2022年10月大阪急性期・総合医療センターはランサムウェアの被害にあった。電子カルテなどが暗号化され、これまで通り診療を続けることができなくなった。

こうしたランサムウェア攻撃では、マルウェアを院内システムに感染させ電子カルテをはじめとする院内情報を暗号化しアクセスできないようにする。また情報の暗号化解除と引き換えに金銭を要求する。このような例は奈良県の宇陀市立病院、徳島県のつるぎ町立半田病院でもみられる。

本稿ではランサムウェアの概要を確認したうえで現在医療業界が抱えている課題や今後どのような対策をすることができるかについて紹介する。

インターネット分離をするも後を絶たないランサムウェア攻撃

これまで国内病院はサイバー攻撃の対策として、患者の個人情報などを含むシステムはインターネットから分離したHIS(Hospital Information System/病院情報システム)と呼ばれる院内ネットワークで運用してきた。しかし、外部インターネットと分離してもさまざまなルートをたどるランサムウェアが後を絶たない。

大阪保険医新聞によると、2021年~2022年にランサムウェア被害(疑い例・未公表例も含む)にあった医療機関は17件にまでのぼる。インターネット分離をしても様々な経路からマルウェアが感染していることがわかる。

ランサムウェアの侵入経路にはどのようなものがあるのか？

先程インターネット分離をしても様々な経路からマルウェアが感染していることについて述べた。ランサムウェア攻撃の被害にあう原因について検討する。

保守ベンダーやレセプトなどデータの入り口・出口からの感染

これはランサムウェア攻撃を受ける大半の原因である。院内ネットワークが外部から分離されていても、保守ベンダー、レセプトを介して侵入する場合がある。また、近年多くみられるのはVPN機器が脆弱であることによって侵入されるケースである。2021年-2022年にランサムウェア被害にあった17件の内、11件がVPN機器の脆弱性未対策が原因で侵入したとされている。

USBなどを介した感染

院内ネットワークにデータを入れる際や院内ネットワークからデータを取り出す際にUSBを用います。USBにマルウェアが感染しており、USBから院内ネットワークに侵入するケースがあります。

情報の持ち出しや不正操作による感染

機密文書を持ち出すことによって情報漏洩が起こることもあります。過去には院内データを私物のコンピューターに取り込むことによって感染したケースがあります。

ベンダー・医療機関の双方の歯車を合わせることで業界全体のセキュリティ向上をはかる

医療業界はネットワークに関与するステークホルダーが多いにも関わらず、各々の責任範囲が明確化されていない

医療業界においては、例えば電子カルテベンダー、ネットワークベンダーのように関与しているステークホルダーが多い。ここで重要なのは、セキュリティ面において双方が契約内容の共通理解を持っており、責任分界点を明確にすることである。

2022年10月にマルウェア攻撃の被害を受けた大阪急性期・総合医療センターの情報セキュリティインシデント調査員会がまとめるように、責任分界点が明確にすることが最大の課題であり、明確化していないと契約内容の不備に気付けないこと、守る範囲に漏れるが生じること、インシデント発生時の対応や認識に隔たりが生じることになる。

明確化されないことの結果として、病院側は「ITの専門家がしっかり守ってくれるだろう」と考え、ベンダー側は「具体的に書かれていないためやらなくていいだろう」という考えが業界全体で見られる可能性がある。

契約内容の具体化を通してベンダーと医療機関の協力体制を構築する

上記の課題を解決策として契約書における曖昧な表現を具体的な表現に変えることが報告書で指摘されている。内容が具体化されると上記に記載した問題の発生を防ぐことができ、結果的にサイバー攻撃を受けるリスクを低減することができる。また他にも各種ベンダーは古い仕組みやセキュリティの知識不足も課題として挙げられていた。これらに取り組むにあたって、お互いの協力体制構築は不可欠であろう。

ゼロトラストやローカル5Gなどの最先端の技術・思考を用いて予防をはかる

ここまでマルウェアがどのような経路で侵入するかについて検討してきた。ランサムウェア攻撃を受ける原因からわかるように、脆弱なソフトウェア・機器を用いないように定期的にアップデートをすることやヒューマンエラーを起こさないように情報の取り扱いに注意することで上記の問題は多少改善されると思われる。ここでは他にどのような対策をすることが出来るかについて検討する。

アカウントだけでなくシステムごとで権限の管理を行い、ゼロトラストに基づいたネットワークを構築する

これまで院内ネットワークからのアクセスなら信頼して情報を取り扱っていたが、院内・院外関係なしに何も信頼しないことを前提としたゼロトラストに基づいたネットワーク構築が重要である。

例えば、これまでメールでもアカウントは一人に対して一つ付与されてきたが、これでは外部のコンピューターがアカウント情報を知っている場合容易にアクセス出来ることになる。そこで、人ごとでなくシステム(媒体)ごとでの権限の管理を行うことで不正アクセスを防ぐことができる。他にも2段階認証をすることで、個人以外のアクセスを防ぐこともできる。

ローカル5Gの活用で外部からの干渉を防ぐ

総務省情報流通行政局によると、ローカル5Gは現在利用されている共有周波数とは異なる周波数帯を利用するため、電波干渉の可能性が低く、通信品質が安定する等のメリットがあり、セキュリティの確保や高品質なネットワークが求められる医療等分野での活用が期待されている。

綿密なBCP対策でシステムの早期復旧をはかる

ランサムウェアに特化した実行プランの策定

BCP対策マニュアル自体は各医療機関でされていることが多いが、日本の性質上、自然災害に主眼が置かれているものが多い。また、発生したケースごとに誰が何をどの手順でするかまで具体的になっていないことが多く、サイバー攻撃を受けてもあまり役に立たないことがある。これらを防ぐためにランサムウェアに特化したプランが必要である。

ネットワークから切り離した場所でバックアップをする

ランサムウェアの被害にあった時に早急に診療を再開できるよう、患者データやBCP対策マニュアルも含めてネットワークから切り離した場所でのバックアップが重要である。大阪急性期・総合医療センターの事件ではBCP対策マニュアルまでもがランサムウェアによって閲覧できなくなり、紙での対応となったことが問題となった。

また感染後活動せずにシステムのスキャンから隠れつつ潜伏し続ける時限式マルウェアも存在するため、それらとともにバックアップされると復旧作業中に感染を起こすため注意が必要である。

PHRを利用することで感染後も患者データにアクセスできる

将来的にはPHR(Personal Health Record)に頼ることが期待されている。PHRが国で実用化されると、国民は過去の通院歴やアレルギー、既往歴、処方歴の記録にアクセスすることができる。このような仕組みがあると、仮にある病院のデータがランサムウェアによってアクセスできなくなっても、患者の重要な背景情報が失われることはなくなる。つまり、PHRがあると病院職員が患者に聞き取り調査をうことなく、早期に必要な医療を再開することが可能となる。現在電子カルテの標準化整備が進められており、将来的に実現されることが期待される。

まとめ：ランサムウェアに対して国内病院は今後どのような対策ができるのか？

本稿ではランサムウェアに対して今後どのような対応ができるか？について主に以下の３つに分けて述べてきた。

1.ベンダー・医療機関の双方の歯車を合わせることで業界全体のセキュリティ向上をはかる

2.ゼロトラストやローカル5Gなどの最先端の技術・思考を用いて予防をはかる

3.綿密なBCP対策でシステムの早期復旧をはかる

今になっても後を絶たないランサムウェアの被害にあう医療機関が減ることに期待である。