担当者と、不在時に代わる人を確認します。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、個人事業主や小規模事業者も想定しています。第4.0版では、まず取り組む基本対策にバックアップが加わりました。自社の対策をどこまで進めているか、基本項目を照らし合わせるときに使えます。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」

2．自社で始めること：連絡先、役割、代替手段を決める

最初にできるのは、異変に気づいた職員が迷わず連絡できるようにすることです。「詳しい人に聞けば分かる」状態では、その人が休みの日に手が止まります。

普段のシステムが使えなくても、連絡先を確認できるようにする

管理者、不在時の代行者、保守会社の窓口を整理します。連絡先が業務用チャットやメールの中にしかなければ、それらが使えないときに困ります。保管場所と閲覧できる人を決めたうえで、必要な連絡先に別の方法でたどり着けるようにしましょう。

職員が伝える内容を、短く決めておく

「いつ」「どの端末やサービスで」「何が起きたか」「今できない仕事は何か」を伝えられれば、状況を引き継ぎやすくなります。原因を特定するまで連絡を待つ必要はありません。故障なのか攻撃なのか分からないときでも、まず見えている事実を共有します。

代替手段は、実際に使う人と一緒に確認する

たとえば「紙で記録する」と決めても、用紙がどこにあるか、誰が保管し、復旧後に誰が照合するかが分からなければ、現場では使いにくいものです。紙や別の手段に切り替える場合は、必要な情報に絞り、閲覧、保管、回収まで決めます。個人の端末や私用のメールに患者・利用者の情報を移す前提にせず、事業所で認めた方法を用意してください。

少人数の事業所や個人事業主なら、まず「連絡先」「判断する人」「代わりの方法」を一枚にまとめるだけでも、何が決まっていないかが分かります。

3．ログインの保護と更新は、設定後の運用まで考える

メールやクラウドのアカウントは、日々の業務の入り口です。どこから見直すか迷ったら、外部からログインできるサービスや、他の職員の設定を変更できる管理者アカウントなど、悪用されたときの影響が大きいところから確認します。

多要素認証は、パスワードが知られてしまった場合でも、不正ログインを防ぐ助けになります。設定時は、認証に使う端末が手元にない場合や、管理者が不在の場合の対応まで確認しましょう。たとえば、対象を絞って試し、ログインと復旧の手順を確認してから広げる方法があります。

更新も、業務用の機器やシステムに影響する場合は、保守会社やメーカーと手順を確認して進めます。「影響が心配だから更新しない」と放置せず、誰が影響を確認し、いつ実施するかを決めておきましょう。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」、厚生労働省「医療分野のサイバーセキュリティ対策について」

4．バックアップは「ありますか？」の次に「何が戻りますか？」と聞く

保守会社から「バックアップは取っています」と言われたら、もう一歩踏み込んで聞いてみましょう。データが保存されていても、必要な時点の情報を、必要な時間内に使えるとは限りません。

• 何が対象か：診療・介護記録、添付ファイル、予約や予定、システム設定のうち、どこまで保存されているか。
• いつの状態まで戻せるか：直前の入力が失われる場合、どの範囲を現場で確認し直す必要があるか。
• 元の環境が被害を受けても取り出せるか：同じ端末や同じ管理者アカウントが使えないときの方法があるか。
• 誰が復元し、誰が確認するか：保守会社の作業範囲と、記録の内容を確認する現場の担当が決まっているか。
• どう試せるか：本番のシステムを上書きせず、別の環境などで復元を確認できるか。

クラウドサービスでも、事業者側の障害に備えた復旧と、利用者側で誤って削除したデータの復元では、契約上の扱いが異なる場合があります。保存期間、取り出せる範囲、支援の受付時間、追加費用を確かめてください。

たとえば「前日夜の状態まで戻せる」と分かったら、翌朝から停止までの記録をどう確認するかは、現場で決めることです。技術的に復元できることと、業務を安全に再開できることを分けて確かめましょう。

5．診療所と訪問介護では、最初に試す場面が違う

以下は、対策の選び方を説明するための仮の例です。同じ規模でも、普段の業務やシステムの使い方によって優先順位は変わります。

診療所の例：受付開始時に電子カルテが使えない

院内では、診療に必要な情報を確認できない場合に、どの患者にどう対応するかを判断する人を決めます。受付では、来院した方への案内と予約変更の流れを確認します。

保守会社には、連絡窓口、電子カルテの復元対象、調査や復旧に着手できる条件を聞きます。端末の初期化や復元を現場で独断で行うと、原因の調査に必要な情報を失うことがあります。異変が起きたら院内の手順に従い、保守会社などへ速やかに連絡できるようにします。

厚生労働省は、医療機関等向けに、サイバー攻撃を想定したBCP策定の確認表や資料を公開しています。対象となる医療機関等では、自院に適用される対応や連絡手順も確認してください。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」およびサイバー攻撃を想定したBCP策定の資料

訪問介護事業所の例：訪問予定と利用者記録が開けない

まず事業所内で、当日の訪問先と支援に必要な情報を、承認された別の手段で確認できるかを試します。情報が確認できない場合に、誰が訪問の順番や対応を判断し、誰が利用者や家族に連絡するかも決めます。

サービス提供会社には、障害情報をどこで確認できるか、事業所が利用できるデータの出力や復元の方法はあるかを聞きます。現場では、代替手段で残した記録を、復旧後に誰が照合し、重複や入力漏れを防ぐかまで考えます。

自然災害や感染症を想定した既存のBCPに、連絡体制や優先業務がすでに書かれているなら、その部分は活用できます。今回の見直しでは、「建物と電気は使えるが、記録と予定のシステムが使えない」という条件を加え、足りない手順を補いましょう。

6．外部に頼む範囲は、契約名より「実際に何をしてもらえるか」で比べる

「保守契約があるから任せられる」と思っていても、夜間の受付、原因調査、被害を受けた端末の調査、バックアップからの復元まで、すべて契約に含まれるとは限りません。逆に、すでに契約に含まれている支援に気づかず、別のサービスを追加してしまうこともあります。

小さな事業所で一人が何役も担う場合は、「その人が不在でも、誰かが窓口へ連絡できるか」を契約の確認とセットで考えましょう。外部に復旧を任せても、診療・介護をどう続けるか、利用者や家族に誰が連絡するかは、事業所側で決めておく必要があります。

また、行政への報告、本人への通知、取引先への連絡、公表はそれぞれ別の判断です。「保守会社へ伝えたから終わり」とせず、法令・業種の案内・契約に照らした確認を、事業所の誰が担当するか決めておきましょう。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

7．SCS評価制度に備えるなら、まず自社の対策を説明できるようにする

SCS評価制度は、取引先を含めた事業者のつながり全体で、セキュリティ対策の水準を高めるための制度です。IPAは2026年10月28日に、★3・★4の評価に向けたガイドや解説書を公開しました。

制度を意識して最初に行うことは、自社の対策について、担当・確認日・外部に任せている範囲を説明できるようにすることです。たとえば「バックアップあり」とだけ記録するより、「対象は何か」「誰が復元を担当するか」「いつ戻せることを確認したか」まで残すと、担当者が交代しても確認できます。

この記録だけで評価要件を満たすわけではありません。また、評価の取得がすべての事業者に一律に義務づけられているという意味でもありません。取引先から具体的な条件を示された場合は、対象となる業務やシステム、求められる内容と時期を確認し、公式の要求事項と照らし合わせましょう。

参考：IPA「SCS評価制度の評価用ガイド等を公開」、IPA「SCS評価制度」

よくある質問

Q1．何も整っていない場合、今日やるなら何ですか？

止まると困る業務を一つ選び、そのシステムが使えないときの連絡先を確認してください。管理者が不在でも、別の職員が連絡先にたどり着けるかを試すと、改善点が見つかります。

Q2．ウイルス対策ソフトがあれば、ほかの対策は後でよいですか？

ウイルス対策ソフトは備えの一部です。ログインの悪用、委託先の停止、誤操作、記録の消失など、原因によって必要な対策は変わります。自社で困る場面を一つ想定し、今の対策でどこまで対応できるか確かめましょう。

Q3．予算が少ないと、復元の確認はできませんか？

まず保守契約に確認作業が含まれているかを聞きましょう。含まれていなければ、対象を一つの重要なシステムやデータに絞って、費用と方法を確認できます。手順を打ち合わせるだけでは実際に戻せたことにはならないため、何を確認済みで、何をまだ試せていないかを分けて残します。

Q4．介護のBCPを最初から作り直す必要がありますか？

まずは既存の計画で使える部分を確認しましょう。優先業務や緊急連絡先を活用しながら、システム停止中の情報確認、代替記録、復旧後の照合など、不足する手順を補うところから始められます。

まとめ＋要約

中小企業や医療・介護事業所のサイバー対策は、止まると困る業務を一つ選び、自社と保守会社の役割をはっきりさせるところから始められます。

• 自社では、最初の連絡先、判断する人、業務の代替手段を決める。
• ログイン保護や更新は、設定する人と、問題が起きたときの対応まで確認する。
• バックアップは、何が、いつの時点まで、誰の作業で戻るかを確かめる。
• 外部に頼むときは、受付時間、支援の範囲、追加費用を契約で確認する。
• 介護のBCPや取引先への説明に使えるよう、確認したことと未確認のことを残す。

今日の一歩は、重要な業務を一つ選び、「現場で決めること」と「保守会社に聞くこと」を一つずつ書き出すことです。費用をかける前に、何が未確認なのかが分かれば、次の判断がしやすくなります。

次回予告｜Day4：サイバー対策をBCPに組み込み、現場で動けるようにする

次回は、サイバーインシデントを想定した手順を既存のBCPにどう加えるかを整理します。管理者が不在の場面や、連絡アプリも同時に使えない場面を想定し、短い訓練で何を確かめ、誰が見直すかまで考えます。

自社で何を決め、何を外部に頼むか迷ったら

「保守会社に何を聞けばいいか分からない」「BCPはあるが、システムが止まったときに職員が動けるか不安」という方は、業務と役割の整理からご相談ください。

主な業務システム、既存のBCP、保守契約で分かっている範囲があれば、事業所で先に決められることと、専門家に確認することを整理できます。最初の相談に、患者・利用者の氏名や個別の記録は必要ありません。

※制度およびガイドの記載は2026年11月6日時点の公表情報に基づきます。記事内の診療所・訪問介護事業所の例は、対策を考えるための仮の例です。