全国電子カルテへ📋️第010話｜先生、そのバックアップ本当に戻せますか――「取ってあります」では診療は再開できない
プロローグ
午後の診療が終わり、森田院長が電子カルテ会社から届いた保守資料を眺めていた。
森田院長「佐伯さん、ランサムウェアの記事を読んで少し気になったんですが、うちはバックアップしてありますよ」
看護師の美咲が安心したようにうなずいた。
美咲「それなら、もし電子カルテが壊れても大丈夫ですね」
医院経営と医療DXの相談役、佐伯さんは資料から顔を上げた。
佐伯「では先生、そのバックアップから電子カルテを復元したことはありますか？」
森田院長「復元？」
佐伯「はい。バックアップしたデータを使って、本当に元へ戻したことがありますか？」
森田院長「……ないですね」
美咲「私も見たことありません」
佐伯「では現時点で分かっているのは、『バックアップしているらしい』ところまでです。『復旧できる』ことまでは確認できていません。」
森田院長「バックアップがあるだけでは駄目なんですか？」
佐伯「今日のテーマは、まさにそこです」
バックアップの目的は「保存」ではなく「復旧」
電子カルテのバックアップについて院長へ聞くと、「ベンダーがやっています」「毎日取っているはずです」という答えが返ってくることがあります。
しかし、本当に知りたいのはそこではありません。
電子カルテが壊れたとき、そのデータを使って何時間で診療を再開できるのか。
これがバックアップの目的です。
厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版」は2026年6月に公表され、バックアップを含む情報の保存性確保や、システム障害・サイバー攻撃を想定した復旧、BCPへの対応を求めています。また、厚生労働省はサイバー攻撃を想定したBCP確認表や手引きも公開しています。 (厚生労働省)
森田院長「バックアップを取ることがゴールではない、と」
佐伯「そうです。戻せて初めてバックアップです。」
実例――バックアップが診療再開を早めた鳴門山上病院
美咲「バックアップが本当に役立った病院もあるんですか？」
佐伯「あります。非常に分かりやすい事例があります」
2022年6月19日、徳島県の鳴門山上病院はランサムウェア「LockBit 2.0」の攻撃を受け、電子カルテと院内LANシステムが使用不能になりました。病院は翌20日の外来診療を再来患者に限定しました。 (鳴門山上病院)
ところが6月21日には、オフラインバックアップからサーバーを回復。翌22日から新規患者の受け入れを含む可能な範囲での通常診療を再開しました。 (鳴門山上病院)
徳島県の公表資料でも、攻撃から3日後に通常診療再開へ至った要因の一つとして、外部ネットワークとつながっていないオフラインバックアップを構築していたことが挙げられています。ネットワークから切り離されていたため、バックアップ側がサイバー攻撃の被害を受けず、電子カルテデータの早期復旧につながりました。 (徳島県公式サイト)
森田院長「攻撃そのものは受けた。でもバックアップが残っていた」
佐伯「そこが重要です」
美咲「バックアップは攻撃を防ぐ道具ではなく、攻撃された後に戻る道具なんですね」
佐伯「まさにそうです」
「同じサーバーにコピー」は安心材料になるのか
森田院長「うちもサーバーの中にバックアップがあるんじゃないかな」
佐伯「先生、もしそのサーバー自体がランサムウェアに暗号化されたら？」
森田院長「……一緒にやられる？」
佐伯「構成によっては、その可能性があります」
バックアップで大切なのは、「コピーが存在する」という事実だけではありません。
本体に何か起きたとき、そのコピーまで一緒に失われないかが重要です。
火災なら同じ部屋にある機器がまとめて被害を受けるかもしれません。
ランサムウェアなら、本番システムから常時アクセスできるバックアップへ攻撃が及ぶ可能性があります。
だから鳴門山上病院の事例では、「オフライン」という言葉が大きな意味を持ちました。
美咲「非常用の鍵を、金庫の中に入れておくようなものですね」
森田院長「金庫が開かなければ鍵も取れない」
佐伯「今日は美咲さんの例えの方が分かりやすいですね」
半田病院では電子カルテ停止が長期化した
佐伯「逆の方向からも見てみましょう」
2021年10月31日、徳島県のつるぎ町立半田病院がランサムウェア攻撃を受け、電子カルテを含む院内システムが使用不能となりました。厚生労働省の医療機関向けセキュリティ教材では、電子カルテシステムの停止によって診療に重大な影響が生じた事例として紹介されています。 (医療機関向けセキュリティ教育支援ポータルサイト)
この事件は、その後の医療機関の対策にも大きな影響を与えました。
実際、鳴門山上病院は前年の半田病院の被害を教訓に対策を強化し、オフラインバックアップを整備していました。徳島県資料では、それが翌年のランサムウェア被害からの早期復旧につながったとされています。 (徳島県公式サイト)
森田院長「隣の病院の事故を『大変だったね』で終わらせず、自院の仕組みを変えた」
佐伯「そうです。他院の事故報告書は、自院が事故を経験する前に読める教科書でもあります。」
バックアップがあっても「すぐ戻る」とは限らない
美咲「ではバックアップさえしっかりしていれば、数日で戻れるんでしょうか」
佐伯「そこも単純ではありません」
2022年10月31日にランサムウェア攻撃を受けた大阪急性期・総合医療センターでは、電子カルテを含む総合情報システムが利用不能となりました。
同センターでは、本体データとは別のハードディスク、LTOテープ、遠隔地保管のLTOテープなど、複数のバックアップが存在していました。それでも、基幹システムサーバーの再稼働まで43日、部門システムを含む診療システム全体の復旧まで73日を要しました。
森田院長「バックアップが複数あっても、そんなに？」
佐伯「ここが重要です。データを持っていることと、病院全体のシステムを安全な状態で復旧させることは別なのです。」
攻撃を受けたシステムでは、感染範囲を調べ、安全を確認し、サーバーや端末を再構築し、必要なソフトウェアを入れ直し、データを戻し、電子カルテだけでなく検査や会計など周辺システムとの連携も確認する必要があります。
大阪急性期・総合医療センターでは、約100台のサーバー、約2,200台の端末、多数の部門システムや医療機器が連携していました。単に「データをコピーして戻せば終了」という規模ではありませんでした。
美咲「つまりバックアップは必要だけれど、それだけでBCP完成ではない」
佐伯「その通りです」
診療所なら「昨日まで戻ればよい」のか
森田院長「うちなら大病院ほど複雑ではありません。でも、毎晩バックアップしていれば十分でしょう？」
佐伯「では今日の午後4時に故障したとします。昨夜の午前0時までしか戻せなければ、今日診た患者さんの記録はどうなります？」
森田院長「……最大16時間分消える？」
佐伯「そういう可能性を考える必要があります」
ここで院長が知っておきたい考え方が二つあります。
難しい英語を先に覚える必要はありません。
一つは、「どこまで過去に戻っても医院として耐えられるか」。
もう一つは、**「停止してから何時間で使える状態へ戻す必要があるか」**です。
前者はIT用語ではRPO、後者はRTOと呼ばれます。
森田院長「またアルファベットが出た」
佐伯「覚えなくても大丈夫です。院長先生ならこう聞けば十分です」
「障害が起きたら、何時間前までのデータに戻りますか？」
「電子カルテを使える状態に戻すまで何時間かかりますか？」
この二つです。
美咲「それなら私にも聞けます」
「毎日バックアップしています」はまだ半分の答え
電子カルテ会社から「毎日バックアップしています」と説明を受けると安心します。
しかし、それだけでは医院経営として十分ではありません。
午後5時に障害が起きた場合、どの時点まで戻れるのか。
バックアップは本体と同じネットワークから触れるのか。
別の場所にも存在するのか。
何世代残っているのか。
ランサムウェアに感染した状態までバックアップされてしまった場合、感染前まで戻れるのか。
復旧作業は誰が行うのか。
休日や夜間ならどうなるのか。
そして、最後に実際の復元試験をしたのはいつなのか。
これらまで分かって初めて、「バックアップがあります」の中身が見えます。
厚生労働省の関連ガイドラインでも、バックアップについて取得対象、取得頻度、保存方法・媒体、管理方法などを定め、記録内容に破壊等がないか確認する考え方が示されています。 (厚生労働省)
クラウド型電子カルテならバックアップを考えなくてよい？
森田院長「クラウド型なら、全部事業者側でバックアップしてくれるんじゃないですか？」
佐伯「その可能性はあります。ただし『クラウドだから自動的に安心』ではありません」
クラウド型では、医院が物理的なバックアップ媒体を管理しなくてもよい製品があります。
しかし院長が確認すべき質問は残ります。
どこまでバックアップされるのか。
何世代保存されるのか。
事業者側の障害時にどう復旧するのか。
復旧目標時間はどうなっているのか。
サービス自体が長時間利用不能になった場合、診療所はどう動くのか。
佐伯「クラウドにすると、バックアップという仕事をなくすのではなく、事業者へ任せる部分が増えると考えた方がいいでしょう」
森田院長「任せるなら、何を任せたか知らないといけない」
佐伯「第008話から先生も慣れてきましたね」
バックアップは「電子カルテだけ」でよいのか
美咲「電子カルテさえ戻れば診療できますよね？」
森田院長「いや、検査結果もいるな」
美咲「会計も」
佐伯「そこに気づくと、バックアップの見方が変わります」
現代の診療所では、電子カルテだけで仕事が完結しているとは限りません。
レセコン、予約システム、問診システム、画像、検査結果、文書、共有フォルダーなどに患者情報が分かれていることがあります。
電子カルテを復旧したのに、画像データが戻らない。
予約表がなくなった。
共有フォルダーの紹介状が消えた。
こうなれば、通常診療には戻れません。
「何をバックアップしているか」を医院全体で見る必要があります。
森田院長「電子カルテ会社だけに聞けば終わり、ではないんですね」
佐伯「はい。医院の情報がどこに存在しているかを先に知る必要があります」
USBメモリにコピーして机へ入れておけばよい？
森田院長「だったら私が毎週USBメモリにコピーして持って帰れば……」
佐伯「患者情報を私物のUSBへコピーするような運用は、新しいリスクを作るのでやめましょう」
森田院長「やっぱり？」
バックアップは「別の場所へコピーすれば何でもよい」という話ではありません。
医療情報には高い機密性が求められます。
紛失や盗難、不正持ち出しを防ぐ必要があります。
暗号化や媒体管理、アクセス制御、保管場所なども含めて設計しなければなりません。
つまり、サイバー攻撃から守るために作ったバックアップが、今度は個人情報漏えいの原因になるようでは困ります。
厚生労働省第7.0版ガイドラインは、バックアップだけを単独で考えるのではなく、医療情報システム全体の安全管理の一部として扱っています。 (厚生労働省)
復元テストをすると「本当の問題」が見える
佐伯「先生、一度ベンダーさんに頼んで復元テストについて聞いてみませんか」
森田院長「本番データを消して試すんですか？」
佐伯「そんな危険な方法ではなく、検証環境など安全な方法で、どういう復元確認ができるか相談するんです」
復元テストをすると、意外なことが分かります。
データは戻ったが、電子カルテソフトが動かない。
パスワードが分からない。
バックアップ媒体を読む機器が古くなっている。
復元作業が特定のベンダー担当者にしかできない。
休日は対応していない。
戻すのに想定以上の時間がかかる。
佐伯「こういう問題は、障害発生前に見つかれば単なる改善課題です」
美咲「障害発生後に見つかったら？」
佐伯「診療停止時間になります」
森田院長「同じ問題でも、見つける時期で意味が変わるんですね」
バックアップとBCPはセットで考える
森田院長「では復元できるバックアップがあればBCPは完成？」
佐伯「あと一歩です。戻るまでの間があります」
仮にバックアップから完全復旧できるとしても、復旧に6時間かかるなら、その6時間をどうするのでしょう。
受付は紙で行うのか。
診察記録はどこへ残すのか。
過去の処方歴はどう確認するのか。
会計はどうするのか。
復旧後、紙記録を誰が電子カルテへ入力するのか。
第007話「電子カルテが停止したら診療できるのか」で扱ったBCPが、ここでつながります。
バックアップは「元へ戻る手段」。BCPは「戻るまで医院をどう動かすか」。
両方が必要です。
美咲「救命ボートがバックアップで、救命訓練がBCPみたいなもの？」
佐伯「いい例えですね」
森田院長「今日は私の出番が少ないな」
院長がベンダーへ聞くべき質問は難しくない
森田院長「私はITの専門家ではないので、バックアップ仕様書を見ても分かりませんよ」
佐伯「仕様書を読む必要はありません。院長先生の言葉で聞けばいいんです」
「何がバックアップされていますか」
「最後に正常にバックアップできたのはいつですか」
「ランサムウェアで本体がやられても、そのバックアップは残りますか」
「何時間前の状態まで戻せますか」
「実際に戻すには何時間かかりますか」
「復元したことはありますか」
森田院長「それなら聞けます」
佐伯「この質問に明確に答えてもらえれば、自院のリスクがかなり見えるようになります」
「バックアップあり」に安心してはいけない
診療所の院長にとって、「バックアップあり」という言葉は安心材料です。
しかし、それだけでは医院が安全かどうかは分かりません。
鳴門山上病院では、ネットワークから切り離されたオフラインバックアップが早期復旧につながりました。 (鳴門山上病院)
一方、大阪急性期・総合医療センターの事件が示したように、複数のバックアップが存在していても、大規模な侵害を受けたシステム全体の安全な再構築には長い時間がかかることがあります。
つまり大切なのは、
バックアップがあるかではありません。
攻撃や障害を受けたあと、そのバックアップから安全に診療を戻せるかです。
最後に院長先生へ
森田院長「佐伯さん、今日から『バックアップありますか』とは聞かないようにします」
佐伯「では何と聞きます？」
森田院長「『バックアップから実際に戻したことがありますか』」
美咲「もう一つ。『何時間で戻せますか』」
佐伯「十分です」
サーバーの故障。
停電。
ランサムウェア。
操作ミス。
災害。
バックアップが必要になる理由はいくつもあります。
しかし、どの場合でも目的は同じです。
患者さんの診療を元に戻すこと。
だから院長先生へ、最後に一つだけ質問します。
「バックアップから実際に復元できることを確認したことがありますか？」
「ベンダーが取っています」
「毎晩バックアップしています」
「クラウドだから大丈夫です」
という答えなら、もう一歩確認してみてください。
このテーマは診療所医療DX診断の診断C・E・Gにつながります。電子カルテだけではなく、バックアップの保存場所、復元手順、ベンダーとの役割分担、復旧に必要な時間、そして復旧までの診療継続を確認します。
バックアップとは、データを残す保険ではありません。
診療を再開するための最後の出口です。
その出口が本当に開くのか。
事故が起きる前に、一度確かめておくことが大切です。
