近年、医療機関を対象にしたサイバー攻撃が急増しています。

電子カルテなど医療情報システムの普及・複雑化に加え、新型コロナウイルス感染症への対応によりセキュリティ対策が後手に回っているところ、システムの脆弱性を突かれてしまうといった事例が後を絶ちません。

サイバー攻撃により医療機関が受ける被害は費用面だけでなく、患者の生命の危機にも直結する可能性があります。

そこで本記事では、医療機関へのサイバー攻撃の実態を紹介し、その対策方法について解説します。

急増する医療機関へのサイバー攻撃

情報セキュリティの研究を行うIBM X-Force やPonemon Instituteの調査レポートによると、新型コロナウイルス感染症のパンデミック後、医療機関へのサイバー攻撃が急増しているそうです。

日本でも2021年6月に、医用画像システム（PACS）サーバが不正アクセスにより停止した医療機関があると報道されました。
また、2021年10月には悪質なコンピュータウイルスにより院内サーバのデータが暗号化され、電子カルテや会計システムなどすべての電子システムがダウンした病院もあります。

今、もっとも警戒すべきサイバー攻撃「ランサムウェア」

2020年以降ランサムウェアによる攻撃が急増しています。
ランサムウェアは「身代金要求型不正プログラム」と呼ばれており、コンピュータウイルスがデータの暗号化やファイルのロックを行って所有者が使用できないようにし、解除のために多額の身代金を要求するものです。
さらに、実際に身代金を支払っても解除される保証はないという悪質性があります。

ランサムウェアは、WebサイトのURLのクリックや、ブラウザのプラグインのインストール、電子メール内のリンクや添付ファイルを開くだけで感染します。
多額の身代金が期待できることから、個人のパソコンよりも公共機関や大企業、医療機関などが標的にされやすいのも特徴です。

独立行政法人情報処理推進機構の「情報セキュリティ10大脅威 2021 」では、組織向けの脅威としてランサムウェアが第1位となっています。
これは、2020年の第5位から4ランクもアップしており、この1年で危険性が大幅に増加したことがわかります。

医療機関へのサイバー攻撃により想定されるリスク

ランサムウェアをはじめとするサイバー攻撃で医療機関が受ける損害は想像を超えるほど多方面に及びますが、大きく分けると患者生命などの人的被害と費用損害に分けられます。

患者生命の危機

Ponemon Instituteの調査によると、アンケートに回答した医療機関のうち22％が、ランサムウェアによる攻撃の後で患者の死亡率が上昇したと回答しています。

サイバー攻撃による院内システムの混乱で患者の入院期間が長引いたり、予約システムの不具合による検査の遅れから容態の悪化につながったり、ネットワークの停止により患者の受け入れや医療サービスの提供が困難になるなど、二次被害的に患者の生命に影響を及ぼす危険性が危惧されています。

費用損害

パソコンやサーバの規模にもよりますが、事故発生時の調査や解決のためのコンサルティング料は数百万から数千万円ともいわれています。
さらに、解決した後も、再発防止策策定のための費用などが発生します。
また、患者や他施設に損害を与えた場合は損害賠償や訴訟の費用、弁護士費用なども必要です。

医療機関ができるサイバー攻撃への対策

患者の生命や病院の経営を脅かすサイバー攻撃に対し、医療機関はどのように防衛したら良いでしょうか。
主な7つの対策を解説します。

ファームウェアやOSの最新化

コンピュータウイルスはインターネット・パソコンの周辺機器を動作させるファームウェアやOSの脆弱性を狙って攻撃してきます。
ファームウェアやOSを定期的に最新版にアップデートすることで脆弱性が見つかりにくくなり、攻撃される可能性を減らすことができます。

UTMの導入

ネットワークを監視するUTM（Unified Threat Management：総合脅威管理）は、ファイアウォール機能やアンチウイルス機能、フィルタリング機能など、複数のセキュリティ機能が1台に集約されている、効率的かつ包括的な管理手法です。
こちらも脆弱性を突かれないために、ファームウェアの最新化は必須です。

セキュリティソフトの導入

パソコンなど端末へのウイルス感染対策にはセキュリティソフトが有効です。
また、導入後も定義ファイルを常に最新の状態を更新することで、新種のコンピュータウイルスの侵入を防ぐことができます。

IPアドレスの露出をチェック

医療設備や医療機器、ネットワークなどのIPアドレスがWeb上に露出していると、外部からの不正アクセスを受けやすくなります。
トレンドマイクロが2017年に行った調査によると、全世界で10万件以上の医療関係のIPアドレスがWeb上で見つかったそうです。

使用している機器やネットワークのIPアドレスが露出していないか定期的にチェックする必要があります。

万が一露出していた場合、IPアドレスの位置情報を自由に変更できるVPNサービスを使用しましょう。
自分のIPアドレスを隠すことができるうえに、データが暗号化されるので通信の安全性が高まります。

データのバックアップ

データの定期的なバックアップも患者データを守る有効な対策です。
しかし、バックアップシステムもウイルスに感染する危険性があるため対策が必要です。

バックアップメディアをパソコンから切り離すか、システムベンダーに相談してバックアップシステムの構築や運用を変更することでデータを守りましょう。

ネットワークに接続された電子機器の把握

管理下にない機器が攻撃対象となってシステム全般に影響を及ぼすことのないよう、院内のネットワーク接続機器をすべて把握しておく必要があります。
院内のパソコン、サーバ、スマートフォンやタブレットなど、ネットワークに接続された機器を洗い出し、リスクを評価しましょう。

大規模な医療施設であるほど使用している電子機器も多く作業が膨大となるので、ネットワーク接続機器の情報を自動でリストアップする製品やサービスを利用するのもおすすめです。

サイバー保険への加入

万が一サイバー攻撃にあった場合に備えて、サイバー保険に加入しておくことも必要です。
賠償責任、事故発生時の各種対策費用、利益・営業継続費用など費用損害を包括的に補償してくれるため、事故発生時に費用面で時間や労力を取られることなく迅速に対応できます。

まとめ

医療機関へのサイバー攻撃が急増しており、日本でも被害を受けている病院があります。
特にシステムを乗っ取って解除に多額の身代金を要求するランサムウェアによる攻撃が顕著で、医療機関においてもセキュリティ対策が急務となっています。

まずはファームウェアやOSの更新、IPアドレスの露出のチェック、ネット接続された機器の把握など、攻撃者が突きやすい脆弱性をなくすとともに、UTMやセキュリティソフトの導入、バックアップシステムの構築など、万が一の侵入にも備えましょう。

また、被害にあった場合に備えてサイバー保険の加入もおすすめです。