（１）短期的な医療機関におけるサイバーセキュリティ対策
① 医療機関向けサイバーセキュリティ対策研修の充実

【取組事項】

予防対応

－ 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発生時初動対応支援・調査事業一式」を８月19日より公示開始。本事業により、医療従
事者や経営層等へ階層別のサイバーセキュリティ対策に関する研修の実施や、本事業において作成されるポータルサイトを通じた研修資材の提供により、医療
従事者や経営層等のサイバーセキュリティ対策の意識の涵養を図る。

② 脆弱性が指摘されている機器・ソフトウェアの確実なアップデートの実施

－ 医療法第25条第１項の規定に基づく立入検査の実施により確認を行う。また、例年発出している「医療法第25条第１項の規定に基づく立入検査の実施につ
いて」（医政局長通知）において、令和４年度はサイバーセキュリティ対策の強化に関する事項について記載した。令和４年度中に医療機関等の管理者が遵守
すべき事項に位置付けるための省令改正を行う。
－ NISCより情報提供のあった脆弱性情報について、医療セプターを通じた情報提供を引き続き行う。

③ 医療分野におけるサイバーセキュリティに関する情報共有体制（ISAC）の構築

－ 他分野のISAC関係者の協力を得つつ、医療関係者数名のコアメンバーによる検討グループを年内に立ち上げる。

④ 検知機能の強化

－ 不正侵入検知・防止システム（IPS／IDS）の設置・活用を進めるよう、医療情報システムの安全管理に関するガイドライン改定の検討を行う。

⑤ G-MISを用いた医療機関への定期調査の実施

－ 医療機関に対するサイバーセキュリティ対策の実態調査を令和４年度中に実施する。

【質問項目（例示）】
・医療法に基づく立入検査の留意事項を認識し、必要な措置を講じているか。
・（許可病床数が400床以上の保険医療機関に対して）診療録管理体制加算の見直しを受けて、専任の医療情報システム安全管理責任者を配置しているか。

① インシデント発生時の駆けつけ機能の確保

初動対応

－ 200床以下の医療機関に対し、サイバーセキュリティお助け隊の活用を促進するための周知・広報を行う
－ 200床以上の医療機関に対し、 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発生時初動対応支援・調査事業一式」において、サイ
バーセキュリティインシデントが発生した医療機関の初動対応支援を行う。

② 行政機関等への報告の徹底
－ 医療情報セキュリティ研修およびG-MIS調査を通じ、医療情報システムの安全管理に関するガイドラインに基づいた厚生労働省への報告の徹底や、個人情
報保護法改正に伴う個人情報保護委員会への報告義務化の周知を図る。
－ 厚生労働省より、医療情報システムの安全管理に関するガイドラインに基づいて医療機関より報告のあったサイバーインシデント事案について、攻撃先が
同定されない程度に報告内容を適時情報提供し、攻撃手法や脅威について分析を行い、全国の医療機関へ情報発信・注意喚起を行う。

① バックアップの作成・管理の徹底

復旧対応

－ 医療情報セキュリティ研修およびG-MIS調査を通じ、バックアップの具体的な作成が明記された医療情報システムの安全管理に関するガイドライン（５．２
版）の周知を行う。
－ 令和３年６月28日発出「医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)」の記載事項に留意し、データ・システムのバック
アップを行う。
－ 令和4年度診療報酬改定における診療録管理体制加算に係る報告書（７月報告）により、バックアップ保管に係る体制等の確認を行う。

② 緊急対応手順の作成と訓練の実施

－ 「医療情報セキュリティ研修及びサイバーセキュリティインシデント発生時初動対応支援・調査事業一式」において、サイバーセキュリティインシデントが
発生した際の対応手順の調査を行い、適切な対応フローの整理を行う。また、整理した対応フローをもとにサイバーセキュリティインシデントに備えたBCPの
提案を行う。
2