標的になる医療機関
イントラネットの盲点
また3月には、チェコの新型コロナ感染検査の拠点となっている病院がサイバー攻撃を受け、病院のシステムが停止。新型コロナ患者の受け入れができなくなっただけでなく、手術を受けられない患者が出て、重症患者を別の病院に移送せざるをえなくなるなど、危険な事態になった。さらに現在、ワクチンの開発などを急ピッチで進めている世界各地の医療機関などもサイバー攻撃に晒（さら）されている。
日本の医療機関も、医療関係者あての偽メールによる攻撃はもちろん、病院のセキュリティーが直接攻撃されるリスクは十分ある。医療機関のセキュリティーに詳しい愛知医科大学医療情報部長の深津博氏は、「日本の病院にはそもそもセキュリティーに詳しい人材は非常に少なく、ほとんどの病院では最低限のセキュリティー環境しか整っていない」という。
18年、奈良県の宇陀市立病院において、医療情報システムに関係する8台の端末がウイルスに感染し、患者のカルテが暗号化され参照できなくなる事態が発生した。
今年2月に公表された宇陀市の報告書によると、事象が発生した際に初期対応が不適切であったため、そもそも正確な原因究明ができず、個人情報の漏洩の有無について明確に否定することが不可能な状況だという。市は第三者による有識者会議を立ち上げ、システム業者の管理や障害発生時の運用が適切でなく、病院のガバナンスに問題があった点を指摘している。
医療機関では、インターネットに接続されていないことを理由に、医療機器類に繋ぐパソコンのOSが古いままであったり、ソフトがアップデートされていないことが多い。しかし、セキュリティーベンダーによる遠隔操作での保守作業など、外部との接点が全くないわけではない。そのため、外部から特定の組織を狙う標的型攻撃を受けその接続を狙われてしまったり、インターネット上に蔓延するウイルス等に感染してしまえば、電子カルテを含む院内のすべてのシステムや機器類を攻撃されてしまう。
情報セキュリティーに詳しい情報安全保障研究所の山崎文明首席研究員によると、「ハッカーを対象に海外で開催された、病院をサイバー攻撃する模擬イベントでは、病院の保守用回線を狙うハッカーが多かった」という。
現在、オンライン診療が拡大中だが、これもシステム上の弱点を抱えている。例えば患者側のパソコンがウイルスに感染していると、健康状態のデータをやり取りする際、それが医療機関側のパソコンに移って、院内のセキュリティーを脅かしたり、情報を盗まれる可能性がある。こうしたリスクに対する体制が十分にできていない恐れがあると、前出の深津氏は指摘する。
こうした現実を前に、私たちはどう備えるべきか。テレワークでは少なくとも、使用するパソコンのOSを最新のものにアップデートしたり、WiーFiの通信環境をできる限り安全な状態にするなどの対策が不可欠である。
