医療機関・クリニックのBCP対策とは？策定のポイントと医療データ・医用画像を守る方法を解説

地震や台風、豪雨などの自然災害が発生した際、医療機関には自施設も被災する可能性があるなかで、必要な診療を継続することが求められます。また、近年は自然災害だけでなく、サイバー攻撃やシステム障害によって電子カルテや医用画像などの診療情報が利用できなくなるリスクも考えておかなければなりません。

こうした非常事態に備え、限られた人員や設備のなかでも重要な業務を継続・早期復旧するために策定するのがBCP（Business Continuity Plan：事業継続計画）です。

令和8年度診療報酬改定では、一部の施設基準にBCPの策定や定期的な見直しが追加されるなど、クリニックを含め、医療機関における備えの重要性はさらに高まっています。

本記事では、病院で診療放射線技師として14年間勤務し、現在は医療機関のクラウドPACS導入を支援している株式会社エムネスの下岡 将吾が、医療機関におけるBCPの基本から策定時に確認したいポイント、医療情報システムやCT・MRIなどの医用画像を守るための考え方まで解説します。

BCPとは「Business Continuity Plan」の略で、日本語では「事業継続計画」と呼ばれます。

地震や水害などによって通常どおりの業務ができなくなった場合でも、重要な機能をできる限り維持し、停止した業務を早期に復旧するために、平時から対応方針や体制を定めておくものです。

医療機関の場合、一般企業の事業継続に加えて、患者への医療提供や地域の診療体制を可能な範囲で維持することが大きな目的となります。

BCPと防災対策は密接に関係していますが、目的は少し異なります。

防災では、災害による人的・物的被害をできる限り防ぐことが中心です。例えば、避難経路の確保、家具や医療機器の転倒防止、備蓄品の準備などが挙げられます。

一方、BCPでは被害が発生することも前提として、「その状況で何を優先し、どのように診療を続けるか」「停止した機能をどう復旧させるか」まで考えます。

医療機関では、建物が無事でも、スタッフが出勤できない、電気や水が使えない、電子カルテやPACSが停止するといった状況によって診療機能が大きく低下する可能性があります。

そのため、設備を守るだけでなく、被災後も必要な医療を提供できる体制まで設計しておくことが重要です。

厚生労働省の「医療施設の災害対応のための事業継続計画（BCP）」でも、優先業務、診療情報の維持、外部機関との連携、職員への教育・訓練、通常診療への復帰など、発災後の業務継続を含めた項目が示されています。

すべての病院・クリニックに対して、一律にBCPの策定が法的に義務付けられているわけではありません。

一方で、医療機関の役割や届け出ている施設基準によっては、業務継続計画の整備が要件となっています。

災害拠点病院については、2017年に指定要件が改正され、被災後に早期の診療機能回復を図るためのBCPを整備することや、その計画に基づいた研修・訓練を実施することが要件として明記されています。

一方、厚生労働省では災害拠点病院以外を対象とした「医療機関（災害拠点病院以外）における災害対応のためのBCP作成の手引き」やチェックリストも公開しており、自施設の立地や診療機能などに合わせて内容を検討することが推奨されています。

クリニックが特に確認しておきたいのが、令和8年度診療報酬改定です。

今回の改定では、「機能強化加算」の施設基準に、医療機関の実情に応じた業務継続計画を策定し、必要な措置を講じること、定期的に見直すことが追加されました。

また、在宅療養支援診療所・在宅療養支援病院についても、災害時に在宅患者への医療提供体制を確保する観点から、BCPの策定と定期的な見直しが施設基準に加えられています。

ただし、2026年3月31日時点ですでに該当する届出を行っている医療機関については、BCPに関する新要件に2027年5月31日までの経過措置が設けられています。

したがって、「2026年度からすべてのクリニックでBCP策定が義務化された」という理解は正確ではありません。

まずは自院が届け出ている施設基準を確認し、必要な対応を整理することが重要です。それとは別に、災害やシステム障害によって診療が停止するリスクを考えれば、施設基準の対象外であっても平時から備えを検討しておく意義は大きいでしょう。

業務継続を考える際は、一つの災害だけを想定するのではなく、「何が起きると自院の診療が止まるのか」という視点でリスクを洗い出すことが大切です。

特に医療機関では、次のような事象を想定しておく必要があります。

大規模地震では建物や医療機器の損傷、停電、断水、交通網の寸断などが同時に発生する可能性があります。

また、河川氾濫や内水氾濫などによる浸水では、地下・低層階に設置した電源設備やサーバー、医療機器が被害を受けることも想定されます。

自院の所在地にどのような災害リスクがあるのかを確認し、それを前提として計画を作成する必要があります。

電子カルテやPACSをはじめ、多くの医療情報システムは電力やネットワークを前提として稼働しています。

非常用電源をどの機器へ供給するのか、停電が長時間続いた場合にどうするのか、インターネット回線が使用できない場合に代替通信手段を用意できるかなどを確認しておきます。

厚生労働省のBCPチェックリストでも、固定電話等が使用困難な場合の通信手段や、電子カルテが使用できない場合の診療維持などが確認項目として示されています。

感染症が拡大した場合には、建物やシステムそのものが被災していなくても、医師や看護師などの出勤が困難になる可能性があります。

限られた人員で優先する診療は何か、担当者が不在でも意思決定できる体制になっているかなど、人員面からの業務継続も考えておく必要があります。

近年は、自然災害だけでなくサイバー攻撃による医療情報システムの停止もBCPの対象として考える必要があります。

厚生労働省は医療機関向けに「サイバー攻撃を想定した事業継続計画（BCP）」の確認表、手引き、ひな形を公開しており、2026年6月公開の「医療情報システムの安全管理に関するガイドライン 第7.0版」の関連資料として案内しています。

災害とサイバー攻撃では原因は異なりますが、「必要な情報やシステムが利用できなくなった際にどう診療を続けるか」という点では共通しています。

業務継続計画は単に文書を作成することが目的ではありません。

実際の非常時に機能させるためには、「人」「設備」「物資」「情報」など、診療を支える要素ごとに現状を確認し、不足している部分を整理していく必要があります。

まず確認したいのが、非常時に誰が意思決定を行うかです。

院長や責任者が不在の場合の代行者、スタッフへの連絡手段、出勤可能な人員に応じた役割分担などを事前に決めておきます。

特に少人数で運営しているクリニックでは、一人が不在になる影響も大きいため、「誰かがいなければ動けない」という体制を避けることが重要です。

診療に必要な医療機器やシステムを洗い出し、停電時にどこまで使用できるのかを確認します。水や通信についても同様です。

災害発生時にすべての機能を通常どおり維持することは難しいため、優先して維持すべき診療機能を決め、それに必要な設備や手段を整理しておく必要があります。

薬剤や診療材料などについても、供給が一時的に停止するケースを想定します。

平時の在庫だけでどの程度対応できるのか、代替品を確保できるのか、外部の事業者や地域の医療機関とどのように連絡を取るのかなどを確認しておきます。

現在の医療現場では、診療情報の多くが電子化されています。電子カルテや予約システムが使用できない場合の代替方法に加え、PACSが停止した場合に過去のCT・MRI画像をどのように確認するかなど、情報システムごとに対応を整理する必要があります。

厚生労働省のサイバーセキュリティ対策チェックリストでも、インシデント発生時に診療継続に必要な情報を検討し、データやシステムのバックアップと復旧手順を確認することが示されています。

BCPは一度作成して終わりではありません。実際に訓練を行うと、「担当者しか手順を知らない」「連絡先が古くなっている」「想定した代替手段では業務が回らない」といった課題が見つかることがあります。

厚生労働省の作成手引きでも、訓練による検証結果や環境の変化に応じて定期的に計画を書き直し、その記録を残すことが推奨されています。

当社が2025年8月、全国の医療関係者443名を対象に実施した「BCP（事業継続計画）対策に関する意識調査」では、勤務先で「BCP対策を行っている」と回答した割合は35.5％にとどまり、実際の医療現場では十分に準備できていないケースもあります。

クリニック勤務者に限ると実施している割合は2割未満で、「対策を行っておらず、かつ策定予定もない」との回答は46.6％となっています。

小規模な医療機関では、専任の担当者を配置しづらい、予算を確保しにくいなどの事情も考えられます。だからこそ、最初からすべてを整えようとするのではなく、自院にとって診療への影響が大きい項目から優先順位をつけて取り組むことが現実的です。

※本調査は全国の医療関係者443名を対象としたインターネット調査であり、国内すべての医療機関の策定状況を示すものではありません。

医療情報システムの業務継続では、データを「失わない」ことだけでなく、非常時にも必要な情報を診療に使える状態にできるかまで考える必要があります。

これは特にCTやMRIなどの医用画像で重要です。なぜなら、医用画像は情報量も大きい代償にデータ容量が大きくなりやすいからです。

電子カルテに記録される文字情報と比較すると、CTやMRIなどのDICOM画像は1検査あたりのデータ量が大きくなりやすく、長期間蓄積すると保存容量も増加します。そのため、すべての画像を別環境へ複製するには、ストレージ容量やネットワーク負荷、費用などを考慮する必要があります。

しかし、診療では現在の画像だけでなく、過去画像との比較が重要になるケースがあります。例えば、過去にも存在していた所見なのか、新たに生じた変化なのかを判断するうえで、以前のCTやMRIが重要な情報になるケースです。

したがって、「画像を失わない」だけではなく、災害時にも過去画像を参照できる状態になっているかも考えておく必要があります。

PACSサーバーをRAID構成にすることは、ハードディスクの故障などによる停止リスクを下げるうえで有効です。

しかし、RAID自体は施設全体の被災に備える仕組みではありません。メインサーバーとバックアップを同じ建物内に設置している場合、水害や火災などにより、両方が被害を受ける可能性があります。

また、ネットワーク経由で被害が広がるランサムウェアなどを考慮すると、「バックアップがあるか」だけでなく、バックアップ先まで同時に影響を受けない構成になっているかを確認する必要があります。

厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル」でも、重要なファイルについて複数方式で世代管理し、3世代目以降をオフラインにするなどの対策が望ましいとされています。

もう一つ見落としやすいのが「復旧時間」です。

データが別媒体に保存されていても、PACSが停止したあとにデータを取り出し、新しいシステムへ戻すまでに時間を要するのであれば、その間は診療に活用できません。

本記事の監修者である下岡自身も、診療放射線技師として病院に勤務していた際、システム障害時に光ディスクへ保存していた過去画像を探し、復元する作業を経験しています。限られた検査であっても、媒体を探し、必要な画像を戻す作業には手間がかかります。大規模な障害では、対象となるデータも増えます。

そのため、医用画像のBCPでは、データが残っているかだけでなく、どの程度の時間で検索・閲覧できる状態へ戻せるかまで確認しておくことが重要です。

医用画像を院内だけで保管するリスクを分散する方法の一つが、クラウドの活用です。

クラウド上にも画像を保存しておけば、院内サーバーや端末が被災した場合でも、クラウド側のデータまで同時に失うリスクを分散できます。

ただし、クラウドを導入すれば、それだけでBCPが完成するわけではありません。

災害時にクラウドへ接続するための通信環境、サービス提供事業者側の安全管理、障害発生時の役割分担なども事前に確認する必要があります。

2026年6月に公開された厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」では、新たに「保守委託機関編」が設けられており、外部事業者へ委託する場合の役割分担や管理も重要な論点となっています。

また、クラウドサービスを検討する際には、データの保管方法だけでなく、非常時にどう利用するかも確認が必要です。

例えば、バックアップデータをクラウドへ保存していても、障害発生後に大量のファイルを一度ダウンロードし、新たなPACSへ復元しなければ画像を確認できない仕組みでは、診療再開まで時間を要する可能性があります。

一方、バックアップ先にビューワ機能があり、通信環境と端末が確保できれば画像を検索・閲覧できる構成であれば、復旧方法の選択肢が広がります。

重要なのは、クラウドに保存できること自体ではなく、非常時にどのような手順で必要な医療情報へアクセス・閲覧できるのかを平時から確認しておくことです。

BCP対策のために現在利用しているPACSをすべて入れ替えることが、すべての医療機関にとって現実的とは限りません。

例えば、既存のオンプレミスPACSを日常診療ではそのまま使用しながら、画像データをクラウドへ自動転送するハイブリッド構成にするのも、有効な選択肢のひとつです。

ハイブリッド構成であれば、平時の操作や業務フローを大きく変えずに、別環境にも医用画像を保存できます。

また、大量の過去画像を保有している場合、必ずしも初めからすべてをクラウドへ移行する必要はありません。

例えば、

• 直近3年または5年分から始める
• CT・MRIなど優先度の高い検査を先に保存する
• 新たに撮影する画像から順次クラウドへ転送する

といったように、自院の診療内容や必要性を踏まえて段階的に進める方法もあります。

どのデータをどこまで残す必要があるかは施設ごとに異なるため、非常時に優先して参照したい情報を整理したうえで設計しましょう。

実際に豪雨による浸水被害を受けた際、クラウド上に保存していた医用画像を診療再開時に活用できた事例があります。

被災したクリニックは建物の一部が浸水し、院内のパソコンや医療機器などが被害を受けました。

院内だけに画像サーバーを置いていた場合、サーバーそのものが被害を受ければ、機器の再調達に加えてデータ復旧が必要になる可能性があります。しかし、この医療機関では、当社のクラウドPACS「LOOKREC」を利用していたため、院内機器とは別の環境に過去の医用画像が保存されていました。

建物の復旧や端末などの再調達後、院内サーバーから大量の画像を復元する作業を行わず、クラウド上に残っていた過去画像を参照できる環境を再構築できました。

この事例からも、BCPを考える際には単に「バックアップが存在するか」ではなく、被災後にどのような手順で診療環境へ戻れるかまで確認しておくことが重要だと分かります。

LOOKRECは、DICOM画像をクラウド上で保存・管理し、Webブラウザから閲覧できる医療情報管理共有システムです。

既存PACSを利用している医療機関では、画像転送用の端末を介してDICOMデータをLOOKRECへ自動転送し、既存環境を残したままサブPACS・バックアップ先として利用する構成も可能です。

なお、小規模な医療機関では、LOOKREC自体をメインPACSとして利用されるケースがほとんどです。

BCPという観点で重要なのは、単純に画像を院外へ複製することではありません。

平時から、院内システムに障害が発生したときに、以下のような観点を確認しておくことが大切です。

• どこに画像が保存されているか
• どの端末からアクセスできるか
• 過去画像を検索・閲覧できるか
• 通信障害時にはどのように接続手段を確保するか
• システム復旧後にどのように通常運用へ戻すか

BCPを構成する一つの手段として、自院の既存システムや診療体制と組み合わせながらクラウドPACSを検討する必要があります。

医療機関・クリニックのBCPでは、災害を防ぐことだけではなく、被害が発生した状況でも「どの診療を優先し、どのように医療提供を継続・復旧するか」を具体的に考えておくことが重要です。

そのためには、人員体制、電力・水・通信、医薬品や医療材料、電子カルテやPACSなどの医療情報システムまで、自院の診療を支えている要素を一つずつ確認する必要があります。

特に医用画像はデータ量が大きくなりやすく、過去画像との比較が診療上重要になる一方で、保存や復旧に手間がかかる場合があります。バックアップを取得しているかどうかだけではなく、災害やシステム障害が発生した際に「必要な画像を使える状態にできるか」まで確認しておきましょう。

すべてを一度に見直すことが難しい場合は、診療への影響が大きいシステムやデータから優先順位をつける方法もあります。

令和8年度診療報酬改定によって一部の施設基準にBCPの策定・見直しが追加されたことも踏まえ、自院が届け出ている施設基準を確認するとともに、非常時にも必要な診療を続けられる体制になっているか、一度見直してみてはいかがでしょうか。