「電子カルテはサイバー攻撃の対象なの？」

「電子カルテのセキュリティ対策はどうすればいいの？」

電子カルテを導入している医療機関で働く方で、上記のような不安を抱えている方もいるのではないでしょうか？

サイバー攻撃を受けると患者の情報が漏洩するなど、クリニックの信頼失墜につながりかねません。しかし、具体的にどのような対策が有効かわからない方もいるでしょう。

当記事ではサイバー攻撃の説明や日本の医療機関へのサイバー攻撃事例、ランサムウェア被害を防ぐセキュリティ対策を紹介します。

そもそもサイバー攻撃とは？

サイバー攻撃とは電子カルテやパソコンが接続しているネットワークから、データを盗まれることやデータを壊されることを意味します。電子カルテには患者の個人情報やクリニックの機密情報など、重要なデータが入っているため対策しなくてはなりません。

サイバー攻撃による危険性

サイバー攻撃の危険性としてあげられるのは、以下の項目です。

• 損害賠償責任リスク
• 情報漏洩リスク
• 事業中断リスク
• 危機管理対応リスク

電子カルテに保管されている重要な情報が、サイバー攻撃により外部に流出してしまった場合、損害賠償につながる可能性があります。

また、データが流出したことで患者からの信頼を失い患者が離れてしまう可能性もあるでしょう。結果として、クリニックを続けられなくなるケースも出てきます。

患者の信頼を失わないで、事業を続けるためにもセキュリティ対策は必ず行わなければなりません。

ランサムウェアとは？

パソコンや電子カルテを暗号化して使用できない状態にし、ファイルを戻す代わりにお金を要求するのがランサムウェアです。ランサムウェアに感染した段階で金銭の要求に加えて、すでにデータが抜き取られている可能性もあります。

脅迫文などがパソコン上に表示されるようになり、ランサムウェアに感染したか判断可能です。

日本の医療機関へのサイバー攻撃事例

日本の医療機関へのサイバー攻撃事例は、以下の表をご覧ください。

引用：厚生労働省

厚生労働省も医療機関に注意喚起している

厚生労働省は「医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)」で医療機関に注意喚起を促しています。

「サイバー攻撃による被害が増えている」「サイバー攻撃で患者の情報が漏洩すると多大な被害を引き起こす」などが、上記の内容です。

参考：医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)

ランサムウェア被害を防ぐセキュリティ対策6選

ランサムウェア被害を防ぐセキュリティ対策は、以下の6つです。

• スタッフのセキュリティ・リテラシーを高める
• ネットワーク監視ツールを導入する
• 認証サーバを導入する
• 機器やソフトは最新状態を保つ
• 防犯システムを強化する
• BCP（事業継続計画）対策を策定する

それぞれ詳しく紹介します。

1.スタッフのセキュリティ・リテラシーを高める

ランサムウェア被害を防ぐためにも、スタッフにセキュリティ・リテラシーを高めなければなりません。セキュリティ・リテラシーを高めるには、クリニックで情報セキュリティ対策の方針などを定める必要があります。

方針を決定した後は医師や看護師、事務スタッフを含めたすべてのスタッフで共有しましょう。セキュリティ・リテラシーを高めることが、ランサムウェア被害防止につながります。

2.ネットワーク監視ツールを導入する

ネットワーク監視ツールを導入しましょう。

ランサムウェアへの感染経路は「VPN機器からの感染」が半数以上を占めています。ネットワーク監視ツールを導入すると、ランサムウェア感染の早期発見が可能です。

早期発見段階で対策を打てるように、ネットワーク監視ツールは必ず導入しましょう。

参考：令和４年上半期におけるサイバー空間をめぐる脅威の情勢について

3.認証サーバを導入する

ランサムウェア被害を防ぐためにも、認証サーバを導入しましょう。認証サーバを導入するとネットワークへログインする際は、IDとパスワードが必要になります。

外部からの怪しいアクセスを防止できるようになり、ランサムウェア感染を防げるようになるでしょう。

4.機器やソフトは最新状態を保つ

クリニックで使用している機器やソフトは、最新状態を保つようにしましょう。

ランサムウェアは日々進化しています。古い機器やウイルス対策ソフトを使用していると、最新のランサムウェアに対応できない可能性が出てきます。

最新のランサムウェアに対抗するためにも、必ず機器やソフトは最新状態にアップデートしなければなりません。

5.防犯システムを強化する

防犯システムを強化して、ランサムウェア被害を防ぎましょう。

ネットワーク上だけではなく、USBなどからもランサムウェアに感染する可能性があります。USBなどからのランサムウェア感染を防ぐためには、防犯カメラなど物理的な対策も十分効果的です。

6.BCP（事業継続計画）対策を策定する

ランサムウェア被害にあったときのためにも、BCP（事業継続計画）対策を策定しましょう。

ランサムウェア感染した際のBCPとして「どのような対応をとるか」「システム復旧の方法」などを決めておく必要があります。被害を最小限にとどめるためにも、事前にBCP対策を策定しておきましょう。

電子カルテサイバー攻撃に関するよくある質問

電子カルテサイバー攻撃に関するよくある質問は、以下の通りです。

• サイバー攻撃リスクに備えた保険はありますか？
• もし攻撃された時はまず何をすべきですか？

疑問を解消できるように、それぞれ詳しく紹介します。

質問1.サイバー攻撃リスクに備えた保険はありますか？

サイバー攻撃リスクに備えた保険は存在します。サイバー攻撃の被害にあい個人情報が漏洩すると、億単位の費用がかかる可能性も少なくありません。

クリニックを継続するためにも、必ずサイバー攻撃リスクに備えた保険に加入しておきましょう。

質問2.もし攻撃された時はまず何をすべきですか？

もしサイバー攻撃の対象になった場合は、ネットワークを切断しましょう。サイバー攻撃にあった場合、操作を続けるとランサムウェア感染が広がる可能性があります。

被害を最小限にとどめるためにも、必ずネットワークを切断してください。

まとめ

ここまで、サイバー攻撃の説明や日本の医療機関へのサイバー攻撃事例、ランサムウェア被害を防ぐセキュリティ対策を紹介しました。

サイバー攻撃の対象になると個人情報やクリニックのデータが漏洩して、損害賠償を請求される可能性があります。ランサムウェア感染を防ぐには、スタッフのセキュリティ・リテラシーの向上や機器やシステムを最新にしておかなければなりません。

また、クリニックを継続するためにも事前に保険に加入しておくのも有効な手段です。十分な対策を講じて、サイバー攻撃を防ぎましょう。