医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと

サイバー攻撃を受けたら、まず保守会社に連絡し、ネットワークを遮断して、記録を守ります。厚生労働省の BCP の手引きは、攻撃者が残した裏口(バックドア)の無効化なども、この初動の被害拡大防止に置いています。ガイドラインは、侵害された可能性のある機器に保存されていた ID とパスワードの無効化を、復旧の際の方策に挙げています。非常時用のアカウントは、正常に戻った後に使えないように変えます。

攻撃を受けたときに決まっていること

厚労省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、システム運用編 18 章の遵守事項(守るべき決まり)で、攻撃を受けたときの対応を 4 つ挙げています。

• 攻撃を受けたサーバーなどを切り離すための、外部ネットワークの一時切断
• コンピュータウイルスなどが入った機器の隔離
• 被害を確かめるための業務システムの停止
• バックアップからの重要なファイルの復元

18 章は、この 4 つを初動と復旧に分けていません。サイバー攻撃を想定した BCP(事業継続計画)の手引きでは、バックアップからの復元は復旧の段階に置かれています(4-3)。

連絡先も決められています。平成 30 年の厚労省の通知は、攻撃の疑いがあれば直ちに保守会社などに連絡するよう、医療機関への注意喚起を自治体に求めました。システムに障害が出て、個人情報の漏えいや医療の提供体制への支障が生じる、またはそのおそれがあると判断したら、厚労省へ連絡します。令和 4 年 11 月の厚労省の事務連絡も、事故が起きたときやそのおそれがあるときは、速やかに厚労省などに連絡するよう挙げています。企画管理編 12 章も、所管官庁(医療機関を受け持つ役所)への連絡を遵守事項にし、手順に厚労省と都道府県警察などへの報告を含めるよう求めています(12.3)。

医療情報が漏えいした場合は、個人情報保護法に基づく漏えい等の報告が要ることがあります(企画管理編 3.1.2)。報告が要る場合と期限は漏えい等とは(個人情報保護法の報告義務)にまとめています。

記録を守る

企画管理編の表 11-1 は、サイバー攻撃のときに要る対応として、被害状況の把握、被害拡大の防止、原因の究明と並べて「証拠・証跡の保全」を挙げています。BCP の手引きは、アクセスの記録の分析や、情報が書き換えられたり暗号化されたりしていないかを見て、攻撃の範囲と個人情報の漏えいの有無を調べるとしています。自院で証拠を保全できなければ、事業者に頼みます(3-5)。

手引きは、この証拠保全を初動対応に置き、再設定や入れ直し、バックアップからの復元を後の復旧処理に置いています(4-3)。端末を初期化したりシステムを入れ直したりすると、その中の記録が消えることがあります。そうなると、攻撃者が作ったアカウントや悪用された ID を、後から突き止める手がかりがなくなります。厚労省の BCP 確認表は、証拠保全が不十分で被害範囲を特定できなかった例があったと書いています。

アカウントについて守る記録は、誰がいつ入って何をしたかを示すものです。システム運用編 17 章は、ログイン時刻・アクセス時間・操作した医療情報が分かる記録を残し、不当な削除や改ざんを防ぐことを遵守事項にしています。

システムの管理を事業者に任せていると、記録が事業者の側にあることがあります。ガイドラインは、記録の管理方法と提供を事業者と取り決めるよう求めています(システム運用編 17.1)。事故の日に誰に頼めば記録が出てくるかは、この取り決めで決まります。記録の残し方は医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるかにまとめています。

侵害された可能性のある ID とパスワードを無効にする

手引きは、初動の被害拡大防止(3-3)に、ネットワークの遮断と並べてバックドアの無効化などを挙げています。バックドアは、攻撃者が後で入り直すために残す裏口です。手引きが参照先に示すシステム運用編 18.1 は、復旧の際に侵入の継続と被害の拡大を防ぐ方策として、裏口を残さないことと並べて次の一文を置いています。

不正に作成されたり、侵害された可能性のある機器に保存されていた ID・パスワード等を無効化する

攻撃者が作ったアカウントと、乗っ取られた可能性のある機器に保存されていた ID・パスワードの両方を無効にする、と読めます。資料は、全員のパスワードを一斉に変えることを初動の手順には挙げていません。どの機器が侵害されたかは記録から調べます。記録の保全が初動に入るのは、このためでもあります。

無効にする範囲を決めるには、どの機器にどの ID とパスワードが保存されていたか、その ID を誰が知っているかが分かっている必要があります。企画管理編 13 章は、管理者の権限の種類とその ID、使ってよい人を一覧にし、必要に応じて認証に関する情報の変更などを指示することを遵守事項にしています(⑥)。ほかの ID も、定期的に棚卸し(何があるか一覧にすること)をして、不要なものを消すよう求めています(⑦)。これがないと、どこまで変えれば足りるかを事故の日に決められません。

同じ攻撃を繰り返させないための備えも示されています。令和 4 年 11 月の事務連絡は、病院がランサムウェア(データを使えなくして身代金を求めるウイルス)の被害を受けた事案を受けて出されました。その「リスク低減のための措置」は、アカウントについて次の 3 つを挙げています。

• パスワードを複雑なものに変え、使い回さない
• 不要なアカウントを削除し、権限を確かめる
• 多要素認証(2 つ以上の方法で本人を確かめること)を使う

これらは平時の備えですが、復旧でパスワードを変え直すときの目安にもなります。

1 つの ID を複数人で使っている場合は、作業が増えます。その ID のパスワードを変えると、使う人全員に新しいパスワードを伝え直すことになります。伝える手段が紙のメモやメッセージなら、変えたばかりのパスワードがまた紙や端末に残ります。システムの記録には ID しか残らないので、記録だけでは実際に操作した人を絞れません。

非常時用のアカウントは正常に戻った後に変える

システム運用編 11 章の遵守事項は、非常時用のアカウントと機能について 3 つを求めています。

• 使う手順を整える
• 通常時に不適切に使われないよう管理し、使われたら気づけるようにする
• 使われた場合は、正常に戻った後に使い続けられないように変える

11.2 は、正規の権限を持つ人が操作できないときなどに、このアカウントで医療情報を使えるようにする運用を想定しています。考え方は緊急用アカウント(ブレークグラス)とはにまとめています。

サイバー攻撃で電子カルテが止まると、手引きが例に挙げる紙カルテの運用や、参照用のサーバーや端末を別に用意する運用に切り替えることがあります(3-4)。そのために臨時のアカウントを作って配ったなら、11 章が直接定めるものではありませんが、同じ考えで正常に戻った後に使えないように変えておきたいところです。

平時に用意しておくもの

事故の日にアカウントの作業で迷わないために、次の 4 つを平時に用意します。

1. ID の一覧。管理者用の ID は、権限の種類と使ってよい人を一覧にします(企画管理編 13 章 ⑥)。ほかの ID も定期的に棚卸しをします(⑦)。無効にする範囲を決める元になるからです。
2. 連絡体制図。保守会社などの事業者、厚労省、警察への連絡体制を整え、連絡先を院内に掲示するなど全職員が分かる形にします(手引き 1-2・2-1)。システムが止まると、パソコンの中の連絡先は見られないかもしれないからです。
3. 記録の置き場所と取り出し方。事業者に任せているシステムは、誰に頼めば記録が出るかを取り決めます(システム運用編 17.1)。
4. 非常時用のアカウントの手順と、正常に戻った後に変える手順(システム運用編 11 章)。