2023.06.14

医療機関へのサイバー攻撃。どう備える？

近年、官公庁や大企業だけでなく、病院や診療所に対してもサイバー攻撃が増加していることはご存知でしょうか？国内ネットワークに向けられたサイバー攻撃関連通信の件数は年々増加しており、2020年には5,001億件（2017年の3倍）ものサイバー攻撃がありました。従来のサイバー攻撃は、機密情報を保有する国、官公庁や一部の大企業がターゲットと考えられていましたが、近年のサイバー攻撃の傾向をみると、企業規模や機密情報の有無にかかわらず標的として狙われるようになってきています。

サイバー攻撃とは？

サイバー攻撃とは、サーバーやパソコンなどのコンピューターシステムに対しネットワークを通じて破壊活動やデータの窃取、改ざんなどを行うことです。企業・個人を問わず不特定多数を無差別に攻撃し、その目的もさまざま。

主な攻撃方法として、

• DDoS攻撃（標的としたサーバーの処理能力を超える負荷を複数の攻撃用PCにより与える攻撃）
• 標的型メール攻撃（特定の企業や個人から機密情報やアカウント情報などを窃取しようとするメールによる攻撃）
• 踏み台攻撃（大企業のサーバーを狙う目的で取引関係にある中小企業を踏み台にする攻撃）

などが挙げられます。実際に中小企業の9社に1社が被害を経験しているというデータもあり、医療機関にとっても対岸の火事ではなくなってきています。

また、近年では訪問診療の普及拡大に伴い、院内ネットワーク下で安全な端末を使用した状況に比較して適切なセキュリティ対策がなされていない場合はウイルス感染などのサイバーリスクが増大しています。そのようなサイバー攻撃に対して、多くの医療機関では未だ備えが不十分と言えます。

サイバー攻撃の被害

情報漏洩やサイバー攻撃の事故が発生すると「社会的責任の発生」「経済的損失」「信用の低下」など多大なダメージを被ります。初動対応・調査・公表、報告・再発防止と被害想定額は数千万を超えるケースも想定されます。

また取引先の業務阻害や取引先が対応に要した費用の損害賠償請求をされる可能性もあります。特にフォレンジック費用（原因・被害範囲調査費用）は詳細な原因や不正利用の有無など被害範囲の徹底調査はその後の事故対応を左右する極めて重要な対応です。

サイバー攻撃の種類にもよりますが、ＰＣであれば1台100万円程度、サーバーであれば1台200万円程度かかります。台数によっては相当な費用になることも想定されます。

被害の実態

医療機関へのランサムウェア攻撃による損害については下記のような事案が想定されます。

• ある医療機関にて業務に使用していた電子カルテシステムがランサムウェアに感染し、同システムに記録されていたすべての患者情報が暗号化され、閲覧不能となった。
• 医療機関に設置されていたプリンターが乗っ取られ、「身代金を支払わなければ、盗んだ患者情報を公開する。」旨の脅迫文が大量に出力されており、医療機関側はサイバー攻撃を受けたことを認識した。
• 電子カルテシステムが使用不能となったことにより、医療機関は新患の受入れ等を全面的に停止せざるを得なくなり、既存の患者の診察は聞き取りで紙カルテを作成し、対応することとなり、医師らの業務負担は激増した。
• 医療機関は身代金を支払わないことを決定したものの、電子カルテシステムの復旧や各種対応に多大な労力とコストが発生した。

同時に想定される損害として、

1. 患者情報が漏洩したことによって、損害賠償請求がなされたことによる損害賠償金
2. 争訟費用、原因調査にかかる費用
3. 職員が再診患者から情報を聞き取り、紙カルテを作成するために生じた超過人件費
4. データ復旧のためにかかる費用
5. 電子カルテシステムの復旧にかかる費用
6. 被害をうけた電子カルテシステムの代替として、一時的に使用する電子カルテシステムにかかる費用
7. 同様の事故の再発を防止するためのセキュリティ強化、システム強化にかかる費用
8. 新規患者の受け入れを停止したことによる利益減少

などが考えられます。

サイバー攻撃に対する備え

これらへの備えとして近年多くの医療機関は、UTM（統合脅威管理アプライアンス）を利用してインターネットの出入り口の脅威をまとめてブロックし、院内全体を守るなどの対策を講じています。とはいえUTMにも防御困難なケースは想定されるため、セキュリティソフトをセットで導入するといったセキュリティダブルガードの方法を取る医療機関も増えてきております。

しかし、AI技術の進化によってサイバー攻撃やそのセキュリティ対策はいたちごっこの状況であり、高度化するサイバー攻撃に対応する為にはやはり損害保険会社が提供するサイバーセキュリティ保険にて備えることが望ましいと考えます。見えない脅威に対して身近なことと再認識し備えておく必要性が高まっていると言えるでしょう。