徳島県 つるぎ町立半田病院 つるぎ町 病院事業管理者の須藤様に、半田病院が昨年サイバー攻撃を受けた際の当時の様子、や今後の対策についてお話をお伺いしました。
須藤様には、現在公開中の診療所マネジメントEXPOにご登壇いただきます。
診療所マネジメントEXPO講演内容をお聞かせください
講演タイトル『患者様に安心を届けるためクリニック院長にお伝えしたいこと～半田病院サイバー攻撃から1年～』
当院では、2021年10月31日にサイバー攻撃をうけ、同日にその事件を公表して以降、これを記録し有識者に検証していただいております。その内容を公開することで他の医療機関が、このような被害に遭われないことを願って講演をお引き受けいたしました。
サイバーセキュリティに関心をお持ちの先生だけではなく、「自分は、紙カルテだから関係ない」とお考えの先生でも、自院のレセプトデータを送信していれば、サイバーセキュリティに関心を持つことは必要です。
今後、マイナンバーカードによる個人認証の必要性からインターネットと切り離した病院運営は、できなくなることが予想されますので、やはり、サイバーセキュリティには関心を持つことは、必要なことだと思います。
本講演をご覧いただき、サイバー攻撃を受けたときの様子や対策について参考になれば幸いです。
診療所マネジメントEXPOログインページへ
サイバー攻撃を受けた当初の様子を教えてください
深夜に電源の入っている全てのプリンターから犯行声明が印刷され異変に気づいた
当院がサイバー攻撃を受けたのは、2021年10月31日午前0時30分頃でした。病院内の電子カルテに接続され電源が入っている全てのプリンターから英文の犯行声明が印刷されました。看護師が異変に気づき、電子カルテも動かないことを確認し当直医に報告。午前3時頃、当院のシステム担当者が駆けつけ対応を開始しました。この時点で、全てのシステムが使えなくなっていることが判明しました。
午前8時頃、事務長から当院上層部に連絡が入り県警のサイバー犯罪対策室へ連絡をしました。当院は災害拠点病院ですので災害対策用のBCPに基づいて災害対策本部を立ち上げました。
午後4時頃には、県内の報道機関に記者会見を行いました。
サイバー攻撃を受けた際、外来診療はどのように運用されたのでしょうか
紙カルテでの運用
講演でもお話しますが、サイバー攻撃を受けた当初は、外来については予約再診の患者さんのみ。2、3週間経った頃に小児科、産科の通常診療を開始し、その他の科も１ヶ月後以降、体制が整ったところから通常の診療を再開いたしました。
受付カウンターの前に机を置き、内科・外科等の表示を設置し、来院される方、お一人お一人に職員が寄り添って聞き取りをして受付をし、紙カルテに手書きで氏名等を記載してご用意する形でした。（普段受付業務をしていない他部門のスタッフも集めての人海戦術で対応しました）
診察に際しては、これまでの診療内容の聞き取りをすると共に、門前薬局から過去の処方歴、以前の紹介状のコピー・入院要約など、紙ベースで残るその方の病歴をできる限り、かき集めて対応しました。
患者さんにもこれまでの検査結果・お薬手帳などをお持ちいただくようにお願いしておりました。
診療報酬の計算はできない状況でしたので、紙カルテには指導管理料などの診療報酬請求の下となる記録が漏れないように記載しておく必要がありました。電子カルテの際には、クラークが対応していてくれたことも、医師がすべて記載する必要があり、普段行っていない業務であり大変でした。
電子カルテが機能しない中でスタッフの方たちから挙がった困りごとを教えてください
普段行っていない業務が多く発生した
手書きの検査依頼などで、読めないものがあったり、ID番号の転記ミスがあったり、また、検査結果を紙カルテに貼り付ける方法が各人バラバラであったりなどの問題もありましたが、一番大きな電子カルテとの違いは、紙カルテを持ち出されるとその人のみしかカルテをみられない状況になるため、他の作業や入力ができないことが非効率であり、大きな問題でした。
その他、スタッフの様子は、通常と異なる業務に疲れ果て、イライラしている姿が見て取れました。
紙カルテの記録に慣れていない
・記載の仕方がわからない。整理ができない（置く場所が沢山必要で部屋が狭くなる）。手間がかかる等。
・誰かがカルテを持ちだしていると他のスタッフが確認できない。書類が増加。
・細かい紙カルテの運用が統一されていない。どこまで物品請求していいのか分からない。
・身体への影響、手の疲労、パソコン入力に慣れており、文字が出てこない。誤字・脱字が多く時間をとられる。
・患者ファイルにプロファイル、入院時医師指示をプリントアウトしておいてよかった。各個人の申し送りのメモやリーダー板（個々の患者情報の宝庫）が役に立った。
災害訓練で紙カルテでの運用を練習していましたが、難しく感じたスタッフが多く、12月医療安全委員会報告数23件中19件が紙カルテ運用でのミスでした（ノリ・Box・手渡しケース・ID入力等）。
その他には以下のようなことが挙げられました。
・生命保険診断書、傷病手当、介護保険主治医意見書などの作成の際に、初診日が不明で作成できない。
・あと何人で受付が終了か、今患者が検査中、診療中なのかも不明。
・他科受診等の情報共有（内服薬、アレルギー等）ができない。
・明日来る予約患者がだれか不明。電話対応に困る。検査情報も不明。
・本人確認がしづらい。(例)入籍して姓が変わっているのに旧姓での予約をしており、検索にかからない。
・カルテの検索が一苦労（手作業でカルテのボックスから探す）。
・検査を延期できるかを外来に一度行っていただかなくてはいけないので患者に負担あり。
・事情を知らずに来院した患者への説明や理解を得ることが難しかった。
・転院時に必要な退院証明が発行できない。
・入院受け入れを断るも、他院からの受け入れ要請が数件あった。押しが強く断る理由を伝えることに難渋した。
・患者情報を得るため過去の紹介状を探す作業が必要、患者自身からの情報が実際とは異なることも多く難渋。
サイバー攻撃対策としてどのように再発防止に取り組まれていますか
新たな電子カルテシステムの作成
現在、有識者会議のメンバーの指摘を基に、当院の電子カルテのベンダーとシステムを構築したベンダーも交え、新たな電子カルテシステムの作成に取り掛かっているところです。
この経過・詳細については、追って有識者会議報告書の第二版（仮）としてご報告する予定です。具体的内容は、それをご参照ください。
目標は来年度よりの新規運用を目指しております。
クリニックの先生に伝えたいことを教えてください
自院のセキュリティ状況を確認。緊急事態を想像し、対応する方策を書き出す。
サイバーセキュリティは医療機関にとっても大きな問題であることが再認識されました。まだ、具体的には述べられませんが、国を含め様々な団体・企業が動き出そうとしています。
もし、何をしたらいいかがわからなければ、まずは、ご自身のクリニックのシステムを入れた業者に問い合わせをして、当院の報告書にあるような事態にはならないようにできているのかを確認することも必要と思います。
また、BCPに関しては、まずは、机上訓練でもいいから緊急事態を想像し、対応する方策を書き出すことから始めてみてはと思います。
ひと・金・モノが足りなくても、少しでもセキュリテイマネジメントシステムの構築に向けて少しでも歩みだす必要があります。
復旧に際しては、忙しい部署・忙しい人は時期により異なる。いつもとまったく違う仕事をしないといけない。不平不満もたまります。スタッフの声を聞く耳を持つことが大切だと思います。
もし、ご質問等ございましたら、診療所マネジメントEXPOにてお問い合わせいただければと思います。
皆様のサイバーセキュリティの参考になれば幸いです。
プロフィール
徳島県 つるぎ町立半田病院 つるぎ町 病院事業管理者
須藤 泰史 氏
1962年生まれ、大阪府出身
1986年 3月 徳島大学医学部医学科卒業
1986年 5月 徳島大学医学部泌尿器科学教室へ入局
以降、関連施設での研修
1995年 4月 徳島大学医学部附属病院助手（泌尿器科）
1999年 4月 徳島大学医学部附属病院講師（泌尿器科）
2001年 4月 徳島大学医学部講師（泌尿器科学講座）
2003年 6月 町立半田病院 泌尿器科医長
2013年 9月 つるぎ町立半田病院 病院長
2020年 1月 つるぎ町 病院事業管理者（つるぎ町立半田病院 病院長兼任）
2020年 4月 つるぎ町 病院事業管理者 現在に至る
【所属学会・資格】
日本泌尿器科学会（専門医・指導医） 日本透析学会（専門医）
地域包括医療・ケア認定医
総合診療専門研修特任指導医
徳島大学 総合医学分野 臨床教授
徳島県災害医療コーディネーター 平成29年度徳島DMAT研修終了
【主な役職】
全国国民健康保険診療施設協議会 徳島県協議会会長
全国国民健康保険運営協議会 徳島県運営協議会副会長（医師部会長）