2023.01.04

サイバー攻撃から電子カルテを守る！～防ぐための具体的な方法を紹介～

クリニックで普及が進む電子カルテは、診療を行う上で不可欠なものとなり、また、オンライン資格確認やオンライン診療、地域連携に関わるシステムなど、クリニックの外部と繋がずに医療連携、医療の質の向上を目指すことは困難な時代となりました。

一方で近年、複数の医療機関の電子カルテがランサムウェアによる攻撃を受け、使用できなくなった事件が相次ぎ報道されています。電子カルテが使えなくなることで診療に影響を与え、外来診療や手術の延期・中止をせざるを得なくなります。また、個人情報保護法が定める「個人情報」「要配慮情報」を扱うことから、データが流出した場合の影響は甚大です。

医療情報のデータ化、ネットワークの外部接続化は医療機関の利便性を大きく高めますが、同時にセキュリティの適切な対策が強く求められます。適切な人材がおらずITの専門知識を内部で蓄積しにくい、また、経営上のマネジメントよりも提供する医療の質が重視されやすいといった理由から、クリニックではセキュリティに対する理解や適切な運用が後回しになりがちではないでしょうか。

本記事では、サイバー攻撃から電子カルテを守るために行うべきこと、具体的な取り組み方法についてご説明します。

サイバー攻撃を受けた医療機関は診療機能が停止

徳島県にある町立半田病院は2021年10月、ランサムウェアの攻撃を受け、電子カルテの患者情報が暗号化されたために診療データを閲覧することができなくなりました。直ちに復旧作業が始まりましたが、診療が感染前の状況に戻るまで、およそ2カ月要しています。2022年10月には、大阪府立病院機構大阪急性期・総合医療センターも同様にランサムウェアによって電子カルテに障害が発生し、多くの通常診療を休止せざるをえない状況になっています。

ランサムウェアは医療機関にどのように侵入したのでしょうか。半田病院の報告書では、VPN機器を経由して侵入したと推測されると言及されています。ランサムウェアに限らず、サイバー攻撃はVPN等ネットワークの脆弱性を突いて侵入することが少なくありません。VPN接続の修正プログラムは適宜各メーカーから提供されていますが、ユーザーによるパッチの適用が進まず、JPECERT等の団体の調べによると、ウイルスの検出数は減少していないとしています。

クリニックも対岸の火事ではない

半田病院で見つかったランサムウェアのウイルス型は、「LockBit」と呼ばれる「標的・やりとり型」でした。ランサムウェアによるサイバー攻撃者は、身代金を得ることを攻撃の目的としています。そのため、多量のデータを保持し、多額の金額を用意しやすい大規模病院など特定の医療機関が狙われやすいと考えるかもしれません。しかし、半田病院のように比較的小さく利益が出にくいような地方病院が狙われていることを考えると、攻撃者はネットからアクセスが容易で、脆弱性が放置されている施設をまず標的にしている、とも思われます。また、「WannaCry」と呼ばれる「無差別・ばらまき型」のランサムウェアのウイルス型もあります。クリニックは病院が攻撃されたニュースを聞いて、決して対岸の火事と片付けるべきではありません。

ランサムウェアとその対策についての詳細は、2021年9月に内閣サイバーセキュリティセンターが開設した「サイバーセキュリティ・ポータルサイト」をぜひご覧ください。

また厚生労働省では、相次ぐ医療機関へのサイバー攻撃を受けて、同省のサイトで「医療機関等におけるサイバーセキュリティ対策の強化について（注意喚起）を発表しています。

攻撃を防ぐために、まず行うこと

まずはパソコンのOSを最新の状態に保つことが大事です。OSをアップデートし、脆弱性に対するセキュリティパッチが公開されればインストールしましょう。また、ウイルス対策ソフトをインストールし、ウイルス定義ファイルを最新の状態に保ちましょう。自動更新設定とすることが望ましいです。さらに、不審なメールの添付ファイルの開封や、メールに記載されたURLへのアクセスはしない、業務外で使用しているメモリや外付けハードをUSB等で端末に接続しないことも重要です。

クラウド型の電子カルテを使用している場合、電子カルテで使用するネット回線と業務外の閲覧やメールなどで使用する回線系統はできる限り分けることを検討しましょう。さらに、外部からの接続を徹底してコントロールするには、インターネットと診療情報のネットワークを分離するのもおすすめです。そうすれば、電子カルテを使うパソコンからはインターネットにつながらないため、直接的なサイバー攻撃を受けることはありません。

サイバー攻撃から電子カルテを守るためには、さらに次の3点を行うことをお勧めします。

このあと順にご説明します。

クリニックの方針に合った電子カルテを選ぶ

メーカーによって、操作機能性の追求を重視する、またはセキュリティやその対策のしやすさなどを含めたハード面の性能やネットワーク構築の方法を重視する等の方向性の違いがあり、そのことから、異常発生時のサポートサービスの内容や提供方法にメーカーによる違いがみられます。メーカーの担当者に質問するなどして、クリニックの考えとメーカーの考えが一致するかも確認したほうがよいでしょう。さらに、専用ルーターに特定のURLに対するフィルター設定機能がある電子カルテ製品があります。ネットワークから電子カルテへ流れてくる通信をコントロールすることができます。

情報セキュリティに係る公的な第三者認証であるプライバシーマークまたは ISMS 認証をメーカーが保持していることは、医療情報を取り扱う事業者としての適格性を示します。

電子カルテを適切に運用する仕組みを作る

「医療情報システムの安全管理に関するガイドライン」では、電子カルテを安全に運用するために、クリニックは電子カルテの「運用管理規程」を定める必要があるとしています。メーカーの中には、規程のひな形を提供してくれるところもありますので活用しましょう。開業後に厚生局による個別指導を受けるとき、規程をもとに運用状況をチェックされることもあります。規程は作成して終わりと考えず、ガイドラインの更新や電子カルテの運用の変更に合わせ、適切にアップデートしてください。

医療機器やITシステムの回線接続異常を監視するサービス会社が多数あります。インターネット回線の被害発見・回復は電子カルテメーカーの通常サポート外ですので、クリニックの状況次第でサービスの契約を検討しましょう。

スタッフとセキュリティ意識の共有を行う

システムの機能やツールのみに頼ったセキュリティ対策だけでは十分ではありません。むしろ「人」こそが変わり、組織の全員が主体的に対策を実行するようにならなければなりません。ウイルスが添付されたメールをスタッフの誰かが開いたことで、いつも使用するパソコンのモニター画面が突然見慣れない画面に変わることがあります。院長や事務長だけが意識すれば防げるわけでなく、診療情報を共有するスタッフもセキュリティを意識し、日々の業務に向き合うようになりましょう。