医療機関を標的としたランサムウェアによるサイバー攻撃
近年、医療機関を標的としたランサムウェア攻撃が増加しています。
被害を受けた場合の損害（個人情報が流出した場合）
もしサイバー攻撃を受けた場合、復旧や対策のためにどのくらいの費用がかかるのでしょうか？JNSAが発行しているインシデント損害額 調査レポートで計算した被害対策の費用例では、マルウェア※感染の場合、軽微なものでも600万円、大規模な場合は3億7600万円の費用を要すると言われています。※マルウェア：コンピューターやその利用者に被害をもたらすことを目的とした、悪意のあるソフトウェアのこと
医療機関と患者への影響
医療機関と患者への影響としては、以下の４つのリスクがあります。サイバー攻撃に直接対応する費用に注目しがちですが、前述の通り端末の入れ替えや、患者に対応するためのコールセンターの設置など、様々な費用がかかります。
被害を受ける危険があるシステム
サイバー攻撃で患者の情報が漏洩すると多大な被害を引き起します。インシデント発生直後には謝罪に要する費用や対応費用、運営の停止による売上の減少が発生します。さらに、運営を再開した後も、イメージの回復などに長期間の投資が必要となります。このようなことにならないよう、サイバー攻撃への対策は必須と言えます。
医療機関を取り巻く情報セキュリティ対策の現状と今後
サイバー攻撃の巧妙化や医療機関のDX化などに伴い、サイバーセキュリティ対策をめぐる動きも活発になっています。
厚労省が想定している「必要な措置」の最新情報
医療機関が行うべきセキュリティ対策
情報セキュリティ対策における構成
情報セキュリティ対策における構成は、「組織的対策」「⼈的対策」「技術的対策」「物理的対策」であり、患者への医療サービスの品質向上（医療安全対策）においても、同様の構成です。
大規模な医療機関が行うべきセキュリティ対策
大規模な医療機関の場合、多数のシステムを有しておりセキュリティリスクも高いと言えます。現在のセキュリティ対策レベルを可視化するために、厚労省ガイドラインで実施を求められている事項と医療機関の現状の対策を整理した上で、実施できていない対策事項を抽出、影響度の大きいリスクから対処していくと良いでしょう。
クリニックが行うべきセキュリティ対策
大規模な医療機関と同じく、まずは現状を把握することが大切です。医療機関向けチェックリストの項目に回答し、未実施の項目に対して順に対策を実施していくと良いでしょう。また、厚生労働省から公表される通知を定期的に確認し、新しい規制をウォッチしていくことも行っていきましょう。
無料でできるセキュリティ対策
しかし、すぐにセキュリティに費用を投じるのが難しい組織も少なくありません。そこでお金をかけずに取り組めるセキュリティ対策を紹介します。
攻撃を受けたときの対処法
サイバー攻撃を受けてしまった場合、被害を拡大させないことが重要です。まず感染したパソコン等の情報端末をネットワークから切り離し 、情報セキュリティ担当部署や各関連部署、警察等へ連絡して状況を説明し、影響が及ぶ範囲や原因等を調査・分析します。必要に応じて取引先等にも連絡します。「医療情報システムの安全管理に関するガイドライン」では、医療機関等がサイバー攻撃を受けた（疑い含む）場合等の際には、厚生労働省等の所管省庁への連絡等、必要な対応を行うほか、そのための体制を整備する必要があることを示しています。
医療機関等がサイバー攻撃を受けた場合の厚生労働省連絡先 医政局特定医薬品開発支援・医療情報担当参事官室 TEL: 03-6812-7837 MAIL:igishitsu@mhlw.go.jp
COLUMN 医師厚生会のサイバー攻撃対策 新サービス開始
診療所のサイバー対策「事前」の備えを 全国の医師協同組合などで組織する全国医師厚生会は、診療所のサイバー攻撃対策として、新たなサポートサービスを始めました。これはサイバー攻撃への対策が必ずしも十分とは言えない診療所のネットワーク上のログを常時監視するものです。このサービスを利用する場合、サイバー攻撃を受けた場合の損害賠償などに対応する「医療機関サイバーリスク補償制度」の保険料に、割引が適用されます。利用額は月額1万4800円。
まとめ
オンライン資格確認の導入が原則義務化されることにより、医療現場のIT化が進展することは、セキュリティリスクの増大も意味します。また、オンライン資格確認については、用途の拡大が進んでいるためシステム障害の影響はより深刻です。認証強度の確保や脆弱性対策を適切に実施し、対策を進めていくことが急務です。
