デジタル化が進む医療現場を守るには

新型コロナウイルスとの持久戦を強いられている医療機関に、もう1つのウイルス感染の脅威が忍び寄っている。病原体でなく、悪質なコンピューターウイルスである。2つのウイルスによるダブルパンチで深刻な事態を招かない為に、サイバーセキュリティ対策を今一度見直す必要がある。

業務を人質に身代金を要求するウイルス

　2022年明け、徳島県西部山あいのつるぎ町立半田病院（120床）では、サイバー攻撃を受けたシステムの復旧が完了し、11ある全ての診療科で通常通りの診療が再開された。同院のシステムはその2カ月前、悪質なコンピューターウイルスである「ランサムウェア」に感染し、約8万5000人分の患者の電子カルテが使用不能となった。この為、産科と小児科を除き新規患者や救急患者の受け入れを原則禁止し、手書きでカルテを作り直す羽目になった。一部の手術は延期され、業務は必要最低限なものに絞り、患者に不自由を強いる事になった。

　システムの再構築に要する費用は、約2億円とも言われていたが、年末からは電子カルテを元通りに読み書き出来るようになったとされ、歓喜で涙した医師もいたと言う。それ程の出来事だった。

　「ランサムウェア（ransomware）」は、ランサム（身代金）の名の通り、感染するとパソコン内にあるファイルや接続するネットワーク内のサーバーにあるファイル等を勝手に暗号化して、業務継続を“人質”に取り、この暗号を解除する為の、身代金を要求する。10年ほど前から海外で多数の種類が出現し、多くの企業や団体が被害に遭っている。15年頃から国内でも確認され、医療機関での被害報告も増えている。

　感染経路は一般に電子メールやウェブサイトを介したものが多い。院内のネットワークがインターネットとは切り離された環境でも、既に感染した端末やUSBメモリーを接続する事で、2次感染が起きるタイプも見つかっている。また、私物のWi-Fiやスマートフォンのテザリング機能であれば、外部に接続出来る例もあった。

半田病院が受けたサイバー攻撃

　半田病院の場合、21年10月31日未明に十数台のプリンターが突如印刷を始めた。排出されたA4判の用紙には英文がギッシリ書かれ、紙が尽きる迄続いた。看護師が手に取った1枚には、「データを盗んで暗号化した。身代金を払わなければ公開する」との英文が記されていた。大企業相手でなく、人口約7400人の過疎の村の病院で起こった、想定外の深夜のホラー劇だ。業務に必要不可欠なデータを使えなくするのみならず、データを流出させると脅すのは「二重脅迫」と呼ばれ、より悪質化した手口で、ここ数年主流になっている。しかし、半田病院では身代金の要求には屈しなかった。

　ランサムウェアの身代金は、支払わないのが原則である。カモにされるリスクが高まり、支払った金は次の攻撃に利用されるだけだからだ。一般企業の場合、身代金の支払いは社会的な批判を浴びるが、医療機関は患者の命が最優先なので、要求に応じやすい、と攻撃側は判断している可能性もある。

　英国のセキュリティーソフト会社によれば、身代金を払った被害者のうち、全てのデータを取り戻せたのは、僅か8％に過ぎなかった。一方で、バックアップ・データが有れば、半数以上の被害者がデータを復旧出来たとされる。但し、半田病院はバックアップ迄もが被害を受けた。

ランサムウェアによる医療機関の被害

　ランサムウェアによる医療機関への被害は、16年以降、少なくとも全国の11病院で発生しているとされる。

　福島県立医科大学附属病院（福島県福島市、778床）では17年以降、ランサムウェアによると見られる被害が複数回発生した。業務用パソコンや医療機器が感染し、胸部CTを撮影する際に端末が再起動してしまう不具合が生じた。感染ウイルスは暗号化や脅迫文を表示する機能を持たないタイプだったが、撮影画像が保存されず、別室の装置で再撮影を行ったと言う。又、フィルム画像の読み取り装置が自動で再起動して画像を取り込めず、やはり再撮影に至ったケースも有った。

　宇陀市立病院（奈良県宇陀市、176床）は、18年の電子カルテシステム導入直後に、ランサムウェアの被害に遭った。電子カルテを含む診療部門のサーバーと端末、ウイルス対策サーバー、看護部門サーバーが感染し、患者1133人分の診療記録が暗号化された。サーバー画面には、データ復旧の身代金を要求するメッセージが現れた。システム会社がウイルス除去を行う迄の数日間、紙カルテを使って診療をした。システム会社はバックアップ対策を講じていたが、磁気テープを挿入し忘れるミスが有った。最終的には復元に成功しているが、診療報酬請求にも影響が及び、助成金の償還に遅れが生じた。

　国内の大手企業では、塩野義製薬、カプコン、三菱商事等が、立て続けに被害に遭っている。医療機関の場合には、患者の個人情報が流出するだけでなく、治療が中断する等の影響が出れば、命に関わる恐れがある。患者の入院は長期化しかねず、治療や検査が遅れれば病状が悪化し、死亡率が増加する事が懸念されている。

　海外では、一部患者の外来診療のキャンセルや手術の延期、重症患者の転院、更には死亡例も報告されている。19年に米アラバマ州では、出産直後の乳児に緊急治療が必要となったが、ランサムウェア攻撃を受けた直後でシステムがダウンしていた。別の病院での治療を余儀なくされ、後に死亡した事で、責任を巡って係争中となっている。国内の医療機関も、そうした深刻な状況と紙一重である。

医療を守るサイバーセキュリティー対策

政府は、機能が停止すると国民生活への影響が大きい分野として、医療、金融、鉄道、電力等14分野を重要インフラに指定している。中でも医療機関は、“人質”となる医療情報の価値が高い一方、サイバーセキュリティ対策が遅れているため、今後も標的にされる可能性があり、対策は待った無しである。

　日本では06年から、診療報酬明細書のオンライン請求がスタートし、電子カルテの導入も進んだ。診療情報は、非常にセンシティブな情報の塊である。コロナ禍をきっかけに、オンライン診療等、ますます医療のデジタル化が進んでいる。サイバーセキュリティ対策の第一歩は、こまめなデータのバックアップとオフラインでのバックアップ・データの保存であり、有事の対応要領を定めておく必要もある。

　日本の医療機関は、欧米に比して規模が小さい所が多く、サイバーセキュリティ担当部署や担当者を自前で配する事は難しい場合もある。であれば、専門家の手を借りるより他ない。サイバー攻撃対策に長けた企業と連携して、システムの脆弱性診断、サイバー攻撃の監視、万が一被害を受けた際の迅速な対処等、助言を受けつつ対応して行かないと、手遅れになりかねない。

　医療機関のシステムは、ライフライン、正に命綱である。先ずそれを再認識し、スタッフ間で危機意識を共有する事が重要だ。