医療情報技師能力検定試験 病院情報システムの導入と運用 練習問題 第22問: 病院の医療情報システム部門が、厚生労働省の「医療情報システム部門等におけるBCPのひな形」（令和6年6月）をもとに、サイバーインシデントに備えた事業継続計画（B

業務ごとに代替手段を定め、定めた回数以上の教育・訓練を行う肢1が適切です。厚生労働省「医療情報システム部門等におけるBCPのひな形」（令和6年6月）は、2.1.5で業務ごとの代替手段（診療録等は紙運用など）を定め、2.2.3で「年〇回以上の教育、訓練を実施する」としています。

ひな形はサイバーインシデントの計画で、自然災害や大規模停電による電源喪失などの計画は別に定めるとしています（1.3.2）。被害拡大防止は、まずバックアップに通じるネットワークを遮断し、次に外部の通信経路を遮断する順です（3.3.2）。

縮退運転（機能を絞った運転）や運転中止は、安全管理責任者の提案を受けて経営層が判断し、逆ではありません（3.4.1）。計画は経営層の承認を受けたうえで、部門の職員に限らず全職員に開示周知します（1.4）。

サイバー攻撃のBCPは、提案は安全管理責任者・判断は経営層と役を分け、業務ごとの代替手段と訓練を定めておきます。