2分で読める生成AIのいま Vol.60「鍵のかかっていない金庫」で医療をしていませんか ― 3省2ガイドライン徹底解説①

Jul 13

Written By Youichi Machida

Vol.59で「3省2ガイドライン」の全体像を俯瞰しました。

今回から4回にわたって、その中身を徹底的に読んでいきます。

第1回は厚労省版 ―「医療情報システムの安全管理に関するガイドライン第6.0版」の「概説編」と「経営管理編」にフォーカスします。

今回も医療田さんと機械屋さんの会話でどうぞ。

＝＝＝＝＝＝

● 概説編をじっくり読む

医療田：

ねえ機械屋さん。

前回、3省2ガイドラインの厚労省版は「4つの編で構成されている」って話だったよね。

概説編・経営管理編・企画管理編・システム運用編。

機械屋：

はい。今回はそのうち前半の2つ ― 概説編と経営管理編を掘り下げていきます。

医療田：

、、ん？概「説」編？

前回、概「要」編って言ってなかった？

機械屋：

ん。。？そうでしたっけ。

まあ、、細かいことは気にせず行きましょう。

医療田：

。。ええ。。。？

機械屋：

はい、では、概説編と経営管理編です。

まず概説編から行きましょう。

前回は「対象はすべての医療機関」「オンライン資格確認端末があるだけでも対象になる」というところまでお話ししました。

医療田：

うん。あの話はけっこうインパクトあったよ。

うちみたいな病院はもちろんだけど、小さなクリニックまで対象って。

機械屋：

そうですね。今回はそこをもう少し掘り下げます。

概説編のキーワードを一つ挙げるとすると ― 「ゼロトラスト」です。

医療田：

あ。それ、Vol.40で出てきたやつだよね。

「社内からのアクセスであっても、毎回疑ってチェックする」っていう。

機械屋：

よく覚えていますね。

Vol.40ではCoworkの導入を職場のセキュリティが見事にブロックした話でしたが、あのとき体験した「ゼロトラスト」が、実は厚労省版ガイドラインにも明記されているんです。

医療田：

え、、医療のガイドラインにも「ゼロトラスト」って書いてあるの？

機械屋：

はい。第6.0版では「閉じた環境ゆえに安全である、と安心しないこと」と明示されています。

つまり「院内LANだから大丈夫」という考え方を、はっきり否定しているんです。

医療田：

あー、、、

でもさ、Vol.40のときは企業のIT環境の話だったじゃない。

病院のネットワークって、もうちょっと閉じてない？

機械屋：

そう思いますよね。

ただ、VPN接続、クラウドサービス、オンライン資格確認、リモート保守 ― 今の医療機関で、本当に「閉じた」ネットワークはほぼ存在しません。

どこかに外部との接点がある。

それなのに「院内だから安全」と思い込んでいると ― 後ほど紹介する事例のようなことが起きます。

医療田：

。。。なんか、、その前フリ、こわいよ。機械屋さん。

機械屋：

概説編にはもう一つ重要なポイントがあります。

厚労省は第6.0版に合わせて「小規模医療機関等向けガイダンス」を別途策定しています。

医療田：

あ、それはありがたいかも。

元のガイドラインって、膨大でしょ？

機械屋：

はい。概説編だけでも相当なボリュームです。

そこで、診療所や薬局など小規模な医療機関が「まずここだけは押さえてほしい」という最低限の対応をまとめたガイダンスが用意されました。

厚労省としても、小規模医療機関こそサイバー攻撃の標的になりやすいという危機意識があるんです。

医療田：

小さいところこそ狙われる、、

機械屋：

セキュリティ対策が手薄なところから攻撃する。

攻撃者にとっては合理的な行動ですからね。

● 経営管理編 ― 「知らなかった」では済まされない時代

医療田：

で、次は経営管理編。

前回、「経営層が責任を持つべき」「丸投げはNG」って話だったけど、もう少し具体的に教えてほしいんだよね。

実際、何をしろって書いてあるの？

機械屋：

まず、この編のインパクトを伝えるために、ある表現を紹介させてください。

「現在の医療機関は、鍵のかかっていない金庫のような状況にある」。

医療田：

鍵の、かかっていない、金庫。。

機械屋：

患者さんの診療情報 ― 極めてセンシティブなデータを扱っているにもかかわらず、セキュリティ対策が十分でない施設が少なくない、という指摘です。

医療田：

、、それを言われると耳が痛いけど、、

正直、うちの病院でもセキュリティに関する議論って、事務方とシステム担当の間で完結してる気がする。

院長が直接関与してるかっていうと、、どうだろう。

機械屋：

まさにそこなんです。

経営管理編が経営層に求めていることは、大きく3つあります。

1つ目は、安全管理の「責任の所在の明確化」。

サイバーセキュリティは「システム部門の問題」ではなく「経営の問題」であると認識すること。

何かあったとき、「自分はICTのことはわからないので」は通用しない、とガイドラインは明言しています。

医療田：

。。それは厳しいね。。

でも、たしかに、患者さんの情報が漏れたとき、「システム担当が悪い」で済む話じゃないよな、、

機械屋：

2つ目は、自院の情報機器とセキュリティ状態の把握です。

何台のPCがあり、OSは何で、アップデートはされているか。VPN装置のファームウェアは最新か。ウイルス対策ソフトは動いているか。

こういったことを、経営層として把握しなさい、と。

医療田：

、、PCの台数は総務が管理してるだろうけど、、

VPN装置のファームウェアって言われたら、うちの事務長も答えられないと思うよ。

機械屋：

そして3つ目が、サイバー攻撃を想定したBCP ― Business Continuity Plan、事業継続計画の策定です。

前回も少し触れましたが、「電子カルテが使えなくなったとき、どう医療を継続するか」という計画ですね。

医療田：

地震や水害のBCPはあるけど、、

サイバー攻撃のBCPって、正直、うちは手つかずだと思う。。

機械屋：

多くの病院がそうだと思います。

ただ、2023年4月の医療法施行規則改正で、状況が変わりました。

医療田：

改正？前回も出てきた、あの？

機械屋：

はい。規則第14条第2項が新設されて、病院・診療所・助産所に対してサイバーセキュリティの確保が法的に義務づけられました。

さらに、厚労省が「医療機関におけるサイバーセキュリティ対策チェックリスト」を策定して、立入検査の際に確認されるようになっています。

医療田：

立入検査で、、

つまり「やってません」は、もう通らないってこと？

機械屋：

はい。ガイドライン自体に罰則はありませんが、法律の義務を果たしているかの確認に使われるわけですから、事実上の強制力を持つと考えたほうがよいでしょう。

● 半田病院と大阪急性期 ― なぜ「対岸の火事」ではないのか

医療田：

でもさ、機械屋さん。

正直なところ、「サイバー攻撃」って聞いても、どこかで「うちには来ないでしょ」って思ってる自分がいるんだよね。。

機械屋：

その感覚は自然だと思います。

ただ、それが通用しないことを示した事例が、国内で2つ続けて起きています。

1つ目は2021年10月、徳島県のつるぎ町立半田病院。

人口8000人ほどの町の公立病院です。

医療田：

、、大病院じゃないんだ。

機械屋：

はい。120床の地域の中核病院です。

LockBit 2.0というランサムウェアに感染し、電子カルテシステムが完全に停止しました。

約8万5000人分の患者データが暗号化されてアクセス不能になり、病院は紙カルテに逆戻り。

通常診療が再開できたのは、感染から65日後です。

医療田：

65日、、2か月以上。。

侵入経路は？

機械屋：

VPN装置 ― FortiGateという機器の既知の脆弱性です。

CVE-2018-13379というセキュリティホールが、2年以上放置されていました。

医療田：

2年以上、、

機械屋：

さらに、事後の調査で明らかになったことがあります。

Active Directoryの認証パスワードが最短5桁。管理者パスワードは運用者の名前をもとにした6文字。

マルウェア対策ソフトは稼働しておらず、Windows Updateの自動更新も無効化されていました。

医療田：

。。。。

機械屋：

VPN装置の脆弱性放置、脆弱なパスワード運用、マルウェア対策の未稼働、OSアップデートの停止。

先ほどの経営管理編の言葉を借りれば、まさに「鍵のかかっていない金庫」だった、ということです。

医療田：

、、それはちょっと。言葉がないね。。

でも、120床の病院でそこまでセキュリティに人手を割くのは現実的に難しい、って声も聞こえてきそうだけど、、

機械屋：

その通りです。そしてそれが、「経営層が関与すべき」理由でもあるんです。

システム担当者が一人で全部見るのには限界がある。だからこそ、経営判断として予算をつけ、体制を整える必要がある。

そこまで含めて「経営の問題」なんです。

医療田：

、、うん、、それはわかった。

で、もう1件あるんだっけ？

機械屋：

はい。2つ目は2022年10月、大阪急性期・総合医療センター。

こちらは800床を超える大規模な急性期病院です。

医療田：

今度は大きい病院か、、

機械屋：

電子カルテをはじめとする院内システムが暗号化され、外来診療の全面再開は翌年1月 ― 約2か月半後。

被害額は、調査・復旧費用に加えて診療制限による逸失利益も含めると数十億円規模と報じられています。

医療田：

数十億、、

で、侵入経路は？まさか同じようにVPN装置？

機械屋：

VPN装置の脆弱性が入り口だった点は同じです。

ただ、決定的に違うのは、その装置が病院自体のものではなく、給食事業者のVPN装置だったということです。

医療田：

、、え？給食の？

機械屋：

はい。いわゆる「サプライチェーン攻撃」です。

攻撃者は給食事業者のVPN装置の脆弱性から侵入し、そこを踏み台にして病院のサーバーにたどり着いた。

病院側がいくら自院のセキュリティを固めても、取引先に穴があればそこから入られる。

医療田：

、、それは、、怖すぎる。

じゃあ病院側としては何を確認すればいいの？給食業者のセキュリティなんて、、

機械屋：

そこなんです。

Vol.59で紹介した「SDS ― サービス仕様適合開示書」と「責任分界」の考え方、覚えていますか。

医療田：

あ、、「安全の成績表」のやつ？

機械屋：

はい。経営管理編は、委託先・取引先も含めた全体のリスクを経営層が把握すべきだ、と求めています。

外部の事業者にシステムやネットワークの一部を委託しているなら、その事業者のセキュリティ状態を確認する ― SDSはまさにそのための道具です。

自院だけ見ていればいい時代は終わった、ということですね。

医療田：

、、なるほど。

大阪急性期の事例って、半田病院の1年後だよね。

半田病院のことが報道されて、「うちも気をつけなきゃ」ってなったはずなのに。。

機械屋：

ええ。

ただ、サプライチェーン攻撃は「自分のところを固めただけでは防げない」というのが厄介なところです。

だからこそ、経営管理編は経営層に対して、委託先の管理まで含めた俯瞰的な視点を求めているんです。

● 今回の教訓

機械屋：

では、今回の教訓をまとめましょうか：

・厚労省版ガイドライン第6.0版は「概説編」「経営管理編」「企画管理編」「システム運用編」の4編構成。今回はそのうち前半2つを深掘りした

・概説編の重要なキーワードは「ゼロトラスト」（Vol.40参照）。「院内LANだから安全」という前提を捨て、すべてのアクセスを検証する考え方が、医療のガイドラインにも明記されている

・小規模医療機関こそサイバー攻撃の標的になりやすい。厚労省は「小規模医療機関等向けガイダンス」を別途用意している

・経営管理編が経営層に求めるのは3つ：安全管理の責任所在の明確化、自院の機器・セキュリティ状態の把握、サイバー攻撃を想定したBCPの策定

・2023年4月の医療法施行規則改正（規則第14条第2項新設）で、サイバーセキュリティ確保が法的義務に。立入検査でチェックリストにもとづいた確認が行われる

・半田病院（2021年）はVPN装置の脆弱性放置と脆弱なパスワード運用が原因。復旧に65日を要した

・大阪急性期（2022年）は給食事業者を踏み台にした「サプライチェーン攻撃」。自院だけでなく、委託先のセキュリティも経営層が把握すべき

医療田：

「鍵のかかっていない金庫」、、か。。

正直、半田病院の話を聞いて、他人事じゃないなって思った。

パスワード5桁とか、、うちは大丈夫だと思いたいけど。。

機械屋：

まずは厚労省の「サイバーセキュリティ対策チェックリスト」を確認するところから始めるのが現実的です。

立入検査でも使われるものですので、現状の把握にはいちばん手っ取り早い。

医療田：

うん。。事務長にも共有しなきゃ。

あと、院長にも。「経営の問題」なんだから。

機械屋：

次回は、残りの2つ ― 企画管理編とシステム運用編を見ていきます。

リスクアセスメントの手法や、電子保存の3要件の具体的な実装について、さらに突っ込んだ話になります。

医療田：

了解。

でも先に、VPN装置のファームウェアが最新かどうかだけは確認させて笑

機械屋：

それが最高の第一歩ですね＾＾

＝＝＝＝＝＝

● よくある質問（FAQ）

Q. 「ゼロトラスト」は具体的に何をすればいいのですか？

A. ゼロトラストとは「院内ネットワークの内側であっても、すべてのアクセスを検証する」という考え方です。具体的には、多要素認証の導入、ネットワークセグメンテーション（ネットワークを用途別に分割し、被害の拡大を防ぐ）、ログの監視・分析などが挙げられます。一度にすべてを導入する必要はなく、まずは重要なシステムへのアクセス認証の強化から始めるのが現実的です。

Q. 経営層がサイバーセキュリティについて「何もわからない」場合、何から始めるべきですか？

A. 厚労省が公開している「医療機関におけるサイバーセキュリティ対策チェックリスト」が出発点として最適です。専門知識がなくてもYes/Noで現状を把握できるように設計されています。そのうえで、必要に応じて外部のセキュリティ専門家や医療情報技師への相談を検討してください。

Q. 半田病院のような事例を防ぐために、最低限すべきことは何ですか？

A. 半田病院の事例からの教訓は3つあります。(1)VPN装置やネットワーク機器のファームウェアを常に最新に保つこと、(2)管理者パスワードを十分な強度に設定すること（最低12文字以上、英数字記号の組み合わせ推奨）、(3)マルウェア対策ソフトとOSのアップデートを有効にしておくこと。いずれも高度な技術ではなく「基本的な対策の徹底」です。

Q. サプライチェーン攻撃は、病院側でどう対策できますか？

A. 大阪急性期の事例では、給食事業者のVPN装置が侵入口でした。対策としては、(1)委託先・取引先に対してSDS（サービス仕様適合開示書）の提出を求め、セキュリティ状態を確認すること、(2)委託先との間のネットワーク接続を必要最小限に制限すること、(3)契約書にセキュリティ要件を明記すること、が挙げられます。経営管理編が「委託先管理を含めた俯瞰的な視点」を求めているのは、この種のリスクがあるからです。

Q. BCP（事業継続計画）のサイバー攻撃版には何を盛り込むべきですか？

A. 最低限、以下の項目を検討してください。(1)電子カルテが使えなくなった場合の代替手段（紙カルテへの切り替え手順）、(2)連絡体制（誰が、誰に、何を報告するか）、(3)外部への通報先（厚労省、警察、システムベンダー）、(4)バックアップからの復旧手順と目標復旧時間の設定。地震BCPと同様に、定期的な訓練も重要です。

＝＝＝＝＝＝

●参考

・厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」（2023年5月）

https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

・厚生労働省「医療機関におけるサイバーセキュリティ対策チェックリスト」

https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/cyber-security.html

・つるぎ町立半田病院コンピュータウイルス感染事案有識者会議調査報告書（2022年6月）

https://www.handa-hospital.jp/topics/2022/0616/report.pdf

・GemMed「医療情報システムの安全管理ガイドライン改訂」解説記事

https://gemmed.ghc-j.com/

・iTSCOM「医療情報システムの安全管理に関するガイドライン」第6.0版の解説

https://www.itscom.co.jp/forbiz/column/healthcare/