これからの病院経営を考える 第1回 医療機関を脅かすセキュリティの脅威と対策ポイント

ランサムウェアの脅威

このような事態を引き起こしたのは、ランサムウェアと呼ばれる身代金要求型のコンピューターウイルスです。メールなどから気付かれない間にPCに侵入し、そこから組織内の他のシステムに拡散するのがこのウイルスの特徴ですが、このような事案は国内外、業界問わず急増しています。このウイルスの恐ろしいところは、感染すると従来のウイルスのように情報漏えいをもたらすだけではなく、システムの停止やデータの暗号化、ひいては業務の停止といった被害を引き起こす点にあります。特に最近は手法が巧妙化しており、感染した相手に「データを復号してほしければ身代金を払え」という恐喝行為と、「払わなければデータをインターネット上に公開する」という恐喝行為を同時に行う“二重恐喝型”^*1と呼ばれる事例も多数報告されています。攻撃者からのこのような圧力は、被害を受けた組織の冷静な意思決定を阻む障壁となります。

「診療系はインターネットに接続していないから大丈夫」という過信

ここからは、医療機関のセキュリティを考えるうえで重要な2つの視点をご紹介します。1つ目は、診療系ネットワークの安全神話と呼ばれるものです。「診療系ネットワークは他のネットワークから分離されているためセキュリティ上安全である」という考えを持つ方が依然として一定数存在しますが、診療系ネットワークにもセキュリティの脅威が侵入する可能性はあります。例えば、USBメモリを媒介としてシステムに感染するウイルスがその一例です。学会での発表のために医師がUSBメモリでデータを抜き出す際、USBメモリからウイルスが侵入し、ネットワーク内の他のシステムにウイルスが拡散するというケースが想定されます。また、情報系ネットワークとの分離は行われているとしても、診療系システムの保守作業用にリモートメンテナンス回線を利用している組織は多いと思います。攻撃者が当該回線へのアクセスを不正に得た場合、メンテナンス用の回線から診療系ネットワークに侵入し、ネットワーク内にウイルスをばらまくことも可能です。これらは一般的に想定されるシナリオの一部ですが、自組織のシステム環境を改めて見直し、発生し得るシナリオを検討することが推奨されます。

まず取り組むべき4つのポイント

最後に、ランサムウェアの被害に備え、まず取り組んで頂きたい4つのポイントを紹介します。重要なことは、被害が発生してしまった場合を想定した対策を講じ、有事に備えておくことです。

１．ウイルスの侵入経路の把握

メールやウェブサイト、USBなど、ウイルスは日常的に用いるさまざまなツール内に潜んでいます。攻撃者は1台のシステムにウイルスを感染させ、乗っ取ってしまえば、ネットワーク上の他のシステムに感染を横展開することもできます。ウイルスはどこから侵入し得るのか、そして侵入後にどこまで感染が拡大し得るのか、自組織のシステム環境とセキュリティ対策を改めて見直すことが重要です。

2．バックアップの取得状況の確認

身代金の要求に応じずに自らシステムの復旧を実施できるよう、バックアップを確実に取得しておくべきです。バックアップデータまで暗号化されてしまう事例も発生していることを踏まえ、バックアップのオフライン保存や、バックアップからの復旧テストを平時より行っておくことが重要です。

3．代替業務手段とシステム復旧方法の検討

院内システムの停止に備え、紙カルテの運用など各業務の代替手段を検討し、障害対応マニュアルを更新しておくことが重要です。あわせて、システムの調査やウイルス除去、システム復旧作業の実施手順と役割もあらかじめ定義し、可能な限り速やかにシステムを復旧させることも重要です。多くの組織は自然災害などを想定した業務継続計画を既に整備していると思いますが、サイバー攻撃にも耐えうる内容かどうか、改めて見直すことが推奨されます。

4．身代金要求への対応に関する院内関係者との合意形成

ランサムウェア攻撃の組織犯罪化を助長させないためにも、身代金の支払いは慎むべきです^*3。そもそも、支払いに応じてもデータが復旧される保証もありません。一方、実際に被害に遭った組織のなかには、身代金を支払った事例も一定数存在します。身代金要求への対応方針について、あらかじめ院内関係者と合意形成を図る必要があります。

医療業界を取り巻くサイバー脅威は深刻化の一途を辿っている一方、その対策は十分であるとは言えず、リスクの高い状況が続いていることを改めて認識する必要があります。サイバー攻撃を想定した事業継続計画の重要性を改めて認識するとともに、現状のセキュリティ対策を見直すことが急務であると考えます。