以前こんなニュースを見ました。
サイバー攻撃により、すべての電子カルテが使用できない状況に陥りました。
命に関わる医療現場で、治療、手術ができないとなると患者の不安も尋常なものではありません。
病院関係者の方サイバー攻撃のこととか対策を知っておきたいな」
そんな病院関係者の方へ。
ランサムウェアに感染しないために、すぐにやるべき事を紹介します。
この記事は「ＩＴは苦手！」という方でも読み進められるように、専門用語は極力使わないようにしていますのでぜひ最後まで見てくださいね。
ちなみに私はこういうものです。
ランサムウェアとは
簡単に言うと「身代金要求型のウイルス」のことです。
コンピュータ内にある患者データを開けなくしたり、システムをロックして使用できない状態にします。そして、攻撃者は「元に戻したければ身代金（ransom）を払え！」と脅してくるタイプのサイバー攻撃です。
「メールの添付ファイルを開いた」「webサイトの閲覧」「ソフトウェア、ファイルのダウンロード」などをきっかけに感染します。
病院がランサムウェアに感染するとこんなことになる
一例ではありますが、こんな被害が考えられます。
- 例①：電子カルテで患者情報が見れなくなる
- 例②：導入しているシステムが動かなくなる
- 例③：電子カルテに紐づく「患者の生体データ」「クレジットカード情報」「マイナンバー情報」が流出する。
- 例④：データ復旧するのに数か月かかる
結果、通常通りには診療ができませんし、病院の信頼、経営にもおおきな影響が出ます。
今回の「大阪急性期・総合医療センター」だけでなく、他にも病院を狙ったランサムウェアの攻撃はニュースになっています。ランサムウェアでの攻撃が増えているのもありますが、特に病院への攻撃も直近では目立っています。
ランサムウエア攻撃に遭った徳島・半田病院、被害後に分かった課題とは
なぜ、病院への攻撃が多いのか
病院への攻撃が後を絶たないのはなぜか。
結論から書くと、次の２つの理由があるからです。
- 理由①：医療機関におけるセキュリティ対策の遅れや意識の低さ
- 理由②：患者データの情報価値の高さ
それぞれ少し紐解きます。
医療機関におけるセキュリティ対策の遅れや意識の低さ
いつなん時、緊急治療が入るかわからない病院関係者となると普段からＩＴの勉強をしたり、意識高くセキュリティ対策をするのは正直難しいと思います。だからこそ、その弱みを狙って攻撃をしかけてきます。
ぶっちゃけハッカー側もサイバー攻撃にお金はかかりますので、セキュリティが強固な会社よりも、ゆるい会社や病院を狙う方が効率的なんです。
患者データの情報価値の高さ
一般的な連絡先の情報漏えい（二次被害もなし）であれば、慰謝料額は1人「約3000円 ～ 5000円」が相場と言われています。
ただ、これは住所などの連絡先レベルで、ここに遺伝子情報や生体データが入ってくると情報価値はグンと上がります。 身代金を要求するにしても、盗んだ情報を売るにも貴重なデータほど、いい方はあれですけど値段は高くなります。
あと、命に関わることなので「すぐにデータを戻さないといけないからお金を払ってくれそう」そんな邪悪な考えもあるかと思います。
そのためランサムウェアで病院を狙うサイバー攻撃は、今後も続く可能性が高そうです。
一方で、インフラを狙うのは禁止としているケースもある
例えば戦争では民間人を狙うことは禁止されているように、病院や電気・ガス・水道といった止まると困ってしまうインフラはサイバー攻撃を禁止するというハッカー集団も存在します。
ただ、サイバー攻撃も、単独犯ではなく複数人、複数社が絡むことも増えてきており、ハッカー集団内でもルールを統一化できずに病院への攻撃をしてしまったという例もあったりします。
いくら直接的に見えないことでも生命に関わる事に変わりはないので、絶対ルールとして法整備が整うことを期待しています。
アベプラでもサイバー攻撃について特集されていましたのでシェアしておきます。
病院がすべきランサムウェア対策5選
もし情報システム部や、IT担当がいない病院やクリニックの方であれば このような心配もあるかと思います。そんな方のため、今すぐできる５つの対策を紹介します。
正直、ランサムウェア対策系の記事をたくさん見てきましたが 、IT資格を所有している私でも結構ムズかしいものが多いです。
なので、特にこの記事ではカンタンにできるものをまとめました。IT初心者という方も。まずはこの記事を読んで、社内にシェア&アクションしてみてくださいね。
①怪しいメールは開かない
シンプルだけど一番大切です。メールに添付されたデータや、メールを読み込むとランサムウェアを送りこまれるというケースが多いので、怪しいメールは開かない。
「いやいや、そもそも怪しいかどうかわからないですけど。」
って方には、スパムメールのテストをしてみるのが良いです。
以前は上場企業グループに所属しており、 たまに怪しいメールが来ていましたが、大概社員が騙されないかを確認するスパムメールテストでした。日ごろから訓練すればある程度は見分けられるようになります。
②OS、ソフトの更新プログラムはすぐに適用。
ちょっと専門用語になりますがソフトの「脆弱性」といって、セキュリティのゆるさが出ないように常にソフトは最新のものを使うようにしましょう。
各ソフトを開発している会社も防御力を高めるために、定期的にソフトの更新をしていますので、すぐに適用しましょう。
③最新のセキュリティソフトを使う
これも上記とおなじです。いくらセキュリティソフトといっても最新でなければ「脆弱性」が出ます。ので、更新されたら即適用で。
④データは「複数で」「バックアップ」
感染するとデータは基本的に開けなくなります。しかし、バックアップを用意しているとすぐに普及ができる可能性は上がりますのでとても有効な手段です。
唯一気を付けてほしいのが、普段はPCから外しておくこと。そうしておかないと、いざサイバー攻撃が来た時にバックアップごとロックされることもあります。
あと、バックアップも複数用意しておくことが大切です。一つがダメになっても、もう一つのバックアップで復旧できたなんて話もよく聞きます。
余談ですが。私は写真撮影が趣味ですが、上記とおなじように写真データは複数のバックアップをとって、いざという時でもデータが無くならないように対策をしています。地味ですが、結構大切なリスク対策ですね。
⑤身代金を要求されても“支払わない”
まずはシステムベンダーや警察に相談してください。
れっきとした犯罪ですので、応じる必要はないです。
いかがでしょうか。
ランサムウェアの怖さとするべき対策が伝わったのあれば嬉しいです。
まずは明日からでもできるこの５つのランサムウェア対策をしておくだけでも、リスクは軽減されますのでできるものがあればぜひ実施してください。
本記事は一旦はここで締めです。
追伸：５つの対策をどうやればいいかわからない方へ。
正直、対策はなんとなく理解できたけど、どうやればいいかわからないという方もいると思います。そんな方は以下で対応しましょう。
システム屋さんに依頼。
自社でできないことは、お金はかかりますが外注が一番です。
私も元々ＷＥＢマーケティングやサイト運営をしていましたが、システム領域の一部は外注してました。
自社や担当だけでできることには限界があるので、まずは相談からでもはじめてみましょう。
あとはサイバー保険にも入っておきましょう。
ぶっちゃけサイバー攻撃関連は、被害額が大きく、完璧には防げない。そういう意味では、自動車運転に近いリスクです。
そのため自動車を運転するなら自動車保険に入るように、サイバー保険にも加入しておきましょう。
先に記載した慰謝料額1人「約3000円 ～ 5000円」というのは一部の話で、実際にランサムウェアに感染した場合には、原因調査やシステム復旧とけっこうな金額がかかります。
この分野はわたしの専門なので、ご心配な方はぜひご相談ください。記事を書いている私が担当しますので、安心してくださいね！
「全国どこでもOK!リモートでのご相談」「まずはメールでの見積もりもOK！」です。不安なことは早めに解消していきましょう。
今回は以上です！
P.S：ブログだけでなく「Twitter」でも保険にまつわる発信しています。保険って知ってると何かと得することも多いので、お得情報を知りたい方はぜひフォローしてくださいね。
