最終更新日:2023.04.10なぜ医療機関はサイバー攻撃の標的になっているのか?なぜ医療機関がサイバー攻撃の標的となるのか、その理由について解説します。著名講演者多数!申込受付まもなく終了です申し込みはこちら医療機関がサーバー攻撃の標的になっている理由1.新型コロナ感染拡大で医療が逼迫している国立国際医療研究センターへのサイバー攻撃の件数をみると、2019年は月に平均10万件程度だったのに対して2020年は月に40万件、2021年は月に100万件と増加しています。これらのサイバー攻撃の増加は新型コロナの感染拡大で、医療業務が逼迫しセキュリティ対策まで手が届いていない状況と、新型コロナ対応により緊急性を優先してセキュリティ対策が不十分なまま、インターネット経由の業務へ切り変えてる医療機関の混乱に乗じてサイバー攻撃が仕替えられています。医療機関を狙ったサイバー攻撃は2022年に入ってからも高止まりした傾向にあり、新型コロナの感染が収束に向かっても暫くはこの傾向がつづくと推測されます。/入院記録にいたるまでプライバシー性が高い情報を多く扱っています。おける個人情報の適切な取り扱いのためのガイドラン」にそって厳重に管理されていますが、しばしばサイバー攻撃により個人情報の流失事故が発生しています、流失した個人情報はダークサイトと呼ばれるウェブサイトで売買される場合もあり、プライベート性が高く多くの件数が収納されたリストが高値で売買される傾向にあります。電子カルテシステムには、患者の症状や治療経過の情報だけではなく、医療会計システムや検査や処方箋システムなど多くのシステムと連携しているため。電子カルテシステムが停止すると医療活動の全てが麻痺した状態に陥ります。入院患者や緊急の医療対応が必要な重篤な患者を抱える医療機関では、電子カルテシステムの停止は即命に係わる問題となり、患者の生命と引き換えにシステム復旧のための身代金要求に応じなければならない事態になります。4.医療機関はセキュリティ対策が他の業種に比較して脆弱である2019年頃からVPNの脆弱性が報告されていますが、医療機関の中にはバッチプログラムを適用せずに古い状態のまま使用していたことにより、VPNの脆弱性を悪用されてランサムウェアなどに感染した事例が多く報告されています。つるぎ町立半田病院は、2021年10月31日にランサムウェアの攻撃により、約8万5千人分の患者情報が暗号化され、「データを元に戻したければ身代金を払え」と要求されるサイバー攻撃を受けています。診療報酬計算や電子カルテ閲覧に使用する院内システムが使用できなくなり、外来患者の新規受け付不能に陥りました。通常診療が再開できたのは2022年1月4日です。システムの復旧に掛かった費用は約2億円で、診療報酬の減収が数千万円であったとしています。してまとめ2022年6月7日にHPで公開してます。実際の医療機関で発生した事例として、今後のセキュリティ対策の参考になる情報が多くふくまていますので是非参考にしてください。ここではその一部をご紹介します。セキュリティ知識の不足。地域の拠点病院である半田病院であっても、情報システムの担当者は1名で運用していて、サイバーセキュリティの知識を深めることや設定の見直しなどを行える状況ではなかったようです。そのような状況でインシデントが発生するのを予測できなかったのは半田病院の責任ですが、報告書のなかでは、電子カルテシステム提供事業者または情報システム運用事業者に対する責任にも触れています。電子カルテシステムを導入している時点で、システムの正常動作を優先するあまり、提供事業者からセキュリティレベルを下げる指示があったようです。今回の侵入経路となったVPNの脆弱性に関する情報提供は無く、SilverlightやActiveX前提の電子カルテシステムを提供し、当該情報のサポート切れやセキュリティ上の懸念が示されていないことも問題視しています。対策としてシステム事業者から必要な情報を適時適切に提供していただくこと、事業者との責任分担を明確にして契約を締結することを提言しています。ガイドラインにも課題がある今後の対策としてガイドラインに沿った取り組みを行うべきだが、厚生労働省が公開しているガイドラインも含め複数のガイドラインが存在することや、抽象度が高いこと、またISMSなどを前提としているためにハードルが高い内容が示されているなど、ガイドラインそのものにも課題があることを指摘しています。今回の復旧に向けての作業は、地震災害時の対策として準備していた事業継続計画を活用したことで円滑に行うことができたと報告されています。本教訓からの学びとして、既存の事業継続計画を見直し、サイバーセキュリティインシデントも含めた上で、事業継続計画が機能するように準備をしておくことが必要です。今回のインシデントは対岸の火事ではなく、全ての医療機関そして政府機関が、今回のインシデントから学び、組織の情報セキュリティを再考するチャンスだと考えています。)から現在の病院におけるセキュリティ対策の課題が見えてきます。病院に対するサイバー攻撃に対して、89%の病院は危機感をもっています。脆弱性を指摘されたVPN機器への対応を行っていないと回答した病院が34%ありました。その理由の半数の医院が「情報をキャッチできなかったため」、「予算がなかったため」と回答しています。セキュリティ監査は多くの病院で未実施であり、システム/セキュリティ管理体制の脆弱さが指摘されています。病院のシステムは安全であるということを前提に外部の評価を受けない体質にあります。51%の病院のセキュリティ予算は、年間500万円未満であり、十分なセキュリティ予算を確保できているのは僅か11%で、セキュリティ予算が不足しています。USBメモリ・PCの紛失といった、情報漏洩等に伴うインシデントに対しては56%の病院が準備できていると回答していますが、67%の病院では、ランサムウェア等により医療情報システムが使えなくなった際の態勢整備・計画に着手できていないという結果になっています。この調査結果では、これらのアンケートの回答を基に、他産業平均で見た合理的なセキュリティ予算を官公庁が公的に補助することで、患者診療の継続性・安全性を担保することを提言してます。医療機関のセキュリティ対策が他業種に比較して脆弱であることは、医療機関がサイバー攻撃の標的になる理由の一つとなっています。セキュリティ対策のための予算を確保して早急に実施に移れることを願っています。医療機関でインターネットを安全に使うためには「AXISスマートブラウザ」はコンテナ技術でパソコンの中に仮想的に安全な環境を作り、その中でChromeやEdge・Firefoxなどのブラウザを起動させるインターネット分離ソリューションです。インターネットサイトやメールで入手した情報やデータを安全に活用するための無害化機能も搭載しています。)DataClasys(株式会社データクレシス)漏洩チェッカー(株式会社スタメン)Webアプリケーション脆弱性検査ツール「Vex」(株式会社ユービーセキュア)コラムSNSでもご購読できます。Xでフォローするfacebookでフォローする株式会社アクシス私たちは、安心・安全なITシステムの構築を強みとするITシステム会社です。セキュリティに関する課題は気軽にご相談ください。件分を同時に請求できます。資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。利用規約とご案内の連絡に同意の上まずは一括無料請求(点)閉じる件の製品が資料請求リストにあります。