医療機関も狙われるランサムウェア、診療を止めないカギは事前対策と早期復旧！実際の経験に学ぶ、サイバー攻撃に備えたIT-BCPのポイントを解説

相次ぐ医療機関へのサイバー攻撃。被害に遭えば診療の停止という事態にもつながりかねないため、サイバー攻撃も災害と位置付けたBCP対策が必要です。医療ネットワーク特有の対策ポイントと、実際の被害経験をもとにIT-BCPを策定したつるぎ町立半田病院の事例をご紹介します。

医療機関も標的になるサイバー攻撃

近年、様々な企業や団体の被害が相次ぐサイバー攻撃。その被害は医療機関も例外ではなく、いくつもの被害事例が大きく報道されているのを耳にした方も多いのではないでしょうか。

多くのサイバー犯罪者が標的とするのは、「脆弱性を突いて簡単に侵入しやすい」「詐欺や脅迫への利用価値が高い情報を持っている」組織です。医療機関は患者の個人情報や病歴といった秘匿性の高い情報を持っているにもかかわらず、サイバーセキュリティ対策については十分な人手や予算がかけられていない現状があり、サイバー攻撃の標的になりやすいと言えます。

中でも特に被害が増えているのが「ランサムウェア」によるものです。ランサムウェアとは、侵入したシステム内のデータを暗号化してアクセスできないようにしてしまうマルウェアです。攻撃者はデータ復旧の見返りに身代金を要求し、支払わなければ盗んだデータを公開すると脅迫してくることもあります。しかし、身代金を支払ったとしてもデータが流出しない保証はありません。
医療機関のシステムがランサムウェアに感染した場合、診療が停止してしまう、患者の個人情報が漏えいしてしまうなどの重大なリスクがあり、組織として患者や関係機関からの信頼性を損なうことにもつながります。

万が一の時も診療を止めないために「IT-BCP」を

診療が停止してしまうということは、患者の命にかかわる事態にもなりかねません。
何が起こっても診療を継続していくためには、事前対策と早期復旧の備えが必要です。
厚生労働省が2019年に災害拠点病院のBCP（事業継続計画）策定を義務化した背景もあり、主に災害による診療停止・医療需要のひっ迫を意識した計画を立てている医療機関は増えています。

参考：厚生労働省　「病院の業務継続計画（BCP）策定状況について」＜PDF＞

では、サイバー攻撃に対してはどうでしょうか。

現在の医療現場には電子カルテが広く普及し、オンライン資格確認やネットワークにつながる医療機器の活用など、ITインフラが欠かせないものとなりました。その医療システムが一部でも使えなくなれば、普段通りの診療を続けることが非常に困難になってしまいます。

このため、サイバー攻撃も災害と位置づけ、ITシステムの停止を防ぐ「IT-BCP」の対策を取ることが重要です。

具体的な対策とは？医療ネットワーク特有のポイント

医療ネットワークの特徴

医療機関のネットワークには、

• PCやスマートフォン、医療機器など多種多様なメーカーの機器が混在している
• 医療機器ベンダーによるリモートメンテナンス用に外部からの回線が多数引かれている
• ITやセキュリティについての専門知識を持った人材が少ない

などの特徴があります。
特に外部からの回線については実際にサイバー攻撃の侵入経路となった事例があるため注意が必要です。
部門ごとに独自で引かれているものもあり、その数の多さから情報システム担当者もすべてを把握しきれていないというケースもあります。
また、システムを利用する医療従事者や職員のリテラシー不足により、フィッシングメールをそうとは気づかずに開いてしまうなど、知らず知らずのうちにネットワークが脅威にさらされているというリスクもあります。

対策のポイントと具体例

リモートメンテナンス回線の集約

まず挙げられるのが、外部との接続点になる回線の適切な管理です。
多様な機器を利用する医療機関では保守ベンダーの数も多くなり、ベンダーごと・部門ごとなどに個別の回線を引いていると管理が行き届かなくなりがちです。「初期のID・パスワードをそのまま使っていた」「機器のファームウェアをアップデートできていなくて、脆弱性が放置されていた」といった状態が放置されていると、脆弱性を突いて容易に侵入されてしまいます。
これを解消するためには、複数のベンダーや関係機関からの回線を一つに集約し、まとめて管理するのが効果的です。

不正アクセスの検知・遮断を自動化

院内には多種多様な端末があり、ウイルス対策ソフトが入れられない医療機器なども多数あります。これらの端末から侵入された時に、一つひとつ経路を特定して手作業で遮断するのは容易ではありません。対応に時間がかかっている間に感染が広がってしまう恐れもあります。
もし不正アクセスが検知されたら、ネットワークから不正端末を自動的に遮断できるようにしておくと安心です。これには、ネットワーク機器のアクセス制御機能と監視システムやセキュリティ対策アプリを連携させるという方法があります。

データのバックアップ

ランサムウェアの感染は完全に防げるとは限りません。万が一感染してしまった時のことも考慮する必要があります。
もしデータが暗号化されてしまっても、バックアップがあればそこからデータを復旧して診療を続けることができます。ただし、バックアップデータの保管場所がオンラインでつながったままだと、感染が広がってバックアップデータも暗号化されてしまいます。バックアップは複数の媒体で取っておき、一つはオフライン環境や遠隔地に保管しましょう。
こうしたバックアップは災害で病院そのものが被災し、データや保存媒体が破損した時などにも役立ちます。

職員へのセキュリティ教育

システムを使うのはITやセキュリティの知識を持った職員ばかりではありません。
サイバー犯罪者はこうした知識の少ない職員を狙い、フィッシングメールなどで巧妙にだまそうとします。また、私物の端末を不用意に持ち込んだために侵入の踏み台として使われてしまうこともあります。これを防ぐためには、職員がセキュリティ知識を身につけ、リテラシーを向上させることが必要です。
さらに、上級者や経営層向けには、セキュリティインシデントの発生に備えた訓練を行うのもおすすめです。サイバー攻撃を受けた時には被害を最小限に抑え、早期復旧につなげることが重要です。「医療情報システムの安全管理に関するガイドライン　第6.0版」でも、セキュリティインシデントに対処するための体制としてCISO（情報セキュリティ責任者）の配置やCSIRTの構築が推奨されています。どのような体制で対応するかあらかじめ決めて訓練しておけば、いざという時にも落ち着いて行動できるでしょう。

半田病院の被害経験をもとにしたBCP対策

これらのセキュリティ対策、どこから手を付けたらいいのか…と悩んでしまった方もいるかもしれません。
ここで、実際にランサムウェアの被害に遭った徳島県のつるぎ町立半田病院の事例をご紹介します。
半田病院では、2021年10月31日に電子カルテがランサムウェアに感染。電子カルテをはじめとするすべてのシステムが暗号化され、使用できなくなる事態に見舞われました。その後、2022年1月4日の通常診療再開までおよそ2ヵ月の時間を要しています。その間、患者情報が閲覧できないため診療は紙カルテと患者への聞き取りで行い、新規・救急患者の受け入れも停止したほか、診療報酬の請求もできないなど、医療体制の維持にも経営面にも大きな打撃を受けました。

この経験をもとに、半田病院では災害対策用として用意されていたBCP対策に、サイバー攻撃に関する内容を追加しました。
システム面の対策としては、保守用回線の一本化や、ウイルス対策ソフトのイベント監視機能追加などを行い、またバックアップについてもオフライン化・テープ化を検討されています。