医療機関におけるサイバーセキュリティ対策セミナー

医療機器・情報システム導⼊時のセキュリティ

一般社団法人 日本画像医療システム工業会 （JIRA)
医用画像システム部会 セキュリティ委員会
2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

1

全体内容• 医療機関等のサイバー攻撃被害の状況– 医療機関を狙ったサイバー攻撃– 閉域網（VPN）への過信は禁物• 工業会からの対策活動– 安全管理ガイドラインについて– セキュリティ情報開示書（MDS/SDS）の活用– リモートサービスにおけるセキュリティについて– 医療機器のサイバーセキュリティの取り組み• 被害を防ぐために実践すべきこと– 院内ネットワークの現全体像の把握– 各科ローカル運用の確認– 管理責任の明確化

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー2

内容

医療機関等のサイバー攻撃被害の状況– 医療機関を狙ったサイバー攻撃– 閉域網（VPN）への過信は禁物

3

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

医療機関を狙ったサイバー攻撃＜参考＞ランサムウェア被害件数

年代

施設発生内容2018

宇陀市⽴病院

ランサムウェア攻撃で電⼦カルテが使用不可

2019

多摩北部医療センター

Emotet 亜種感染。結果的に患者情報の流出はなし

4

2020

福島県⽴医科大学附属 ウイルス感染でCTで胸部を撮影中に管理端末が再病院
起動他

22021

つるぎ町⽴半⽥病院

2022

⽇本⻭科大学附属病院 ウイルス感染(種別特定中)で4⽇間にわたり電⼦カルテが閲覧不可

2022

春⽇井リハビリテーション
病院・付属クリニック

外部からの不正アクセスで電⼦カルテシステム医事会計システムに障害。すべてのサーバーを一時停止

2022

大阪急性期・総合医療センター

ランサムウェア攻撃で電⼦カルテシステム及び関連するネットワークが利用不可

ランサムウェア攻撃で電⼦カルテのデータ約85,000人分がバックアップを含め全て暗号化され、利用不可

6
5

3

10

2016

2017

2018

2019

2020

2021

出典：読売新聞オンライン（2021/12/29）

医療機関が集中的にターゲットにされている状況ではないが、被害が⻑期化する等、社会的影響性が大きい。

対策していないとサイバー攻撃の被害はいつでも起こり得る状況
2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー4

閉域網（VPN）への過信は禁物
昨今、閉域網（VPN）へ侵入される被害が続出している– インターネットVPNは管理者不在では危険① VPNルーターの脆弱性の放置、パスワード強度不⾜② ネットワーク内部でのアクセス制限がない③ セキュリティ対策ソフト（エンジン、ウイルスパターン等）、セキュリティ関連OSパッチが未更新

インターネット

VPN

ルータ

電子証明書

ルータ

インターネットVPNのイメージ

建屋で例えると…

①玄関、裏口等出入口のカギが旧式のまま③部屋内での不穏な動き（新手の手口での犯行等）を監視・対応する人がいない②建物内ではどの部屋へも自由に入り放題

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

5

内容

工業会での対策活動– 安全管理ガイドライン– セキュリティ情報開示書（MDS/SDS）の活用– リモートサービスにおけるセキュリティについて– 医療機器のサイバーセキュリティの取り組み

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

6

安全管理ガイドライン
厚⽣労働省「医療情報システムの安全管理に関するガイドライン5.2版」が発⾏（2022年3月）– 2023年にはガイドライン6.0版が発⾏される予定– JIRAは第５版まで実際の記述作業に参加（現在はオブザーバとして参加）• ガイドライン5.2版で詳細化された内容– ランサムウェアによる攻撃への対応としてのバックアップ

 重要なファイルは数世代バックアップ
 追記可能な設定がなされた媒体と追記不能設定がなされた媒体の組み合わせ
 端末及びサーバ装置やネットワークから切り離したバックアップデータの保管等– ネットワーク構成図、システム構成図、及びシステム責任者一覧（設置事業者等含む）の整備– 外部アプリケーションとの連携における利用者の認証・認可
 二要素認証の追加実装– 電⼦署名を含む文書全体にタイムスタンプを付与

安全管理ガイドラインへの対応にセキュリティ情報開示書（MDS/SDS）を活用

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

7

セキュリティ情報開示書（MDS/SDS）の活用
MDS︓製造業者による医療情報セキュリティ開⽰書SDS︓サービス事業者による医療情報セキュリティ開⽰書– 「安全管理ガイドライン」への医療情報システムに関する対応状況を示すチェックリスト– 医療機関はこれらを確認することで、採用予定、もしくは既に採用しているシステムシステムのセキュリティの状況を理解し、サイバー攻撃に対する安全対策についての⾒直し等を⾏うことができる。

MDS/SDS活用促進に向けてのJIRA活動• 医療情報セキュリティ開示書ガイドの発⾏– 「安全管理ガイドライン5.1版」へ対応した開示書ガイド（Ver.4.0）[公開]– 「安全管理ガイドライン5.2版」対応に向け改正作業中［最終確認中］ 医療情報セキュリティ開示書ガイド Ver4.1原案作成完了(2023年1月)• MDS/SDS書き方セミナー（JAHIS/JIRA合同）– 2022年10月13⽇実施（前回実施は1月28⽇）– 製造/サービス事業者に向けたMDS/SDSチェックシートの書き方の解説– 具体的にチェックシートを表示して記入事項を説明
TR-0039 JESRA_MDSSDS_Ver.4.0_ (jira-net.or.jp)

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

8＜参考＞MDS/SDSの位置付け
製造業者(A社)

製造業者(A’社)

リスクアセスメント

リスクアセスメント

A社 医療情報システム

A’社 医療情報システム

MDS

医療機関
A社
医療情報システム

サービス事業者(B社)
リスクアセスメント

MDS

SDS

C社 医療機器●●●

B社 A’社の医療情報システムを用いたサービス

MDS
製造業者(C社)

セキュリティリスクアセスメント
脆弱性とリスク評価

MDS2

IT管理者

セキュリティ脅威を含む
セーフティリスクアセスメント

輸出

MDS2

C社 医療機器「医療機器におけるサイバーセキュリティの確保について」の通知等

参照
IMDRF ガイダンス等参照

医療情報システムの安全管理に関するガイドライン

厚労省

MDS︓Manufacturer Disclosure Statement for medical information security
製造業者による医療情報セキュリティ開示書
SDS︓Service provider Disclosure Statement for medical information security
サービス事業者による医療情報セキュリティ開示書

92023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

MDS︓製造業者による医療情報セキュリティ開示書• 所定のチェック項目に対して、「はい」「いいえ」「対象外」で記述• 説明が必要となる項目には備考番号を入れ、備考欄に内容を記述– 例）備考４︓クライアント証明書でアクセス元の正当性を担保している等• 電⼦カルテ等、保存義務のある文書を取り扱うシステムでは、以下の情報を記述––––

法定の電⼦署名について
真正性の確保について
⾒読性の確保について
保存性の確保について※ 上記は、安全管理ガイドラインのC項（実施が必須）中の“技術的安全対策”への対応を示す。 MDSにはこれ以外に、“物理的安全対策”、“情報及び情報機器の持ち出しについて”、“災害、サイバー攻撃等の非常時の対応”、“外部と個人情報を含む医療情報を交換する場合の安全管理”等多くのチェック項目を含む。

医療機関は導入される機器、医療情報システムがどのような安全対策が取られているかを、共通の形式で確認可能
2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

10＜参考＞医療機関によるMDSの入手状況
 全て及び、ほとんどの機器・システムで入手を⾜して15%程度

MDS入手状況(N=433）

50.0%
45.0%
全ての機器・シス ほとんどの機器・ 情報システムの入手していない
分からない無回答
40.0%
テムで入手
システムで入手
一部で入手
国（24）
16.7%
0.0%
12.5%
16.7%
54.2%
0.0% 35.0%
大学（56）
8.9%
21.4%
17.9%
7.1%
42.9%
1.8% 30.0%
公的機関（125）
7.2%
10.4%
28.0%
11.2%
40.8%
2.4% 25.0%
社会保険（14）
14.3%
7.1%
21.4%
14.3%
35.7%
7.1% 20.0%
医療法人（158）
1.3%
6.3%
14.6%
20.9%
48.7%
8.2% 15.0%
個人（7）
0.0%
14.3%
0.0%
14.3%
57.1%
14.3%
10.0%
その他（45）
0.0%
8.9%
17.8%
4.4%
64.4%
4.4%
5.0%
出典︓JIRA 第19回（2021年度） 画像医療システム等の導入状況と安全確保状況に関する調査報告書 0.0%

（資料編）

MDSは医療情報標準化推進協議会（HELICS）にて2022年9月に指針採択されたこともあり、活用推奨を進めます
医療機関の皆様は、MDS/SDSについては「製造業者/サービス事業者による医療情報セキュリティ開⽰書」医療機関等向けユーザーズガイド
MDS-SDS-Ver4_usersguide.pdf (jira-net.or.jp)
を是非ご活用ください

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

全ての機器・システムで入手ほとんどの機器・システムで入手
情報システムの一部で入手
入手していない
分からない
無回答

まだMDS/SDSの知名度は⾼くない状況

11

リモートサービスにおけるセキュリティ• リモートサービスにおける注意喚起とさらなる対策支援– リモートサービス経路を狙ったランサムウェア攻撃が多発• リモートサービスセキュリティにおけるJIRA活動– 「厚⽣労働省からの緊急の医療施設への調査依頼」に関する会員企業への協⼒依頼と注意喚起［2022年1月］– リモートサービスセキュリティガイドライン改訂（Ver3.1）（JESRA TR-0034C(最新 2022/9/16))• 安全管理ガイドライン5.2版が対象とする内容– リモートサービスの必要性とリスクを解説– リモートサービスの運用モデルを事例をあげて解説– リスク分析方法の手法を解説– リモートサービスに対するSDSの記載例作成［2022年度活動として実施］• 総務省・経産省の統合ガイドラインのService Level Agreement (SLA)サンプルを参考
JESRA_TR-0034C_r1_2022.pdf (jira-net.or.jp)にサンプルSLAを作成（2022年12月）• SLAを踏まえたSDS記載例を作成（2023年3月予定）

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

12医療機器のサイバーセキュリティの取り組み「医療機器のサイバーセキュリティ導⼊に関する手引書」の作成• 医療機関における医療機器のサイバーセキュリティ確保のための手引書作成 ※医機連サイバーセキュリティTF– 医療機関向け手引書。パブコメ終了、2023年3月に発⾏予定• 医療機器のサイバーセキュリティ導入に関する手引書（改訂）案作成 ※※医機連サイバーセキュリティWG– 製造業者向け手引書。パブコメ終了、2023年3月に手引書（改訂版）発⾏予定

SBOM、レガシー医療機器ガイダンス案の作成 ※※※IMDRF サイバーセキュリティWG• 製品ライフサイクル全体に渡って安全性が受容可能なレベルに保たれているかの情報提供を⾏う– パブコメ終了、最終審議を経て2023年3月に文書発⾏

製品ライフサイクル
2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

13

内容

被害を防ぐために実践すべきこと– ネットワーク構成の把握– ⽇常での運用点検・確認– 管理責任の明確化

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー14

ネットワーク構成の把握• 普段使用している機器のネットワーク構成を把握する– 例）放射線科の場合、関連機器、システムのコンピュータ、端末及び、ネットワーク機器の構成図を把握する– 中央情報部門からのHIS端末分も含め、IPアドレス表が最新のものに整理されているかを把握する。
ホスト名

IPアドレス

備考

PC-01

11.200.31.1

汎用PC１

PC-02

11.200.31.2

汎用PC２

RIS-01

10.102.31.1RIS端末１

RIS-0210.102.31.2

RIS端末２

HIS-51

10.100.10.51

HIS端末５１

HIS-51

10.100.10.52

HIS端末５２CT-01

10.102.41.1

CTコンソール１

CT-02

10.102.41.1

CTコンソール２

10.100.254.1

インターネットルーター

．．．

．．．

．．．
Router15

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

⽇常での運用点検・確認
⽇頃から機器、ネットワークの状態点検を継続的に⾏うこと• 把握されていないネットワークが追加されていないか確認する– 例）リモート保守等で別途インターネットに抜けるラインが追加されていないか︖– 例）pingコマンド等にネットワーク構成図にないものが反応していないか︖
 C:¥>arp –a「arp –a」コマンドで同一ネットワーク接続機器の一覧を表示• 各機器のウイルス対策ソフトの状態を確認する– 例）ウイルス対策ソフトのエンジンがエラー等で更新されないままになっていないか︖– 例）ウイルスパターンの更新が止まったままになっていないか︖– 例）ネットワーク業者からのルータ機器のファームウェア更新通知を放置していないか等︖

別ルートでインターネットに抜ける経路がないか？

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー16

管理責任の明確化
管理部署・管理者の明⽂化を⾏い、サイバー攻撃に対応出来る体制を整えること• ネットワーク構成を把握し、⽇常での運用点検を⾏うには、具体的にこれらを⾏う管理部署、管理者を決め、実践していく必要がある。
– 部門内でのネットワーク機器の管理、責任範囲の明確化– ネットワーク構成上のベンダー、医療機関の責任分界点の明確化

 例）院内に設置された、どのルータ機器の管理までがベンダー責となっているか等• 有事の際には、状況をいち早く察知し、被害を最小限に止めることが重要– サイバー攻撃を受けていないセグメントの切り離し等

サイバー攻撃には、製造業者、サービス事業者、医療機関、セキュリティ監視機関、国や自治体など、関係者が協調して対応する必要があります。
2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

17

終わりに

JIRAはこれからもセキュリティ対策に積極的に取り組んでいきます。
御清聴 ありがとうございました。

2023年2月15日 医療機関におけるサイバーセキュリティ対策セミナー

18