【医療機関向け】サイバー攻撃から電子カルテを守る！ランサムウェア被害を防ぐセキュリティ対策を紹介
電子カルテを導入している医療機関で働く方で、上記のような不安を抱えている方もいるのではないでしょうか？
サイバー攻撃を受けると患者の情報が漏洩するなど、クリニックの信頼失墜につながりかねません。しかし、具体的にどのような対策が有効かわからない方もいるでしょう。
当記事ではサイバー攻撃の説明や日本の医療機関へのサイバー攻撃事例、ランサムウェア被害を防ぐセキュリティ対策を紹介します。
目次[非表示]
そもそもサイバー攻撃とは？
サイバー攻撃とは電子カルテやパソコンが接続しているネットワークから、データを盗まれることやデータを壊されることを意味します。電子カルテには患者の個人情報やクリニックの機密情報など、重要なデータが入っているため対策しなくてはなりません。
サイバー攻撃による危険性
サイバー攻撃の危険性としてあげられるのは、以下の項目です。
- 損害賠償責任リスク
- 情報漏洩リスク
- 事業中断リスク
- 危機管理対応リスク
電子カルテに保管されている重要な情報が、サイバー攻撃により外部に流出してしまった場合、損害賠償につながる可能性があります。
また、データが流出したことで患者からの信頼を失い患者が離れてしまう可能性もあるでしょう。結果として、クリニックを続けられなくなるケースも出てきます。
患者の信頼を失わないで、事業を続けるためにもセキュリティ対策は必ず行わなければなりません。
ランサムウェアとは？
パソコンや電子カルテを暗号化して使用できない状態にし、ファイルを戻す代わりにお金を要求するのがランサムウェアです。ランサムウェアに感染した段階で金銭の要求に加えて、すでにデータが抜き取られている可能性もあります。
脅迫文などがパソコン上に表示されるようになり、ランサムウェアに感染したか判断可能です。
日本の医療機関へのサイバー攻撃事例
日本の医療機関へのサイバー攻撃事例は、以下の表をご覧ください。
年月 |
サイバー攻撃対象に なった医療機関 |
被害内容 |
2017.8～2018.1. |
福島医大病院（福島県） |
検査装置の不具合が多発し、患者のCTを撮り直さなければならないなどの被害が発生。院内のネットワークはインターネットに接続していなかったため、誰かがウイルス感染したPCを院内ネットワークに接続したことで感染が広がった可能性が疑われた。病院は、身代金の要求には応じず、患者への被害もなかった |
2017.12. |
新潟大学医歯学総合病院（新潟県） |
治験に関する患者の個人情報が格納されたPC1台がランサムウェアに感染。 調査の結果、感染したウイルスに情報窃取の機能がないこと、個人情報漏洩も確認されていないことを発表した。 |
2018.10. |
宇陀市立病院（奈良県） |
電子カルテシステムがランサムウェアに感染、診療部門のサーバ4台、診療部門の端末2台、ウイルス対策サーバ1台、看護部門サーバ1台に感染拡大し、システムが使用できなくなった。その後、システムは復旧したが一部の患者カルテ情報が暗号化され、医療費補助の償還が遅れるなどの影響があった。ただ、証拠保全を行わずにシステムを再セットアップしてしまったため、正確な原因はわからなかった |
2019.5. |
多摩北部医療センター（東京都） |
同病院の医師が、PCに送られた不正アクセス目的のメールの添付ファイルを開いたところマルウェアに感染、患者や関係者の個人情報3,700人分が流出した可能性があることが発覚した。また、この医師の名前を騙ったスパムメールが送られるという被害もあった。 |
2021.5. |
市立東大阪医療センター（大阪府） |
遠隔読影システム（患者のCTやMRIなどの画像による診断システム）がランサムウェア攻撃を受け、サーバダウンした。画像の閲覧ができないため撮り直すなどの被害が発生、別サーバで運用したが、バックアップも暗号化されてしまったため完全復旧には時間がかかった。原因は、セキュリティソフトの脆弱性を狙われたことだった |
2022.6. |
鳴門山上病院（徳島県） |
ランサムウェアによる攻撃で、電子カルテや院内LANが使用できなくなった。オフラインでバックアップしていたため、それを用いてサーバを回復させることができた。 |
引用：厚生労働省
厚生労働省も医療機関に注意喚起している
厚生労働省は「医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)」で医療機関に注意喚起を促しています。
「サイバー攻撃による被害が増えている」「サイバー攻撃で患者の情報が漏洩すると多大な被害を引き起こす」などが、上記の内容です。
参考：医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)
ランサムウェア被害を防ぐセキュリティ対策6選
ランサムウェア被害を防ぐセキュリティ対策は、以下の6つです。
- スタッフのセキュリティ・リテラシーを高める
- ネットワーク監視ツールを導入する
- 認証サーバを導入する
- 機器やソフトは最新状態を保つ
- 防犯システムを強化する
- BCP（事業継続計画）対策を策定する
それぞれ詳しく紹介します。
1.スタッフのセキュリティ・リテラシーを高める
ランサムウェア被害を防ぐためにも、スタッフにセキュリティ・リテラシーを高めなければなりません。セキュリティ・リテラシーを高めるには、クリニックで情報セキュリティ対策の方針などを定める必要があります。
方針を決定した後は医師や看護師、事務スタッフを含めたすべてのスタッフで共有しましょう。セキュリティ・リテラシーを高めることが、ランサムウェア被害防止につながります。
2.ネットワーク監視ツールを導入する
ネットワーク監視ツールを導入しましょう。
ランサムウェアへの感染経路は「VPN機器からの感染」が半数以上を占めています。ネットワーク監視ツールを導入すると、ランサムウェア感染の早期発見が可能です。
早期発見段階で対策を打てるように、ネットワーク監視ツールは必ず導入しましょう。
参考：令和４年上半期におけるサイバー空間をめぐる脅威の情勢について
3.認証サーバを導入する
ランサムウェア被害を防ぐためにも、認証サーバを導入しましょう。認証サーバを導入するとネットワークへログインする際は、IDとパスワードが必要になります。
外部からの怪しいアクセスを防止できるようになり、ランサムウェア感染を防げるようになるでしょう。
4.機器やソフトは最新状態を保つ
クリニックで使用している機器やソフトは、最新状態を保つようにしましょう。
ランサムウェアは日々進化しています。古い機器やウイルス対策ソフトを使用していると、最新のランサムウェアに対応できない可能性が出てきます。
最新のランサムウェアに対抗するためにも、必ず機器やソフトは最新状態にアップデートしなければなりません。
5.防犯システムを強化する
防犯システムを強化して、ランサムウェア被害を防ぎましょう。
ネットワーク上だけではなく、USBなどからもランサムウェアに感染する可能性があります。USBなどからのランサムウェア感染を防ぐためには、防犯カメラなど物理的な対策も十分効果的です。
6.BCP（事業継続計画）対策を策定する
ランサムウェア被害にあったときのためにも、BCP（事業継続計画）対策を策定しましょう。
ランサムウェア感染した際のBCPとして「どのような対応をとるか」「システム復旧の方法」などを決めておく必要があります。被害を最小限にとどめるためにも、事前にBCP対策を策定しておきましょう。
電子カルテサイバー攻撃に関するよくある質問
電子カルテサイバー攻撃に関するよくある質問は、以下の通りです。
- サイバー攻撃リスクに備えた保険はありますか？
- もし攻撃された時はまず何をすべきですか？
疑問を解消できるように、それぞれ詳しく紹介します。
質問1.サイバー攻撃リスクに備えた保険はありますか？
サイバー攻撃リスクに備えた保険は存在します。サイバー攻撃の被害にあい個人情報が漏洩すると、億単位の費用がかかる可能性も少なくありません。
クリニックを継続するためにも、必ずサイバー攻撃リスクに備えた保険に加入しておきましょう。
質問2.もし攻撃された時はまず何をすべきですか？
もしサイバー攻撃の対象になった場合は、ネットワークを切断しましょう。サイバー攻撃にあった場合、操作を続けるとランサムウェア感染が広がる可能性があります。
被害を最小限にとどめるためにも、必ずネットワークを切断してください。
まとめ
ここまで、サイバー攻撃の説明や日本の医療機関へのサイバー攻撃事例、ランサムウェア被害を防ぐセキュリティ対策を紹介しました。
サイバー攻撃の対象になると個人情報やクリニックのデータが漏洩して、損害賠償を請求される可能性があります。ランサムウェア感染を防ぐには、スタッフのセキュリティ・リテラシーの向上や機器やシステムを最新にしておかなければなりません。
また、クリニックを継続するためにも事前に保険に加入しておくのも有効な手段です。十分な対策を講じて、サイバー攻撃を防ぎましょう。
