メインコンテンツに移動
基礎解説 第13回 AIGIS Cyber Lab

異常を見つけたら、まず何をする？｜連絡と初動判断の基本

監修・作成：AIGIS編集部 難度：入門

システムを利用していて、いつもと違う動きに気づくことがあります。

例えば、

  • 覚えのないログイン通知が届いた
  • 管理者アカウントが普段と違う時間に使われていた
  • システムの設定がいつの間にか変更されていた
  • 保守予定のない時間帯に外部接続があった
  • 医療機器や業務システムに、見慣れない警告が表示された

といった場合です。

こうした出来事が、すべてサイバー攻撃によるものとは限りません。

設定ミスや通常の保守作業、機器の故障が原因かもしれません。

しかし、
「たぶん問題ないだろう」
と放置してしまうと、重要な異常を見逃す可能性があります。

では、何かおかしいと気づいたとき、最初に何をすればよいのでしょうか。

今回は、異常に気づいた人が、適切な担当者へ情報をつなぎ、必要な対応を判断できるようにするための基本を整理します。

異常の発見と、インシデントの確定は違う

例えば、深夜に管理者アカウントが使用されたという記録があったとします。

その時点では、正当な保守作業だった可能性もあります。

一方、不正にアカウントを利用された可能性もあります。

重要なのは、発見した人がその場ですべてを判断する必要はないということです。

まず事実を確認し、適切な担当者へ報告することが大切です。

報告を受けた担当者が、通常の運用や保守予定などと照合し、必要な調査や対応を判断します。

「異常かもしれない」という段階で報告できることが、早期対応の出発点になります。

まずは何が起きたかを記録する

異常に気づいたとき、最初から原因を特定する必要はありません。

まずは、分かっている事実を整理します。

例えば、

  • いつ気づいたか
  • どの機器やシステムで起きたか
  • どのような表示や動作があったか
  • 直前にどのような操作を行ったか
  • 業務や診療に影響が出ているか
  • すでに誰かへ連絡したか

といった情報です。

画面の表示内容やエラーメッセージが分かれば、それも調査に役立ちます。

ただし、画面の撮影や記録の共有には注意が必要です。

患者情報や個人情報が含まれる場合、個人のメッセージアプリや私物端末など、許可されていない方法で共有してはいけません。

組織が定めた方法で記録・共有します。

また、原因を調べようとして、勝手にログを削除したり、設定を変更したりしないことも大切です。

報告先を探すところから始めない

異常を発見しても、
「誰に連絡すればよいか分からない」
という状態では、対応が遅れるかもしれません。

例えば、
「担当者が出勤するまで待とう」
「保守会社へ直接電話すればよいのだろうか」
「院内の情報システム担当とメーカーのどちらに連絡すべきだろう」
といった迷いです。

そのため、平時から報告先を決めておく必要があります。

特に確認したいのは、

  • 通常時の連絡先
  • 夜間・休日の連絡方法
  • 担当者が不在の場合の代替連絡先
  • 医療機器メーカーや保守会社への連絡が必要になる条件
  • 診療への影響がある場合の院内の判断責任者

です。

すべての職員が詳しいセキュリティー知識を持つ必要はありません。

まず、気づいた異常をどこへ報告するかが分かっていることが重要です。

「すぐ電源を切る」が正しいとは限らない

一般的なPCであれば、被害拡大を防ぐためにネットワークから切り離す対応が検討される場合があります。

しかし、医療機器や医療情報システムでは事情が異なります。

例えば、

  • 医療機器の停止が診療に影響する
  • 通信を切断すると検査データが送信できなくなる
  • 電源を切ると必要な記録が失われる可能性がある
  • 再起動によって調査に必要な情報が消える場合がある

といった問題があります。

そのため、不審な動きに気づいたからといって、利用者が独断で医療機器を停止したり、ネットワーク設定を変更したりするべきではありません。

まずは患者の安全と診療への影響を確認し、院内の責任者やメーカー・保守事業者と連携して対応を判断します。

通信の遮断や隔離を検討する場合には、第11回で整理した、必要な通信と診療への影響の確認が前提になります。

もちろん、患者の安全に差し迫った危険がある場合には、定められた医療安全上の緊急手順を優先する必要があります。

セキュリティー対策のための操作が、新たな医療上のリスクを生まないようにすることが重要です。

報告を受けた側は何を判断するのか

報告を受けた情報システム担当者やセキュリティー担当者は、状況を整理して対応を判断します。

例えば、
「一台だけの問題なのか」
「ほかの機器でも同じ現象が起きているか」
「外部からの不正な接続が疑われるか」
「重要な情報が影響を受けている可能性があるか」
「診療や製品の安全性に影響するか」
といったことです。

調査の結果、通常の保守作業だったと分かる場合もあります。

一方で、追加の調査、アカウントの一時停止、通信制限、システムの隔離などが必要になる場合もあります。

これらの判断は、組織の対応手順と権限に基づいて行います。

NIST SP 800-61 Rev.3では、インシデント対応を組織全体のサイバーセキュリティーリスク管理の一部として位置づけ、発見・対応・復旧を効果的につなげることを重視しています。

ログを残すことと、初動対応をつなげる

第12回では、ログの取得と確認について説明しました。

例えば、不審な管理者ログインを発見できても、その記録を誰にも伝えなければ、適切な対応につながらない可能性があります。

逆に、担当者へ報告されても、
「何時に起きたのか」
「どのアカウントが使われたのか」
「何を確認したのか」
が分からなければ、調査が難しくなります。

つまり、ログの確認と初動対応は別々の仕事ではありません。

記録から異常を発見し、情報を引き継ぎ、対応を判断する。

ここまでつながって初めて、ログを日常の運用に活用できます。

医療機器メーカーにも必要な準備

医療機器メーカーにとっても、異常時の連絡体制は重要です。

例えば、納入先の医療機関から、
「機器が普段と違う通信をしている」
「認証に関する警告が表示された」
といった相談が来ることがあります。

その際に、

  • どこで問い合わせを受け付けるか
  • 誰が製品の技術的な調査を行うか
  • セキュリティー上の問題が疑われる場合にどこへ引き継ぐか
  • 医療機関へどのような情報を伝えるか
  • 製品の安全性や機能への影響を誰が評価するか

を整理しておく必要があります。

製品の異常が必ずサイバー攻撃を意味するわけではありません。

一方で、通常の保守対応だけでは判断できない問題もあります。

保守、開発、品質保証、セキュリティーなどの関係者が、必要に応じて連携できる体制が重要です。

対応した内容も記録する

異常への対応では、発見時の記録だけでなく、その後の判断も重要です。

例えば、
「いつ誰へ報告したか」
「誰が調査を引き受けたか」
「何を確認したか」
「どのような対策を実施したか」
「いつ通常運用へ戻したか」
といった記録です。

一つの問題に複数の担当者が関わる場合、記録がなければ、すでに実施した操作を繰り返したり、必要な確認が漏れたりする可能性があります。

また、後から手順を見直すためにも役立ちます。

通常運用へ戻す際の復旧の判断や、そのための事前の準備については、第4回で扱っています。

5分で確認してみましょう

自社や自院について、次の質問に答えられるでしょうか。

  • 不審な動きを発見した場合の連絡先が決まっている
  • 夜間・休日の連絡方法が決まっている
  • 何を記録して報告するか分かっている
  • 異常の影響を誰が判断するか決まっている
  • 医療機器の停止や通信遮断について、誰が判断するか明確になっている
  • メーカーや保守事業者の緊急連絡先を把握している
  • 実施した対応と判断を記録できる
  • 通常運用へ戻す際の確認担当が決まっている

一つでも「分からない」があれば、まずそこから確認してみましょう。

専門的な調査手順をすべての職員が理解する必要はありません。

重要なのは、異常に気づいた人から、判断できる人へ、必要な情報が届くことです。

AIGISでは「異常時に動けるか」も確認します

セキュリティー対策は、設定やツールを導入しただけでは完結しません。

何か問題が起きたときに、適切に対応できることも重要です。

AIGISでは、医療機器や医療情報システムについて、
「何を異常として確認するか」
「誰が報告を受けるか」
「製品や診療への影響を誰が判断するか」
「メーカーと医療機関がどう連携するか」
「対応したことを確認・記録できるか」
といった観点から、現状を整理することを重視します。

重要なのは、すべての職員がセキュリティーの専門家になることではありません。

異常に気づいた人が、一人で抱え込まず、適切な判断につなげられる状態を作ることです。

参考資料

情報確認日：2026年10月22日

医療機器のセキュリティー、まずは現在地を知ることから

NDA前提のご相談・お試しテストを承っています。
お問い合わせ・相談する