セキュリティ特集
医療機関を狙ったランサムウェア攻撃が国内でも相次ぎ、医療現場そのものを脅かす事態が発生しています。本記事では、国内の事例を参考に医療機関が取り組むべき実践的なサイバーセキュリティ対策について解説します。
|
ランサムウエアとは？ ランサムウェア（Ransomware）とは、コンピューターやサーバー内のデータを暗号化したり、利用できない状態にしたりして、元に戻すことと引き換えに金銭（身代金＝Ransom）を要求するマルウェア（悪意のあるソフトウェア）です。 |
なぜ医療機関が狙われるのか？
攻撃者が医療機関を標的にする理由は、患者情報など価値の高い情報を扱っていることに加え、システム停止が診療そのものに大きな影響を及ぼすためです。
電子カルテや検査システム、医療機器、会計システムなどが停止すると、診療や救急受け入れに大きな影響が生じる可能性があります。攻撃者はこうした特性を利用して、医療機関を身代金要求や情報窃取の対象として狙うケースがあります。
医療機関におけるサイバー攻撃事例
日本の医療機関を狙ったサイバー攻撃は、もはや「他人事」ではありません。厚生労働省の「医療機関向けセキュリティ教育支援ポータルサイト」では、ランサムウェア被害を経験した病院関係者へのインタビューが公開されています。そうした事例からも、ランサムウェアをはじめとするサイバー攻撃への備えは、医療安全や病院経営にも関わる重要な課題であることが分かります。
つるぎ町立半田病院 (2021年)
日本の医療機関における「サイバー災害」の深刻さを世に知らしめた先駆けとなる案件です。通常診療の再開まで2カ月を要し、その間、医師や看護師が手書きの紙カルテで診療を繋ぐ過酷な現場状況が大きく報じられました。
大阪急性期・総合医療センター (2022年〜2025年和解)
給食委託業者の拠点を踏み台に感染。電子カルテを含む全システムが停止し、救急・手術を2カ月間にわたり停止しました。約40万人の診療に影響を及ぼし、後の2025年には委託業者側が10億円を支払う形で和解が成立するなど、経営的・法的にも甚大な影響を残しました。
実際に被害を受けた医療機関でも注意喚起やセキュリティ対策は取り組んでいる認識でしたが、攻撃発生後の対応や診療継続まで見据えた備えには課題が残っていました。
特に、自院のIT資産の把握や安全なバックアップ体制の整備、侵入や異常を早期に発見する仕組みを整えることは、被害拡大を防ぎ診療継続を支える重要な取り組みです。
サイバー攻撃の影響は、診療停止に加えて、診療報酬請求の遅延や経営にも影響が及びます。単なるセキュリティ対策ではなく、診療継続計画（BCP）の一環として考える必要があります。
関連サービス
セキュリティ導入サービス（EDR）
ランサムウエア、情報漏えいのセキュリティ対策
セキュリティ監視サービス（EDR）
SOCによる監視でEDR導入後のセキュリティ対策
セキュリティ診断サービス
サーバ、ネットワーク機器の現状把握と対策
EDRを活用した実践的な防御策
先の事例から分かるように、サイバー攻撃を完全に防ぐことは容易ではありません。そのため近年では、「侵入を前提に異常を早期発見し、被害拡大を防ぐ」という考え方が重視されています。
その代表的な対策が「EDR（Endpoint Detection and Response）」です。EDRは、パソコンやサーバーの挙動を継続的に監視し、不審な動作やマルウェア感染の兆候を検知する仕組みです。従来のアンチウイルスソフトが侵入防止を目的とするのに対して、EDRは侵入後の異常を早期に発見し、被害拡大を防ぐことを目的としています。
医療機関では診療への影響を考慮しながら慎重に導入・運用することが重要です。
① 導入の「優先順位」を明確にする
全ての端末に一斉導入するのは費用も手間もかかります。
- 優先順位: インターネット接続が可能なPC ＞ 電子カルテ端末 ＞ 医療機器制御PCの順に、リスクの高い端末から段階的に導入を進めることが一般的です。
② 医療機器との共存
医療機器や関連システムは動作保証に影響するため、一般的なPCと同じようにセキュリティツールを追加導入できるとは限りません。
- 対策: 機器メーカーや保守事業者と連携し、動作保証を確認したうえで導入を進めます。導入が難しい機器については、ネットワーク分離や周辺端末の監視強化など、代替策を検討します。
③「誤検知・過検知」による診療停止を考慮した運用設計
EDRには、不審な動作を検知した際に端末の通信を制限したり隔離したりする機能を備えた製品もあります。
- 対策: 「検知＝即遮断」という設定ではなく、まずは「検知＝即アラート」とし、人が介在して判断できる運用（または診療に影響のない端末から段階的に適用）であることを確認します。
関連サービス
セキュリティ導入サービス（EDR）
ランサムウエア、情報漏えいのセキュリティ対策
セキュリティ監視サービス（EDR）
SOCによる監視でEDR導入後のセキュリティ対策
セキュリティ診断サービス
サーバ、ネットワーク機器の現状把握と対策
SOCは医療機関の「セキュリティ専門チーム」
EDRは攻撃の兆候を検知し、状況によっては自動的な隔離や通信制御を行うこともできますが、それだけでインシデント対応が完結するわけではありません。検知内容を判断する役割も必要です。
そこで重要になるのが「SOC（Security Operation Center）」です。
EDRが「異常を知らせる生体モニター」だとすれば、SOCはその情報を分析し、適切な処置を判断する「専門医」のようなイメージです。
しかし、医療機関では情報システム担当者が少人数、または兼務であることも多く、アラートの真偽判断や初動対応まで担うことは容易ではありません。実際にサイバー攻撃を受けた医療機関からも、専門家による支援の必要性が指摘されています。
医療機関が選ぶべきSOCとは
24時間365日の監視体制
攻撃者は時間を選びません。夜間や休日を含め、異常を継続的に監視できる体制が重要です。
適切な初動対応の判断
インシデント発生時には、影響範囲や診療への影響を踏まえた迅速な判断が求められます。そのため、対応方針の判断を支援してくれる体制が重要です。
医療機関への理解
電子カルテや医療機器など医療現場特有の環境を理解し、医療ISAC等の情報も踏まえて支援できるベンダーが望ましいでしょう。
まとめ：これからの医療機関セキュリティは発生を前提とした災害対策
実際に被害を受けた病院の関係者は、「インシデントの発生は災害だった」と振り返っています。重要なのは攻撃を100％防ぐことではなく、発生を前提として備えることです。
まず取り組みたい3つのこと
- IT資産の管理状況を把握する
- バックアップ体制を見直す
- EDRとSOCによる監視・対応体制を整える
これらの取り組みにより、ウイルス侵入の予防だけでなく、万が一侵入された場合にも被害を最小限に抑え、診療継続につなげることができます。医療機関のサイバーセキュリティ対策は患者さんの安全と地域医療を守るための経営課題となりつつあります。
関連サービス
セキュリティ導入サービス（EDR）
ランサムウエア、情報漏えいのセキュリティ対策
セキュリティ監視サービス（EDR）
SOCによる監視でEDR導入後のセキュリティ対策
セキュリティ診断サービス
サーバ、ネットワーク機器の現状把握と対策
参考資料
本記事は厚生労働省「医療機関向けセキュリティ教育支援ポータルサイト」に掲載された被害当事者への対談記事を参考に作成しています。
▶ 病院で発生した深刻なサイバー攻撃、当事者が被害と対策の全容を語る（1）
▶ 病院で発生した深刻なサイバー攻撃、当事者が被害と対策の全容を語る（2）
▶ 病院で発生した深刻なサイバー攻撃、当事者が被害と対策の全容を語る（3）
人気記事
カテゴリ
