総論

サイバーインシデント対策と医療安全武田理宏

大阪大学大学院医学系研究科医療情報学 教授／大阪大学医学部附属病院 医療情報部

Summary
近年、医療機関がランサムウェアなどのサイバーインシデントに遭遇し、医療提供が困難となる事例が報告されている。医療機関は重要インフラの一分野として、サイバーセキュリティ対策を進めなければならない。対策には、ランサムウェアの感染防止や感染検知、データ暗号化による被害を軽減するためのバックアップ、迅速にインシデント対応を行うための事業継続計画（BCP）が挙げられる。サイバーインシデント時は、電子カルテ障害により少ない患者情報のもと、慣れない用紙運用を行う必要があり、医療機関全体で対策に取り組む必要がある。

独 立 行 政 法 人 情 報 処 理 推 進 機 構（IPA: Informa-済活動に重大な影響を及ぼすことなく、重要インフラ

tion-technology Promotion Agency）が 公 表 す る

サービスの安全かつ持続的な提供を実現する、として「情報セキュリティ 10 大脅威 2023」では、組織に対いる。この目的を実現するために、医療機関は厚生労する脅威として、1 位にランサムウェア（Ransom-働省を所管省庁として、サイバーセキュリティ対策をware）による被害、2 位にサプライチェーンの弱点を進めていく必要がある。

悪用した攻撃、3 位に標的型攻撃による機密情報の窃

これに対し、令和 4（2022）年度の診療報酬改定で取を挙げている 。医療機関においても、宇陀市立病は、診療録管理体制加算 1 に関する施設基準として、院（2018 年）、つるぎ町立半田病院（2021 年）、鳴門

400 床以上の保険医療機関については、専任の医療情山上病院（2022 年）、大阪急性期・総合医療センター

報システム安全管理責任者を配置し、職員に対する情（2022 年）が、ランサムウェア攻撃により診療継続が報セキュリティ研修や、非常時に備えた医療情報シス困難となったことは記憶に新しいテムのバックアップ体制を確保することなどが求めら

1）。一方、医療機

2-4）関などがサイバー攻撃を受けた場合、厚生労働省へのれた。

報告が求められているが、報告を行っていない医療機

また、2023 年 5 月 31 日に公表された「医療情報シ関もあるとされ、その実数は明らかでないとされる。

ステムの安全管理に関するガイドライン第 6 版」では、

内閣サイバーセキュリティセンター
（NISC：Na-

ガイドラインが①概説編、②経営管理編、③企画管理

tional Center of Incident readiness and Strategy編、④システム運用編に分冊化され、特集として小規for Cybersecurity）では、医療機関を全 14 分野の重模向けガイダンスが示されるなど、より多くの医療関要インフラの 1 つと定めている 。重要インフラに関係者がガイドラインに触れる工夫が行われた。加えて、して NISC は、機能保証の考え方を踏まえ、サイバー「特集」としてサイバーセキュリティが取り上げられ攻撃や自然災害などに起因する重要インフラサービスるなど、サイバーセキュリティ対策が多く盛り込まれ障害の発生を可能な限り減らすとともに、その発生時ている。

6）には迅速な復旧を図ることにより、国民生活や社会経

10

患者安全推進ジャーナル

2023 No.73

医療機関のサイバーセキュリティ対策としては、外特集

部からの不正アクセスの防御や、侵入された際の不審な動きに気づく挙動検知、ウイルス感染を起こした際にシステム復旧できることを目的としたバックアップなどが求められるが、システム復旧までの間に患者への医療提供を継続するためには、事業継続計画（BCP：Business Continuing Plan) の策定が大切である。

システムダウンに備える

著者紹介武田理宏（たけだ・としひろ）

大阪大学大学院医学系研究科医療情報学教授／大阪大学医学部附属病院 医療情報部
1997 年大阪大学医学部卒。循環器内科専門医。2008 年より大阪大学医学部附属病院医療情報部に所属。
「医療情報システムの安全管理に関するガイドライン第サイバーインシデント防御に向けてランサムウェア感染6 版」の改訂や。医療現場のセキュリティ人材に育成に関する調査研究にかかわる。
大阪大学医学部附属病院（大阪府吹田市）：1086 床「ランサムウェア」は、悪意のあるソフトウェア（マルウェア）の一種であり、感染したコンピュータやネットワーク上のファイルを暗号化して、利用者がデータにアクセスできないようにする。そのうえで、「データ復号化キー」を所持する攻撃者が、身代金（ランサム）を要求するものである。データを暗号化する際にデーランサムウェアの感染経路
ランサムウェアの感染経路は主に、①メールの添付ファイルにランサムウェアが仕込まれているケース、タを窃取し、「ダークウェブサイト」に公開すること② USB メモリからの感染、を脅す、二重の恐喝を行うことも少なくない。

③インターネットとの接続機器、ランサムウェア感染の際、最初に侵入するのは、ラが想定される。

ンサムウェアそのものではないことが多い。最初に侵入した不正ソフトウェアは、数日から数週間、医療情◆添付ファイルや USB メモリからの感染報システムを静かに観察し、どのファイルがよく使わ①は、メールの添付ファイルにランサムウェアが仕れて、システムがどのような構成になっているかを調込まれているケースや、メール本文に記載されている査し、急所となる部分に、外部からランサムウェアをリンクをクリックすると、ランサムウェアをダウン呼び込む不正ソフトウェアを配置する。

ロードして起動してしまうケースである。②は、ランシステム内に配置されたソフトウェアは、一気にランサムウェアを外部から呼び込み、呼び込んだランサ

サムウェアに汚染されている USB メモリから、端末が感染するケースである。

ムウェアは一斉に、重要なファイルを暗号化する。ま

①や②は、個人 PC や事務 PC では非常に注意する

た、ランサムウェアは、バックアップシステムにも配必要があるが、電子カルテ端末でインターネット接続置されることがある。その後、脅迫文書をプリンタかできる医療機関はほぼないこと、USB メモリの使用ら打ち出したり、画面に脅迫文などを表示したりする。

が制限されていることが多いことから、感染経路となこのように、るリスクは比較的少ないと考えられる。

・ランサムウェア感染が発覚する前から感染は起こっていること、・オンラインバックアップシステムも感染の対象となる可能性があること、◆インターネットとの接続機器からの感染③は、リモートメンテナンス用にシステムベンダーが用意した VPN（Virtual Private Network：仮想プから、医療機関は、ライベートネットワーク）ルータの脆弱性（セキュリ・バックアップを保存する電磁的記録媒体などの種類、ティホール）を利用して、ネットワーク内に侵入する・バックアップの周期・世代管理の方法、ケースなどであり、電子カルテのランサムウェア感染・バ ックアップデータを保存した媒体を端末およびは、③のケースがほとんどである。

サーバ装置やネットワークから切り離して保管すること、などを考慮して、対策を講じることが強く求められる。

実 際 に、 医 療 機 関 の ラ ン サ ム ウ ェ ア 感 染 の多 く
は、事後の検証で VPN ルータの脆弱性が存在したことが確認されている。このため、個々の医療機関は、VPN 装置を適切に管理し、脆弱性が発見された場合はファームウェアのアップデートを速やかに行う必要がある。

患者安全推進ジャーナル

2023 No.73

11◆最近のランサムウェア感染やネットワーク経路を掌握する。セキュアなネットOS（オペレーティングシステム）やソフトウェアなワークを整備するため、ネットワークの論理的またはどの脆弱性が発見されてから、その情報公開や対策が物理的な構成の分割、接続機器の制御、通信するデー講じられる前にその脆弱性を狙う「ゼロデイ攻撃」がタの制御などを実施する。

知られる。これらの攻撃を防ぐためには、公開された次に、アカウント管理が大切となる。医療情報シス更新プログラムをできるだけ速く適用することしかなテムを利用・管理する関係者をリストアップし、それい。

ぞれがどのような権限でどのようなシステムを操作す業務目的で他施設と VPN で接続されている場合に、るのかを掌握する。

他施設の VPN 装置の脆弱性を突き、水平移動で感染運用系とバックアップ系などのセキュリティ系の認を引き起こすサプライチェーン型のランサムウェア感証を分離することで、時間稼ぎや、うまく行けばバッ染も起こっている。大阪急性期・総合医療センターのクアップ系やセキュリティ系を守ることができる。そランサムウェア感染事例は、医療機関にサービスを提し て、IDS や IPS や EDR（Endpoint Detection and供する事業者を介した水平感染であった。

Response）を導入して、ネットワークを監視する。

◆境界型防御とゼロトラスト◆被害の範囲を少なくする対策の重要性

ランサムウェア感染からの防御を考えた場合、従来サイバーセキュリティインシデントからの防御をは、外部（インターネット）と院内ネットワークを切完全に行うことは容易でない。攻撃者（ハッカー）が、り分け、院内ネットワークに侵入されることを防ぐた

特定の医療機関を攻撃対象として定め、侵入を試みため、外部との接続点にファイアーウォールや侵入検場合、侵入を防御することは困難かもしれない。

知システム（IDS：Intrusion Detection System）やしかし、金銭目的であれば、その攻撃者にとって侵侵入防御システム（IPS：Intrusion Prevention Sys-入するのはどの施設でもよく、少しでも手間のかからtems）を置く「境界型防御」が主流であった。しかし、ない、つまり、サイバーセキュリティ対策が脆弱な施境界型防護では院内ネットワークに侵入された場合に設を狙うことになる。また、万が一、院内ネットワー無策となるため、院内ネットワークも含め、すべてのクに侵入された場合も、院内ネットワークが適切な管通信を信頼しないことを前提にセキュリティ対策を講理を行っていれば、パスワードの解読に時間がかかっじる「ゼロトラスト」の考え方が普及してきている。

たり、不審な通信を検知して早期発見を行うことで、ゼロトラストでは、ネットワークの内外にかかわらない通信経路の暗号化、ユーザー認証の強化（多要素被害の範囲が少なくなることが想定される。
サイバーセキュリティ対策には費用が必要となるが、認証の利用）、ネットワークやそれに接続される各種できることから対策を少しでも進めていくことが大切デバイスの統合的なログ監視が試みられる。しかし、である。

電子カルテシステムは、部門システムも含めた多くのシステムとともに稼働しており、境界型防御の考えで構築されたシステムであることが多いため、コスト面やその他の理由で、ゼロトラストの考え方を導入することは簡単ではない。

サイバーインシデント防御に向けた医療機関の取り組み◆電子カルテシステムの構成管理、アカウント管理と挙動検知

サイバーインシデント発生への対応
自然災害とサイバーインシデント災害の違い◆自然災害の場合
自然災害時に停電が発生したとしても、電子カルテシステムサーバーやネットワークインフラは非常用電源に接続されており、各部署に配置されるノート PC

最初に、医療機関はサイバーインシデント防御に向はバッテリーを積んでいるため、電子カルテシステムけて、電子カルテシステムの構成管理を行う必要があを使って患者情報にアクセスできる可能性が高い。まる。

た、電子カルテシステムが停止しても、システム自体電子カルテシステムの構成や利用するサービスの形の障害ではないため、早期に復旧できる可能性が高い。

態に応じて、システムやサービスを構成する機器や、自然災害時に医療機関を受診される患者は、外傷を利用するネットワーク構成を一覧化する。そして、シ中心とした救急搬送が想定され、日常診療の受診はむステムが稼働するためのネットワークに接続する機器しろ減ることが予想される。さらに、患者も医療機関

12

患者安全推進ジャーナル

2023 No.73

特集

システムダウンに備える

デント時の BCP を自然災害とは別に設定するべきで自然災害時ある。

非常事態

医療情報システム障害時の運用◆用紙運用、そのための訓練
医療情報システム障害時は、多くの医療機関で用紙

病院外医療機関ランサムウェア感染時運用（紙カルテ、紙の伝票）が想定されている。ここで注意しなければならないことは、医療スタッフの用紙運用の経験である。ペーパーレスの電子カルテの導入時期は医療機関ごとに異なるが、電子カルテ運用が日常生活開始されて 10 年以上が経過している医療機関も少なくない。このことは、医療機関の最前線で勤務する中堅クラス以下の医療スタッフは、用紙運用の経験がほ

病院外

医療機関

図1 自然災害とサイバーインシデント災害の違い
自然災害時は、病院外でも非常事態の状況は共有されるが、サイバーインシデント災害時は共有されない。

とんど、あるいはまったくないことを意味している。
大阪大学医学部附属病院（以下、当院）では 2022 年
1 月に電子カルテの更新を行った際に、数日間の用紙運用を行った。病棟では、旧システム停止前に、紙の指示箋に医師が指示を転記し、看護師が指示受けを行い、システム停止期間は用紙運用を行い、新システムの状況をある程度予想できるため、広報の必要性は低いと考えられる（図 1）。

稼働後に指示を電子カルテに入力した。
この際、多くの病棟から「紙の指示箋の書き方がわからない」との声があがり、紙の指示箋の記載方法の◆サイバーインシデント災害の場合マニュアルを作成した。病棟での指示運用に関する医ランサムウェア感染などサイバーインシデントによ

療安全にかかわるインシデントは、多くの医療機関でるシステム障害の場合、電子カルテシステムはバック経験してきたことであるが、電子カルテ障害時の用紙アップサーバを含めて使用できず、医療スタッフが患運用で、指示伝達にかかわるインシデントが発生する者情報にまったくアクセスできないことが想定される。

可能性があることには、注意が必要である。

電子カルテシステム復旧に向けて、フォレンジック調査（サイバーインシデントが発生した際、デジタル端◆電子カルテ停止が医療安全を脅かすリスク

末やネットワーク内の情報を収集し、被害状況の解明

電子カルテでは、医療安全にかかわる多くの機能がや犯罪捜査に必要な法的証拠を明らかにする調査）や、実装されてきた。電子カルテの患者一覧では、同姓同電子カルテサーバーの再構築が必要となるため、完全名チェックがかかったり、患者カルテ起動時には漢字復旧までは数カ月の期間がかかることが想定される。

氏名、カナ氏名に加え、性別、年齢、居住地などの患

一方、病院外では日常生活が営まれるため、適切な者識別に必要な情報が表示されたりする。

広報を行わないと、患者は被災医療機関の状況を知る

また、注射薬投与時のバーコードチェックなど、患ことはできず、日常診療を求めて医療機関を受診する者間違いを防止する仕組みが多く組み込まれている。

ことになる（図 1）。これに対して、電子カルテにアク薬剤処方時には、禁忌・アレルギー、同一薬剤処方、セスできないことは、外来や手術の予約情報や患者連絶対禁忌・相互作用薬剤、妊産婦禁忌薬剤、投与量上絡先が把握できないことを意味しており、個々の患者限などの多くのアラートが発出される。しかし、電子への連絡は難しいことが想定される。

カルテ障害時に、これらの機能を使用することはできない。

◆サイバーインシデント災害用 BCP 作成の
必要性

そもそも、医師は紙の処方箋を記載することに慣れていない。電子カルテでは、3 文字入力で候補薬剤名

医療機関では、災害時の BCP が策定されているが、称が表示されるが、特にジェネリック医薬品の場合、多くは自然災害を想定した BCP となっていることがその名称を紙の処方箋で正確に記載できるか、課題が多い。上述したとおり、自然災害時とサイバーインシある。また、薬剤用量や用法も、「選択肢から選ぶ」と「自デント時の課題は大きく異なるため、サイバーインシら記載する」のでは、大きな違いがある。

患者安全推進ジャーナル

2023 No.7313記載ミスや省略がある処方箋が、電子カルテによる行部と関係チーム責任者で構成される対策本部を中心チェックがかかることなく、薬剤部門に下りていくこに、システム復旧対応チーム、広報・外部連絡チーム、とで、薬剤監査の負担は大きくなる。
多くの医療スタッ院内（患者）対応チームが医療現場を支えるべきであフにとって、電子カルテの医療安全に係る機能は意識ると考えている（図 2）。

なく使用されているのであり、システム障害運用時に対策本部は、情報の集約や方針の決定（例：診療制限、は、医療安全への配慮が十分になされる必要がある。

診療再開）、決定された方針の院内への情報共有を行う。
システム復旧対応チームは、院内の医療情報部門がサイバーインシデント発生時のBCP の策定

病院情報システムベンダーや外部チームと連携し、シ◆電子カルテシステム復旧までの時間の確認の状況の把握、感染拡大防止対応（ネットワーク遮断ステム復旧にあたる。初期には、インシデント発生時等）を行うとともに、復旧までの各フェーズにおけるサイバーインシデントにより電子カルテシステム障害が発生した場合、システム使用可能範囲の確認や、利用可能な参照系の・シ ステム復旧までに電子カルテシステムの使用が確認および確立を行い、対策本部と共有する。
広報・外部連絡チームは、関係各所への報告（例：まったくできない期間、・過去の診療情報のみ閲覧可能な期間、厚生労働省、警察）、マスメディア対応、病院ホームペーが想定される。復旧に必要な期間は被害状況により異ジへの公表、地域連携等の関連機関への連絡（患者対なるが、使用できない期間が数日間、完全復旧まで数応依頼などを想定）を行う。
院内（患者）対応チームは、患者情報把握（例：外来カ月間が必要となることが想定される。

予約患者、入院患者）、各部署への共有、患者問い合

また、過去の診療情報のみ閲覧可能な期間についてわせ対応などを行う。

は、院内ネットワークが使えずに限られた部屋（機器）でのみ診療情報が閲覧可能な状況、基幹システムや部臨床現場では、情報の不足と慣れない用紙運用で、門システムのうち一部の診療情報のみ閲覧可能な状況混乱が生じると想定される。用紙の記載方法や記載内などが想定される。どの程度の期間が想定されるかは

容の指導、用紙の不足への対応などは診療情報管理

医療機関ごとに異なるため、各施設の医療情報担当者室が、混乱によるインシデントの把握と再発予防に向に確認したうえで、BCP を策定する必要がある。

けた対策については医療安全管理室が、臨床現場をサポートすることができるように、BCP の策定を進め◆チームで危機を乗り越える仕組みづくりる必要がある。

当院ではサイバーインシデント発生時には、病院執システム復旧対応チーム
広報・外部連絡チーム

外部チーム

対策本部
（病院執行部）

院内（患者）
対応チーム

システム担当者（情報担当者）

診療情報管理室
医療安全管理室

臨床現場

図 2 サイバーインシデント発生時の対応体制案

14

患者安全推進ジャーナル

2023 No.73

電子カルテベンダー

特集

サイバーインシデントに向けた災害訓練◆システム更新のタイミングを利用した訓練
自然災害発生に向けた災害訓練を実施する医療機関

システムダウンに備える

サイバーセキュリティ対策を進めなければならない。
対策には、・ランサムウェア感染を防止するための対策、・データ暗号化による被害を軽減するための対策、は多いが、サイバーインシデントに向けた災害訓練を・不正アクセスを迅速に検知するための対策、行っている医療機関は多くないと思われる。訓練は、・迅速にインシデント対応を行うための対策、電子カルテ障害下で日常診療を行うことが目的となるが挙げられる。その多くは、医療情報部門が電子カルが、電子カルテシステムを止めて訓練を行うことは簡テベンダーと協調しながら対策を進めていく対策であ単ではない。

るが、インシデント発生時の対策は、すべての医療職

しかし、電子カルテシステムはシステム保守の問題がかかわって考えるべき対策である。発生する事態のから、5 年から 10 年に一度はシステム更新を行う必重大性がわかれば、病院職員個々が、セキュリティイ要がある。システム更新のタイミングでは、医療機関ンシデントの発生につながる行動を慎むことにつながごとに期間は異なるものの、電子カルテシステム停止る。

や利用制限が発生する。この機会を、訓練の機会としまた、BCP を策定し、訓練を行うことで、インシデント発生時の混乱を少しでも軽減することができる。て生かすことが考えられる。

インシデント発生時は、少ない患者情報と慣れない用◆訓練の実際

紙運用で、医療安全にかかわるインシデントの発生が電子カルテシステム更新に向けて、医療情報部門、懸念されることを念頭において、災害対策本部、診療診療情報管理部門は、中央診療部門と連携をしながら、情報管理部門、医療安全部門が協調し、情報共有を図っシステム停止の準備を進めていく。用紙運用に必要なていくことが大切である。

用紙が揃っているか、各部署に用紙が配置されている場合は必要時に取り出すことができるかを、この機会に確認をしておく。

文献

中央診療部門では、電子カルテ導入以前から運用が変わっている可能性があるため、用紙運用を改めて見直し、必要があれば、用紙のフォーマットを変更する。
上述したように、臨床現場は各種指示箋の記載方法がわからない職員が増えているため、記載マニュアルを威．
https://www.ipa.go.jp/security/10threats/index.html（2023/8/1 閲覧）
2） 宇陀市：宇陀市立病院コンピューターウイルス感染事案に関する「報告書」．
https://www.city.uda.nara.jp/udacity-hp/oshirase/

整備することも必要である。
電子カルテ更新時のシステム更新の場合、最低限の診療情報閲覧環境は用意され、また、必要な文書は印刷するなどの対策がとられるため、サイバーインシデント時よりも医療提供環境は整っていると考えられる。
しかし、実際に用紙運用を行い、発生した問題を検証することで、用紙運用の経験を引き継いでいくことができる。また、用紙運用後の遡及作業（電子カルテへの入力、用紙記録のスキャン、医事請求）についてもchange-info/documents/houkokusyo.pdf （2023/8/1閲覧）
3） つるぎ町立半田病院：コンピュータウイルス感染事案有識者会議調査報告書について．
https://www.handa-hospital.jp/topics/2022/0616/index.html （2023/8/1 閲覧）
4） 鳴門山上病院：令和 4 年 6 月 20 日 サイバー攻撃による被害について（第 1 報）．
https://kyujinkai-mc.or.jp/info/20220620/（2023/8/1 閲覧）
5） 大阪急性期・総合医療センター：情報セキュリティインシ

確認することができる。
＊

1） 独立行政法人情報処理推進機構：情報セキュリティ 10 大脅

デント調査委員会報告書について．

＊＊

https://www.gh.opho.jp/important/785.html（2023/8/1 閲覧）
6） 内閣サイバーセキュリティセンター．

医療機関は重要インフラの一分野として、患者情報

https://www.nisc.go.jp/ （2023/8/1 閲覧）を安全に管理し、安定した医療提供を継続するために、

患者安全推進ジャーナル

2023 No.73

15