Tweet

「自分ごと化」すべきＩＴ－ＢＣＰ策定の重要性～中小規模の病院や診療所に向けて～

宮城県保険医協会理事　八巻 孝之

　わずかの時間にもかかわらず診療システムが停止した結果、医療機関が大混乱に陥ってしまったという経験はないだろうか。今やシステムが動作しなければ医業は成り立たない。システム活用を進めるほど、システム停止時のリスクは高まることになる。災害など事前の予測が極めて難しい事態が起こったときでも、その損害を最小限に抑えるとともに、事業の中断を最小限に抑えるための方針や体制、手順を示した計画がＢＣＰ（Ｂｕｓｉｎｅｓｓ Ｃｏｎｔｉｎｕｉｔｙ Ｐｌａｎ）である（ 図 ）。そのリスク回避のために必要なのがＩＴ-ＢＣＰの策定である。

図：BCPの概念（内閣府防災の事業継続ガイドラインより抜粋：（https://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline03.pdf）

　　◇　　　　　◆　　　　　◇　　

　ＢＣＰが注目を浴びるきっかけとなったのは2001年のアメリカ同時多発テロであった。そして、２０１１年に発生した東日本大震災の際には多くの医療機関が一時的にでも医業停止に追い込まれるなど、改めてＢＣＰ策定の重要性が着目されることとなった。ＢＣＰは、基本方針の策定から教育・訓練の実施、見直しと多岐に渡るため容易にできるものではないが、東日本大震災を教訓に、ＢＣＰ策定は有事のとき以外にも多くのメリットがあることが理解されてきた。結果的に大規模な災害を期に注目されることになったBCPだが、近年はＩＴに特化したＢＣＰ対策も合わせて重要視されるようになった。
　システムを災害から守るというのはもちろんのこと、増加の一途をたどるサイバー攻撃からシステムを守るという視点も重要となる。つまり、地震や津波、火災や落雷などの災害に加えて、故障や誤動作、そしてサイバー攻撃までシステムの継続に影響を与えうるさまざまなリスクに対し被害の最小化と、必要な対策を計画することまでがＩＴ-ＢＣＰである。最近では、クラウドサービス上のＩＴサービスを利用する医療機関も多いことだろう。クラウド事業者は自社のシステム停止が業務継続を困難にすることもあり、入念なIT-BCP対策を講じていることが多い。クラウドサービス事業者の中には、事業継続性を高めるためにデータセンターを災害の多い日本ではなく海外に設置することや、国内外での冗長的な運用といった対策を講じている事業者もある。こうした対策により、クラウドサービスの利用、サイバー攻撃へのセキュリティ強化や大規模災害時のサービス提供継続を可能にしている。

　　◇　　　　　◆　　　　　◇　　

　具体的に、どのような手順でＩＴ-ＢＣＰを策定していけばよいのだろうか。自院で独自に策定していくのであれば、ＩＴ-ＢＣＰに限らず国や業界団体が公表しているガイドラインを参考にするといいだろう。経済産業省や内閣府が一般的な企業のＢＣＰ対策に対するガイドラインを公表しているほか、中小企業であれば中小企業庁の「中小企業ＢＣＰ策定運用方針」も役に立つ。日本自動車部品工業会や日本建設連合会、不動産協会といった様々な業界団体でもＢＣＰのガイドラインを公表している。ＩＴ-ＢＣＰであれば、令和３年４月に内閣官房情報セキュリティセンターが公表している「政府機関等における情報システム運用継続計画ガイドライン第３版」を参考にしてはどうだろうか。
　政府機関等における情報システム運用継続計画ガイドライン第３版（https://www.nisc.go.jp/pdf/policy/general/itbcp1-1_3.pdf）では、ＩＴ－ＢＣＰの策定手順を以下のように定めている。１. 基本方針の決定：ＩＴ－ＢＣＰの対象範囲を定めたうえで、優先するべき重要システムなど、関係者の間で基本方針。２. 実施・運用体制の構築：ＩＴ－ＢＣＰの対象範囲を踏まえつつ必要となる関係部署や指示命令系統やプロジェクトに関わるメンバー担当者を決定。３. 想定する危機的事象の特定：発生の確率と医業への影響を考慮して対象とするサイバー攻撃の危機的事象を決定。４. 被害状況の想定：被害を受ける場所が被害と状況を想定。５. 情報システムの復旧優先度の設定：非常時の優先業務を支えるシステムの洗い出し、目標復旧時間（ＲＴＯ：Ｒｅｃｏｖｅｒｙ Ｔｉｍｅ Ｏｂｊｅｃｔｉｖｅ）の設定。６. 情報システム運用継続に必要な構成要素の整理：ＩＴ－ＢＣＰ対策システムに必要な要素（ネットワーク、データベース、ハードウェア）の整理と復旧目標レベルの設定。７. 事前対策計画の検討：現状の情報システム環境のある脆弱性を把握し予算等を考慮した具体策を要素（ネットワーク、データベース、ハードウェア）ごとに検討。８. 非常時の対応計画の検討：復旧するべき情報システムの優先順位、復旧手順、責任者や担当者を決めて非常時の運用体制を整備。９. 訓練・維持改善計画の検討：取り組むべき訓練の内容や対象範囲を定めて訓練を実施し修正・改善を追加。今回参考にしたＩＴ－ＢＣＰガイドラインは、各省庁での取り組み状況を公開した資料である。細部までルールに落とし込まれており、医療機関の規模を問わずＩＴ－ＢＣＰ策定にあたって十分参考にできるものと考えられる。
　加えて、ＩＴ－ＢＣＰの対策の焦点を絞ってみる。最も基本的なＩＴ－ＢＣＰ対策がバックアップである。バックアップを取得しておけば、万が一サイバー攻撃などでデータ消失やウイルス被害にあったとしてもデータを元通りに復旧することができる。データのみをバックアップするのではなく、システム全体のイメージバックアップを取得しておけば障害発生時の復旧も迅速化が可能となる。バックアップの時間を短縮するための工夫として、フルバックアップをとったあとは差分のみをバックアップするなども必要であろう。ただし、取得したバックアップデータをサーバーと同じ場所においておくことは障害時に迅速なデータ復旧を可能とする半面、災害発生時に建物が倒壊してしまった場合にサーバーと一緒にバックアップデータを喪失してしまうことにもなりかねない。このため、バックアップデータの遠隔地への配置も考慮する必要が生じる。近年では、バックアップをクラウド上にもたせる、クラウドバックアップという手法も登場しており、有効な対策のひとつといえそうである。さらに、同じシステムを二系統構築し稼働系と待機系に分けておくことも有用である。稼働系と待機系は、リアルタイムにデータ同期させ異なる拠点で運用し、これにより障害発生時にはバックアップデータの復旧といった手間や時間をなくし、稼働系やから待機系に切り替えるだけでシステムの継続が可能となる。その分コストも膨らむことになるが、最近のクラウドシステムには、このようなシステムの多重化がサービスの中に標準的に装備されている例がある。

　　◇　　　　　◆　　　　　◇　　

　サイバー攻撃は巧妙化・高度化し続けている。ターゲットも大病院にとどまらず、規模が小さな診療所でも安心することはできない。重要なことは、サイバー攻撃での被害を最小限に抑えるセキュリティ対策を講じ、仮にサイバー攻撃を受けても事業を存続できる備えをすることであろう。ＩＴ－ＢＣＰは必須の対策といえるのではないだろうか。もちろん、ＩＴ－ＢＣＰを策定するためには組織的な対応が必要となり、投資負担も決して少なくない。加えて、サイバー攻撃や大規模災害はいつ発生するかわからないため、経営的にはＩＴ－ＢＣＰへの投資が利益を生み出さないコストとみなしがちである。しかし、有事が発生した時に事業が停止すれば、住民からの信頼を失いやすく、医業の存続は危機的になる可能性は否めない。
　自治体には、ＢＣＰ対策を推進するための助成金・補助金のほか、ＢＣＰ関連ツールやクラウドサービスの導入に利用できる「ＩＴ導入補助金」と「テレワーク促進助成金」などがあり、上手に活用したいものだが、受け取る対象は各自治体で大きく異なっている。医業のシステム依存度が高まっている中、いつまでも「想定外」では済まされない。有事における行動を変えるために、平時にIT-BCPの重要性を「自分ごと化」することが重要となった。