【電カル】６つのセキュリティ対策！病院へのサイバー攻撃事例

沢山の病院やクリニックで電子カルテが普及してきましたね。
今までは紙カルテで患者さんの情報を管理していたけど、電子カルテが普及したことでパソコン上で患者さんの情報が管理できるようになりました。

慣れれば文字を書くより、入力する方が圧倒的に早いので凄く便利なアイテムですね。ただ電子カルテは患者さんの診察情報や住所、連絡先等沢山の個人情報が詰め込まれています。

近年個人情報流出で沢山の企業が謝罪しているけど、電子カルテも一歩間違えれば個人情報流出の大問題が起きちゃいます。

今回は、電子カルテを狙ったサイバー攻撃や対策について解説していきますね。

電子カルテやオーダリングを狙ったサイバー攻撃の実例

2021年１０月３１日に徳島県つるぎ町にある半田病院の電子カルテが身代金要求型ウィルス「ランサムウェア」に感染しました。

流れ的には、突然電カルが使用できなくなり、プリンターから「データを盗んで暗号化した。金を払わないとデータを公開する」と書かれた文章が出力された。サーバーには約８万５千人の個人情報が保管されていて個人情報開示を脅しに身代金を要求した事件です。

半田病院は身代金には応じず、すぐに情報漏洩の可能性を公表しました。

怖いですね〜。このランサムウェアウィルスは2020年にゲームが有名なカプコンもサイバー攻撃されてます。カプコンはロシア拠点のサイバー犯罪集団「Ragnar Locker」に個人情報を盗まれ11.５億円の身代金が要求されました。この時、海外の犯罪集団ということでFBI主導のもと調査が行われカプコンも身代金の支払いは拒否しています。

基本的にこういう脅しの行為があっても「支払うべきではない」というのがFBIの基本方針です。払っても情報漏洩が絶対に行われないという確証はありませんもんね。

話を戻しますが、この半田病院のウィルスはサーバーの遠隔保守用の回線から侵入したのではないかとの見解も出ている（2021年11月１１日時点）みたいですね。


こんな怖い個人情報流出を少しでも防ぐための対策を見ていきましょう！

病院やクリニックの電カルのウィルス攻撃や個人情報保護対策

医療機関側で電カルの個人情報を守るためにできる対策を解説します。

電子カルテ専用回線を用意

まず、これはめちゃくちゃ重要！
電子カルテとインターネットは別回線で用意するってのは必須。


基本的に、ウィルスはインターネット上から入ってきます。
インターネットで調べ物したりして、サイトを閲覧したりファイルをダウンロードしたりすることで気が付かない間にパソコンが感染します。

物理的に電子カルテとインターネットを別配線で建物内に用意することで、インターネット経由で直接ウィルスが入ってくるのを防ぐことができますね。

もちろん端末も電子カルテ専用端末を用意する必要があるので、インターネットに繋ぐ端末と電子カルテで使う端末は分ける必要がありますね。

セキュリティソフトをパソコンに入れる

パソコンにもウィルス対策は必須。
いくらインターネットと接続しないパソコンだからといって、ウィルスは様々な経路で侵入してきます。先程紹介した半田病院では電子カルテの保守用の回線から侵入したのでは？という見解もあるくらい隙間を縫って侵入してきます。

万が一、ウィルスに感染したときにもパソコン本体でブロックできるように対策を講じる必要がありますね。

ウィルス対策ソフトを購入する時には、ウィルスソフトをまとめ買いすると値段が安くなるケースも多々あるので、病院など端末が沢山る場合には、バラバラに買わないでまとめて買うと経費削減ができますよ！

USBを刺せないようにする

これは、「外部への個人情報持ち出し」や「ウィルス感染したUSB経由での感染」を防ぐための対策です。個人情報を外部に持ち出すのは、基本的NGというのが今時のルールだと思います。世間的にも職員が個人情報を勝手に持ち出して、パソコンやUSBを紛失して警察沙汰になるということが時々起きてますよね。

USBを外に持ち出すのは色々な理由があると思います。「家で仕事がしたかった」や「悪意を持って外部に持ち出す」など、どんな理由があるにせよ気軽に持ち出せる環境というのは良くない。USBは限られた人だけが使えるようにする設定は必須と言えますね。


また、USBを挿す時にもセキュリティソフト等でウィルス感染していない事がしっかり確認できたものである必要もあります。せっかく、インターネットと別の電子カルテ専用回線を用意していてもUSB経由で感染しちゃうということもあるから、もしUSBを挿す時にはウィルスチェックは必須ですね。

チェーンなどの物理的ロック

これは物理的なセキュリティ対策ですね。
パソコン本体に鉄の紐をくっつけて、机などで固定することでできるセキュリティ。ネットワーク上のセキュリティを強化してもパソコン本体を持ってかれちゃったら無意味ですよね。

滅多にないでしょうけど、「外部の人」や「悪意ある職員」がこっそりパソコンを持って帰っちゃわないようにする対策。盗難とかは、衝動でやっちゃうと言われてます。パソコンが鉄のケーブルで繋がってたら抑止力的には効果抜群ですね。

パソコン起動時のパスワード設定

これは、おまけ程度の対策。
スマホの暗証番号設定と同じようにパソコンの起動時にも暗証番号設定ができます。

仕事上で、「パソコン本体を外部に持ち出して紛失」や「盗難」の可能性ってのは０ではない。パソコン本体に暗証番号を設定することで、万が一の時にログインできないようになります。

基本的に、電子カルテのシステムはサーバーにデータを保存しているケースがほとんどだけど、電カルのパソコンにエクセルやワードの個人情報を保存しているケースは結構あるから単純だけど大事な対策ですね。

廃棄（捨てる）の時はハードディスクやSSDを破壊する

これは捨てる時にハードディスクやSSDをパソコン本体から抜き取って物理的に破壊するという廃棄方法ですね。パソコンはリサイクルショップや廃棄業者が回収してくれたりします。

けど、それらの業者が100%きちんと廃棄してくれているとは限りませんよね。業者によっては、パソコンを修理して再度販売したりハードディスクを抜き出して販売したりするケースもあります。

過去にも廃棄業者の社員が、ハードディスクを抜き出してオークションで販売して個人情報が流出した事件も起きています。データの物理的排気は、病院側の責任とも言えますね。

厚生労働省が医療機関向けのサイバーセキュリティガイドや被害報告先を用意

厚生労働省は医療機関向けの「医療情報システムの安全管理に関するガイドライン」を用意しています。これは個人情報保護の観点や医療情報システム関係のトラブル時の考え方など、色々な観点から書かれています。多少、IT系の知識がないと読みとくのは難しい箇所もあるけど担当者は１度は読んでおくべき内容ですね。




また、万が一、サイバー攻撃された時の報告先もあります。

これも厚生労働省の特設ページに記載されています。

実は、厚生労働省はサイバーセキュリティ関係の動画とかもユーチューブにUPしているんです。先程紹介した特設ページに一覧で載っているので気になる人は見てみてくださいね。

まとめ

電子カルテ等の個人情報保護するために必要な対策はこの６つ

• 電子カルテ専用回線を用意
• セキュリティソフトをパソコンに入れる
• USBを刺せないようにする
• チェーンなどの物理的ロック
• パソコン起動時のパスワード設定
• 廃棄（捨てる）の時はハードディスクやSSDを破壊する

これらの対策を意識してみてくださいね。

院内にパソコン知識がある人がいなくて、相談できる人がいない病院やクリニックもたくさんあると思います。そんな時には、IPA（独立行政法人 情報処理推進機構）が相談窓口を設けています。パソコン関係のセキュリティの相談がしたい人は、相談してみるといいですね。

医療機関の個人情報は、めちゃくちゃ重要な個人情報です。名前や生年月日だけじゃなくて治療歴や保険番号など沢山の情報が詰め込まれてます。

ウィルス対策は常に意識て行うようにしてくださいね。

最後までお読みいただきありがとうございました。