国内ランサムウェア3事例から学ぶ中小病院におけるサイバーセキュリティ対策 / Cybersecurity Learned from Cases

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © Henry, Inc. All rights reserved. 1. 医療機関の経営者の方々にとって、次に挙げる機会を提供する a. サイバーセキュリティ対策についての国の期待値を知る機会 b. サイバーセキュリティ対策をはじめる取っ掛かりを得る機会 c. サイバーセキュリティ対策のための組織とベンダーコミュニケーションを考える機会 2. 医療機関の情報システムご担当の方にとって、判断と業務の助けを提供する a. アクションの優先付けを行うための情報 b. 職員向け教育の教材ならびに根拠 3. クラウドネイティブ電子カルテの強みをご説明する本日のねらい 2

Slide 3

Slide 3 text

Copyright © Henry, Inc. All rights reserved. 弊社では中小病院向けにクラウドネイティブなレセコン一体型のクラウド電子カルテを提供しています。お客様と正確なリスク・コミュニケーションを行うためには医療機関様におけるリスク・マネジメントを理解する必要があるため、社内でランサムウェア事例の勉強会をしてきました。本日はその内容を30分に圧縮してわかりやすくお届けするように努めます。弊社内で開催したランサムウェア事例勉強会をもとにしています 3

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright © Henry, Inc. All rights reserved. 電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（略）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（略）が講じられ、その状態が適切に維持管理されていることサイバーセキュリティ基本法第2条サイバーセキュリティとは 7

Slide 8

Slide 8 text

Copyright © Henry, Inc. All rights reserved. 令和５年４月１日に施行された医療法施行規則の一部を改正する省令により、病院などの管理者に対してサイバーセキュリティを確保するために必要な措置を講じることが義務化されました。医療の質を向上するため、またDXを実現する手段として医療現場のデジタル化が進んでいます。医療機関は要配慮個人情報を大量に扱っており、情報を安全に扱うことが求められます。厚生労働省にて「医療分野のサイバーセキュリティ対策について」というウェブサイト[1]が公開されており、関連情報がまとまっています。サイバーセキュリティ対策とは [1] https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/cyber-security.html 8

Slide 9

Slide 9 text

Copyright © Henry, Inc. All rights reserved. 政府は「医療DX 令和ビジョン2030」で全国医療情報プラットフォームを構築し、2030年までにほぼ全ての医療機関のデータを相互に閲覧可能にする工程表を提示しています。一方でシステムを共有する機関のうち数か所でもサイバーセキュリティが充分でないと、そこから情報が漏洩する可能性が出てきます。たとえば大阪急性期・総合医療センター様の事例では、給食システムから病院に侵入されています。よって医療機関ないし関係事業者におけるサイバーセキュリティの「底上げ」が求められており、特に個人情報を扱う主体である医療機関において対応が求められております。 9 なぜ今、サイバーセキュリティなのか？

Slide 10

Slide 10 text

Copyright © Henry, Inc. All rights reserved. 大分県立看護科学大学の「医療提供者が起こした個人情報漏えいの事故原因に関する研究」[2]（2018年）によれば、不正アクセス以外にも盗難、誤操作、紛失などによっても個人情報は漏洩しています。院内における医療情報の5W1Hを理解し、複数のアプローチを組み合わせてサイバーセキュリティ対策を打っていく必要があります。脅威としてランサムウェアが注目されているが、それだけではない [2] https://www.oita-nhs.ac.jp/site/daigakuanai/474.html 10

Slide 11

Slide 11 text

Copyright © Henry, Inc. All rights reserved. 自治体による立入検査で使用するために厚生労働省が示している「医療機関におけるサイバーセキュリティ対策チェックリスト」を参照するのが最適と思われます。必要最低限に絞った令和5年度から回数を重ね、本年度は3回目の実施です。このチェックリストを順を追って対応することで、院内の規程や体制が作られ、より複雑な打ち手を打ちやすくなっていくと期待できます。またステークホルダーに対し、必要性の説明がしやすくなると思われます。複数のアプローチとは言うが、結局どこから着手すればいいのか？ 11

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Copyright © Henry, Inc. All rights reserved. 院内にVPNサーバを置くことは攻撃の可能性をつくることですから、事業者は医療機関に断りなく実施するべきではありません。「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」で、国は事業者に対して医療機関にリスクを伝えることを求めています。言い換えると、リスクの扱いは事業者ではなく医療機関が決めることが求められています。リスク・コミュニケーションについての詳細はnote記事[3]を参照ください。 14 リスク・コミュニケーションについて [3] https://note.com/henry_app/n/n5a559be5c038

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright © Henry, Inc. All rights reserved. 作業用端末やアカウント数で課金額が決まる一部のSaaSなどについて、共有アカウントを用いることで運用の手間と金銭コストを下げる場合があります。これは一見合理的ですが、仮にログが保全できていたとしても「その操作が誰によって行われたのか」が特定できないため、個人情報を扱うシステムでの利用は避けたほうが良いです。同様の理由から、ゲストアカウントでもアクセスできる共有フォルダに個人情報を置くことも避けるべきでしょう。 17 共有アカウントのリスク

Slide 18

Slide 18 text

Copyright © Henry, Inc. All rights reserved. 岡山県精神科医療センター様の報告書（8.3.7）では「一般的なソフトウェア開発 Framework を使用する限り、Windows Update の弊害はないといえる状況にある」としています。一方で24H2におけるファイル共有の仕様変更の例もあるため、情報の収集と判断は都度必要です。対策チェックリスト（3/6） 18

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright © Henry, Inc. All rights reserved. 厚生労働省の資料や事業者とのコミュニケーションで、責任分界点という「どこからどこまでが医療機関の責任で、どこから先が事業者の責任か」の話がされることがあります。ガイドライン 6.0版（経営管理編）には ● 情報セキュリティインシデントの原因・影響等に関する説明責任 ● 再発防止策等の善後策を講じる責任 ● 受託事業者の過失等に対する管理責任が医療機関等における責任として明記されています。そしてこれらを全うするためには、医療機関がシステム全体について詳しいことが欠かせません。チェックリストが台帳の管理を求めているように、医療情報システムの運用や実態についてひろく医療機関が把握することは、ベンダー丸投げを脱却する第一歩となります。 21 責任分界点を明確にすることは、医療機関にとって大切です

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Copyright © Henry, Inc. All rights reserved. 院内の情報や端末、機器の情報を集めて台帳を作成し、実態を掴むところから始めましょう。セキュリティパッチをあてられないOSやシステム、アカウント管理がチェックリストどおりに運用できないOSやシステムを把握し、そこから情報が漏洩した場合の対応を検討しましょう。複数事業者が関係している境界部分は特に責任が不明瞭なことが多いため、契約を確認して責任分界点を明確にするよう努めましょう。またMDS/SDSを集めることで、いまの医療情報システムの課題が見えてきます。事業者が行うリスク・コミュニケーションに耳を傾け、リスクをどう扱うか検討してください。 23 対策チェックリストまとめ

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Copyright © Henry, Inc. All rights reserved. 半田病院様のサイトで公開されている「コンピュータウイルス感染事案有識者会議調査報告書ー技術編ー」[5]にはActive Directory Group Policy の強化設定が 64ページにわたり掲載されています。これを理解し運用に落とし込める人材がいない医療機関も多いのではないでしょうか。 Active Directoryのような長い歴史のあるシステムは、なんでもできる反面、運用が複雑化することがあります。より自由度の低い、パターン化されたシステムを適用することで運用の難度を下げられる可能性があります。 Windowsグループポリシーを設定するだけでも、かなり大変 [5] https://www.handa-hospital.jp/topics/2022/0616/index.html 25

Slide 26

Slide 26 text

Copyright © Henry, Inc. All rights reserved. こうした対策にはシステムの新規導入や端末のリプレイスといった手間と資金が必要になります。しかし診療報酬への影響は限定的で、投資をためらう方も多いと存じます。サイバーセキュリティは診療報酬を底上げる施策ではなく将来的なトラブルに対するリスク管理である、という点が問題を難しくしています。たとえば大阪急性期・総合医療センター様の事例では、調査・復旧に掛かった費用が数億円以上、診療制限に伴う逸失利益は数十億円の規模に達すると見込まれています[4]。一方で原因となった給食システムを使っていた他の2医療機関では対策が行われており、侵入を免れました（大阪事例報告書 5.7.3）。人件費率の高い医療機関においてこうした投資が難しいことは疑いのない事実ですが、まずは収入のn%をセキュリティにかける、というように予算を決め、やれるところから取り組まれてはと考えます。 26 サイバーセキュリティはお金がかかる……ように見えるが、実は安いかもしれない [4] https://dcross.impress.co.jp/docs/column/column20240314/003608-2.html

Slide 27

Slide 27 text

Copyright © Henry, Inc. All rights reserved. 作業端末をWindowsではなく Chromebookとすることで、端末管理を容易にしマルウェアやランサムウェアへの対策を高めることができます。コストを下げることにも繋がります[6]。ログインにGoogleアカウントを利用するため端末がインターネットに接続可能である必要はありますが、これはセキュリティパッチ適用や定義ファイルの更新、暗号化のための時刻合わせといった観点からは他の端末でも必要となります。たとえばChromebookを使うという選択肢 27 [6] https://services.google.com/fh/files/misc/idc_business_value_of_chrome_os_paper.pdf 参考資料非公開

Slide 28

Slide 28 text

Copyright © Henry, Inc. All rights reserved. 厚生労働省の「医療分野のサイバーセキュリティ対策について」ページからもリンクされているサービスです。サイバーセキュリティ対策のとっかかりが得られない場合、あるいは事業者の見積が高いと感じた場合に検討されてはと思います。サイバーセキュリティお助け隊サービス[7]を使う 28 [7] https://www.ipa.go.jp/security/otasuketai-pr/

Slide 29

Slide 29 text

Copyright © Henry, Inc. All rights reserved. 職員教育はサイバーセキュリティ対策においてとても重要、かつランニングコストがかかります。厚生労働省委託事業である医療機関向けセキュリティ教育支援ポータルサイト[8]が公開する資料を流用することで、準備の手間を減らし質を確保できます。また半田病院様や大阪急性期・総合医療センター様のインタビュー記事もあり、経営者研修も用意されているため、経営層の意識付けのきっかけにもできます。研修は申し込み時期が限られていますので、ご注意ください。医療機関向けセキュリティ教育支援ポータルサイトを使う 29 [8] https://mist.mhlw.go.jp/

Slide 30

Slide 30 text

Copyright © Henry, Inc. All rights reserved. 大阪事例報告書をはじめとして「医療機関はシステムの専門家ではないため、業界で共有される仕組みが各医療機関を監督するべき」という意見があります。しかし登壇者の意見としては、あまりうまくないと感じています。医療機関におけるサイバーセキュリティ対策や情報の流通設計はそのまま経営判断ですから、コンテキストを共有しない部外者の決断を待ったりポリシーに振り回されたりするのも妙な話です。ベンダー丸投げの脱却という観点からも医療機関内、できればその経営層にシステムを理解している医療情報システム安全管理責任者を設置することは目指したほうが良いと考えています。 30 それでも最後は、詳しい人を探したほうが良さそう

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Copyright © Henry, Inc. All rights reserved. 厚生労働省が提供するチェックリストは非常に少ない項目で参照しやすく、また医療機関が医療情報システムのコントロールを取り戻すうえで効果的な施策がまとまっています。まず台帳を作成して実態を把握し、規程の策定を通じてあるべき姿を描き、システム整備と職員教育を通じて実現していきましょう。「ベンダーに任せればサイバーセキュリティは盤石」とはならないことや、閉域網が安全ではないことは、過去事例の報告書から明らかです。最終責任者である医療情報が絵を描きベンダーはそれを支援する形とすることがガイドラインが目指している姿ですが、人材や資金の観点から一足飛びに実現できるものではありません。国の支援を受けつつ「靴に足を合わせる」ことで、低コストに安全な医療情報システムの構築を目指してはいかがでしょうか。 32 国のチェックリストから始めてベンダー丸投げからの脱却を

Slide 33

Slide 33 text

Copyright © Henry, Inc. All rights reserved. 株式会社ヘンリーは中小病院向けクラウドネイティブ電子カルテを業界で唯一展開しているベンダーです。弊社サービスはクラウドに最適化されたシステムですから、世界的大企業が提供するセキュリティのうえに構築されております。院内でも最新のOSやシステムが使えるようになるうえ、サーバ室やカルテ庫を抱える必要性から開放されます。クラウドネイティブを事業者目線で見ると、院内へのハードウェア設置がなくなりエンジニアの訪問対応も不要となるため、維持コストは低減されます。医療情報システム全体への投資が求められるいま、電子カルテ単体のコストを抑えつつ最新のOSやシステムを制限なく採用できるクラウドネイティブ電子カルテは有力な選択肢であると考えています。 33 クラウドネイティブ電子カルテという選択肢

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Copyright © Henry, Inc. All rights reserved. 岡山県精神科医療センター様事例の報告書では、OS標準のWindows Defenderで充分との言及があります。導入する強い理由がなければ、OS標準機能が正常に動作する環境の構築を優先してもよいでしょう。マルウェア対策にしろEDRにしろMDMにしろ、どのような機能を持っているかだけでなく、どのように運用するかが鍵になります。使いこなす体制が構築できないうちは「足を靴に合わせる」ことを意識し、OSや代表的なシステムの標準機能でできる範囲で充分な対策とするために運用を見直しても良いと思われます。 36 マルウェア対策ソフトウェアは必要か

Slide 37

Slide 37 text

Copyright © Henry, Inc. All rights reserved. 対策が多数打てる状況でサイバー保険を検討するのは順序が違うかもしれません。また保険では金銭的な被害は一部補填できても、患者様からの信頼を補填することはできない点にも注意は必要です。一方で対策を済ませた医療機関様では、インシデント発生時に打てる手が増える可能性もあるため、前向きに検討しても良いかもしれません。 37 サイバー保険はどうか？

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Copyright © Henry, Inc. All rights reserved. 1. ゼロトラストの導入 a. 認証認可の徹底（共用端末） b. ゲストアクセスの廃止（ファイル連携、ソケット連携など） c. 通信の暗号化（ファイル連携、ソケット連携など） 2. 多層防御の強化 a. ネットワークのセグメント分割（大阪事例報告書や半田病院様現状報告[a]など参考） b. 閉域網の縮小化[b] 3. 契約やガイドラインの再確認 a. ガイドラインに記載の暗号化やVPNの要請を満たせているか b. 経済産業省「医療情報システムの契約における当事者間の役割分担等に関する確認表」や JAHIS標準「リモートサービスセキュリティガイドライン」も事業者との交渉に便利 4. 策定したBCPに基づく訓練の定期的な実施 39 チェックリストでは不足している方へのご提案 [a] https://cloud.watch.impress.co.jp/docs/news/2022575.html [b] https://note.com/henry_app/n/n44dd67952aa1

Slide 40

Slide 40 text

Copyright © Henry, Inc. All rights reserved. 2020年10月、東証の当時のCIOがシステム障害について説明をした際の対応[c] がインシデント発生時の経営の対応としてはひとつの完成形であると考えます。 CIOの発言には基本的だが今でも実践が難しい概念が多く含まれています。 ● 機械は壊れるという前提でシステムを運用し備えている ● 事業者のせいにせず、導入の段階から主体的に関わっている ● 対外的に自分の言葉でわかりやすく状況と計画を説明している現時点では参考にできる医療情報安全管理責任者のロールモデルが少ないため、こうして他業界のCIOやCISOについて参考にされるのも良いかもしれません。 40 医療情報安全管理責任者にとって完成された目標としての東証の事例 [c] https://cto-a.org/news/20201005

Slide 41

Slide 41 text

Copyright © Henry, Inc. All rights reserved. 弊社サービスをご利用の医療機関様では医師の宿直免除[d]や在宅でのリモートワーク[e]、厚生局調査対応の工数削減[f]といった事例がございます。電子化や国のシステムの対応には労働人口減少をはじめとした「守り」の側面もございますが、労働の柔軟性や負荷低減による優秀な人材へのアピールや定型業務の削減による本質的な問い（ケアの質向上など）への工数活用といった「攻め」の側面も見出すこともできます。医療情報の電子化が当たり前になる2030年において、医療機関としてどのような強みを発揮するかを考えたときに、電子化は避けられないのではないでしょうか。 41 [d] https://lp.henry-app.jp/column/20250530_report [e] https://note.com/henry_app/n/nd5e01a091f08 [f] https://note.com/henry_app/n/n0475460d0517 こんなにサイバーセキュリティって大変なのに、電子化やる意味はあるのか