令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業【導入研修】

大阪急性期・総合医療センター事例＜概要編＞
2024年1月12日
一般社団法人ソフトウェア協会
萩原 健太（（株）ビジネスブレイン太田昭和、インターバルリンク（株））※本コンテンツで利用する写真等については本研修の投影のみです。

1

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本研修の構成
開催回

日程

概要

第１回

2024年1月12日
18時～

概要編

第２回

2024年1月22日
18時～

技術編

第３回

2024年2月5日
18時～

組織編

講師

萩原 健太
インターバルリンク（株）、(一社)ソフトウェア協会

板東 直樹
アップデートテクノロジー(株)、(一社)ソフトウェア協会

加藤 智巳(株)ラック、(一社)ソフトウェア協会※内容は変更する場合がございます。

2

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

２つの報告書
つるぎ町立半田病院

大阪急性期・総合医療センターhttps://www.gh.opho.jp/important/785.html

https://www.handa-hospital.jp/topics/2022/0616/index.html

3

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本研修の目的
インシデント報告書を読んでいない方も理解する
報告書の記載内容の重要なポイントをつかむ

あれから１年…継続的な取り組みを知ることができる
4

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

agendaインシデントの振り返り
広報対応
様々な学び
本当に紙カルテ運用をするのか／バックアップはデータだけではない／参照環境をすぐ構築できるのか／マニュアルは手元にあるか／どこで会議や作業を行うのか など

法的な対応の必要性

5

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期・総合医療センターのインシデント
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

6

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期・総合医療センターのインシデント
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

漏洩したIDとパスワード

7

脆弱性の放置(甘い)
リモート接続環境

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

大阪急性期・総合医療センターのインシデント
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

共通
パスワード
設定
ウイルス対策
ソフトの未導入

管理者権限
運用

RDP
常時許可
ログの未運用ルーティング
設定の不備

単純なセグメント構成※詳細は技術編8

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

復旧までの流れ
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)※詳細は技術編

9

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

復旧までの流れ
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)※詳細は技術編10

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスの欠如
情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)※詳細は組織編

11

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

広報対応

12

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

インシデント当日の速報対応
幹部会での対応決定後、即座にWeb対応。
速報として診療停止のお知らせ。

https://www.gh.opho.jp/（2022年10月31日）
13

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

２回実施した記者会見
記者会見の実施• 情報をより多くの人に届けるため（特に高齢者など）• 基幹病院としての社会的な説明責任を果たすため• 当日は発生内容を、1週間後には原因や対応方針を伝えるため• 情報公開に対する誠意を示すため
14

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ホームページの更新

情報セキュリティインシデント調査委員会報告書について | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター (opho.jp)

15

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

様々な学び16

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

災害対応に迅速にシフトできた【実際の対応】
22年10月31日 8時40分：ネットワーク遮断 → 8時50分：幹部会議招集・方針決定【対応に向けた準備】
サイバー攻撃においてもすぐに対応できる体制にあるか迅速に必要な人を集められる、連絡ができるかクロノロジーが書ける（人やモノなど）があるか

17

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

紙カルテ運用準備（定期的な訓練、紙など）

電子カルテが動作しない

紙カルテ運用へ移行

18

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

紙カルテ運用時の課題
ワープロ不足•電カル端末すべてが疑義端末になったため、安全といえる端末がなかった（そこまでの準備ができていなかった）。

紙・トナー不足•一気に、また長期的な紙運用になったので、紙や印刷に使うトナーが不足した。
字が読めない•人の字はそれぞれで、また急いで書いていたりすると、内容や指示に誤りが生じる可能性
経験が浅い•特に若い先生は電子カルテがメインで紙カルテの記入や運用に慣れていなかった。

19

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療継続に向けた検討と準備
ワープロ機能としてでもPCを準備する
インシデント発生時の調達数や調達元を協議・決定する
BYODを一時的に認めるか協議・決定する
許可する場合はどのようにインシデント対応機関のセキュリティを担保するのかも含め20

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

バックアップ
医療情報をどのように保管するか議論していた

オンライン環境× オフライン環境〇

遠隔地保管のオフラインバックアップから復旧

21

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

バックアップと言っても色々

データ

設定情報
ネット
ワーク

備品

ソフト

ハード

ウェア

ウェア
電気

そもそも戻せるのか…？
22

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療継続に向けた検討と準備
オフラインバックアップの検討
クラウドの活用検討
オンプレミス環境とクラウド環境でのバックアップの負荷の違いを考える。
抵抗があるのであれば、緊急時には一時的に許可するなどの検討と決定を行う。
クラウド電カルの活用検討

23

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

参照環境
準備（サーバ、環境など）

DACS環境構築・電カルサーバ調達

DACS利用・電カル参照環境の構築

24

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

参照環境を考えるときに…
データ

設定情報
ネット

ワーク

ソフト

ハード

ウェア

ウェア

備品

電気＋人的、物理的側面は大丈夫か？
• 【人的】対応できる人材がいるか【物理的】空調、ラック、機器等を設置する場所 等
25

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療継続に向けた検討と準備組織としてのクラウド活用の方針・考え方の明確化

特にオンプレミス環境において、全サーバや端末が感染したことを想定して、どのように参照環境を構築するのか検討と決定
ハードウェアも直ぐには調達はできない
サーバルームが使えなかったら、どのように冷却するのか
26など

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

災害用紙様式・マニュアル類の確保
災害用の紙様式データやマニュアル類が、電子カルテ上にあるグループウェアや、各所属の端末に保存
自然災害用の紙様式はあったが、短期間を見据えた様式で、定期的な見直しもできていない

府立病院機構全体のネットワーク上にあるグループウェアを活用

27

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療継続に向けた検討と準備電カルシステムの情報共有に依存していないか。
マニュアルや各種テンプレートは最新の形式で、すぐに確認できる状況になっているのか。
長期間の停止を想定したオペレーションになっているか。
代替案を準備し、緊急時に動ける体制にあるか。

28

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

様々な混乱
外来受付
患者情報
電話回線会議室の確保
29

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

法的な対応の必要性

30

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

契約や仕様のあいまいな表現の回避「＊＊ガイドライン」に準拠することからより詳しく、より細かく• セキュリティ設定は、どの組織がどの程度実施してくれるのか。（過去のインシデント報

告書を参考にインシデントが起きにくい環境を構築してくれるのか。）• パスワードや脆弱性対応、ログの確認など、日々の運用はどのように行うのか、またどの程度実施してくれるのか。
• 部門システムをはじめとした再委託に相当する組織はどのようなセキュリティを実施するのか。また、インシデント発生時には調査が可能な体制であるか。
• 外部接続を伴う場合、どのように接続を行ってくるのか。接続元のセキュリティ状況は。
31

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

特に今回課題となったポイントは検討が必須
セキュリティ設定
強固なパスワードの設定と運用ロックアウトの設定
権限管理（管理者権限の最小化）
サプライチェーンも含めた（外部接続）監視、監督、対応
安全なリモート接続の設定、監査OS、アプリケーションのバージョン管理32

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

日進月歩の変化に対応するために各種ガイドラインは定期的に更新や、新たな公開が行われている•きちんと更新や公開の情報を確認する体制にあるか。
•変更が生じた場合、対応の議論を行っているか。

•ベンダーはどこまで、その変化や対応に向き合ってくれるのか。
•厚生労働省が公開している「医療情報システムの安全管理に関するガイドライン」や通達は勿論のこと、インシデントの報告書などを参照しているか。
33

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

医療にかかわるベンダーの必読書• 医療情報システムの安全管理に関するガイドライン（厚生労働省）• 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイ

ドライン （経済産業省・総務省）• 医療機関における医療機器のサイバーセキュリティ確保のための手引書について（医政発 0331 第１号,薬生機審発 0331 第 16 号,薬生安発 0331 第８号）
• コンピュータウイルス感染事案有識者会議調査報告書（つるぎ町立半田病院）• 情報セキュリティインシデント調査委員会報告書（大阪急性期・総合医療センター）→仕様書にもきちんと含め、ベンダーの理解と対応を求める。
34

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

セキュリティを継続する組織に向けて
医療情報システム安全管理委員会の設置• 医療情報システムに係る導入や変更• 適正利用に関する継続的な監視• 各種ガイドラインに関する対応• 外部接続の承認や管理• セキュリティ対策やバックアップの管理• インシデント発生時の対応 など
35

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本日のより詳しい内容は技術編と組織編でご紹介します。本日もご参加ありがとうございました。
次回は１月22日「技術編」です。
※本日の講義でご紹介したリンク先は、アンケートに記載しております。
本研修ではリアルタイムでの質問はお受けしておりません。
ご質問のある方は、アンケートにご記入ください。
https://forms.gle/f31nBfrQPHLV6Zon936

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業