コロナパンデミックとランサムウェア―医療機関は「ウイルス」といかに向かい合うべきか（医療ISAC／セールスフォース）

「クローズドネットワークの安全神話」から脱却できていない現状

江原：
最初に医療ISACの活動内容を教えてください。

深津：
医療ISACは、医療分野における情報セキュリティの啓発団体です。セミナーやワークショップなど、有志によるワーキンググループ活動を中心に、情報セキュリティに係る報告書や提言書などを発行しています。また、有償無償のさまざまなサービスや、無料オンライン相談を中心としたコンサルテーションも実施しています。

江原：
近年は国内の医療機関でもランサムウェア被害が多発しています。医療ISACはこの状況をどのように捉えていらっしゃいますか。

深津：
現在報道されている医療機関のランサムウェア被害は、氷山の一角に過ぎないと認識しています。医療ISACが把握しているランサムウェア被害の件数は、未公表分も含めて2021年は5件、2022年では12件に上ります。

被害が多発している原因の1つとして、米国ベンダー製のVPN（Virtual Private Network）装置の脆弱性への未対応が挙げられます。この脆弱性は既知のもので、すでにベンダーから修正プログラムが提供されているのですが、それにもかかわらず未対応の医療機関が多かったのです。医療機関が最初に攻撃された時点で、医療ISACでは各医療機関に注意喚起をしました。しかしその後も、1年半以上にわたって複数の医療機関が同じ原因で被害に遭っているのです。

さらに言うと、感染が発覚した時点でバックアップデータが生きていれば対策が講じられたのですが、この2年間で発生した17件の被害のうち5件はバックアップデータも暗号化されてしまい、復旧が困難になってしまいました。このことからも分かるとおり、過去の教訓や注意喚起が活かされていないのが実情です。

江原：
注意喚起をしているにもかかわらず、対策が講じられていないのですね。何か構造的な原因があるのでしょうか。

深津：
さまざまな原因があると考えています。医療ISACは2022年1月、開業医を中心とした全国保険医団体連合会と病院が属する四病院団体協議会を通じて、セキュリティ管理状況に関するアンケート調査を実施しました。その中で「脆弱性の存在したVPN装置を使用しているか」を訊ねたところ、全国保険医団体連合会で「使用している」と回答したのは7％、「（使用しているか）わからない」は54％に上りました。また、四病院団体協議会ではレポート（※１）で公開されているとおり、「使用している」が40％、「わからない」は25％でした。

つまり、全国保険医団体連合会に所属する診療所の半数以上、システム担当者が常駐しているような病院でも4分の1が、脆弱性が指摘されている機器を使用しているかどうかを把握できていない可能性があるのです。これでは対策の講じようもありません。

こうした事態が生じる要因の1つとして、VPN機器が病院の資産ではないことが挙げられます。これらの機器は電子カルテシステムなどを保守・運用する事業者が、機器をリモートメンテナンスするために設置することが多いです。ですから、こうした病院や診療所は他人事として捉え、脆弱性対策が必要な機器が院内に持ち込まれていることすら気がつかないのです。
※1 https://www.hospital.or.jp/pdf/06_20220323_01.pdf

江原：
なるほど。これでは厚生労働省が医療機関に対して注意喚起を繰り返し発出しても、問題は解決しませんね。

深津：
そのとおりです。注意喚起を発出すべき宛先が適切ではなかったのです。さらに医療機関には「クローズドネットワークの安全神話」があります。「診療系のネットワークはインターネットに接続していないからサイバー攻撃を受けるはずがない。だから安全だ」と信じているのですね。「人的リソースもコストも限られているのだから、攻撃されないシステムに面倒な対策を自分たちで講じる必要はない。それはシステム事業者がやってくれる」という非常に安易な考えが、医療機関の中で蔓延しているのです。

医療機関が抱えるクラウド活用の期待と不安

江原：
遠隔診療やオンライン診断など、インターネット接続を前提とした医療サービスの増加が期待される中で、現場ではご紹介いただいたような課題が山積しているのですね。上中さんはセールスフォース・ジャパン（以下、セールスフォース）において医療機関を含むパブリックセクター・ヘルス業界を担当し、SaaS（Software as a Service）導入支援などを担当されています。セールスフォースではこうした課題に対し、どのような対策を講じているのか教えてください。

上中：
セールスフォースではセキュリティに対して「責任共有モデル」のアプローチを取っています。これはお客様のセキュリティを最適化するためです。インフラストラクチャのセキュリティや運用に対して責任を持ち、契約に従ってお客様からお預かりするデータの安全対策を保証しています。またセールスフォースの運営するサービスでは深層防護の考えに基づき、システムおよび運用の多層防御を行っています。

アプリケーションレベルのアクセスコントロールは、基本的な部分はセールスフォースが制御しています。一方、高度なレベルのセキュリティやお客様のビジネス要件に基づいたセキュリティアクセスコントロールは、お客様自身が設定できる機能を提供しています。

江原：
必要不可欠なセキュリティ対策はセールスフォースが担当し、個別に設定が必要な部分は顧客側で担当するのですね。

上中：
この点は詳しく説明させてください。お客様に責任が帰属するセキュリティ対策には、「プラットフォーム上のお客様組織での保護設定」と、「お客様自社ネットワーク内環境の保護」があります。前者の作業は、アカウント管理・多要素認証、IPアドレスによるアクセス制御、正しいアクセス権の管理などがあります。後者はプラットフォームへ格納するデータの品質管理、お客様組織内でのセキュリティ教育、インターネット接続の保護などがあります。

これらの対策はお客様側で設定していただきますが、もちろん私たちもご支援・協力し、密にコミュニケーションを取りながら課題解決やデータの安全性担保に務めています。

江原：
「責任共有モデル」という概念が明示されていることは、お客様に安心感を与えると思います。一方で機微情報を扱う医療機関は、クラウドサービス上でデータを管理することに抵抗感が強いと思われます。そのような組織に対してリスクコミュニケーションをする難しさや工夫しているポイントはありますか。

上中：
確かに医療機関は、医療施設の“外”で情報を管理することに抵抗感を持っていると感じています。例えば、患者の情報をクラウド上で管理することは法律で禁止されていると誤解されている方もいらっしゃいます。

こうしたお客様には先のガイドラインに準拠した環境で運用すれば問題ないことを説明するなど、正しく理解していただくように務めています。一方で、お客様の中にはクラウドの利点をよくご存じで「自分たちで個別にセキュリティ対策を講じなければならないオンプレミス環境よりも、クラウド環境のほうが安全なので積極的に活用したい」とおっしゃる方もいます。