なぜクリニックが狙われるのか

小さなクリニックは狙われないと思われがちです。しかし攻撃者から見ると、医療機関は「業務を止められない」×「守りが手薄」という、身代金要求が成立しやすい標的です。

実際、国内でも病院がランサムウェア（身代金要求型ウイルス）の被害で診療停止に追い込まれた事例が複数報告されています。攻撃は病院の規模を選びません。多くは特定の医院を狙ったものではなく、無差別にばらまかれたメールや、放置された機器の弱点から始まります。

そのため、高度な対策より先に基本的な弱点をなくすことが効果的です。

優先順位つき対策リスト

全部を一度にやる必要はありません。上から順に取り組んでください。

優先度対策ポイント
今すぐデータのバックアップ電子カルテ・レセコンのバックアップが「取れているか」「復元できるか」を確認。ネットワークから切り離した保管先も
今すぐパスワードの整理初期パスワードのまま・全端末共通・付箋貼り付けをやめる
今すぐOS・ソフトの更新サポート終了OSの放置は最大の弱点。更新は先送りしない
3ヶ月以内Wi-Fiの分離患者さん用Wi-Fiと業務用ネットワークを分ける
3ヶ月以内USBメモリ等のルール化私物媒体の持ち込み・使用ルールを決める
体制づくりスタッフ教育不審メールの見分け方と「開いてしまったときの報告ルール」
体制づくりインシデント時の連絡先整理保守業者・相談窓口の連絡先を紙でも掲示しておく

バックアップは「取っている」ではなく「戻せる」か

セキュリティ対策の最後の砦はバックアップです。ここで重要なのは、「バックアップを取っているか」ではなく「いざというとき復元できるか」です。

  • バックアップ先が感染源と同じネットワーク上にあると、まとめて暗号化される恐れがあります。切り離された保管先を1つ持つこと
  • 年に1回でいいので、復元のテスト（またはベンダーによる復元手順の確認）をすること
  • 電子カルテのバックアップ仕様は、保守契約の内容を確認すること（「何日分」「どこに」「誰が戻すのか」）
「保守業者がやってくれているはず」が一番危ないバックアップの範囲や頻度は契約によってまちまちです。「はず」のまま事故を迎えるのが最悪のパターンなので、一度契約内容を確認して、書面で把握しておくことを強くおすすめします。

技術より効くこともある: スタッフ教育

攻撃の入口として今も最多なのは、メールです。請求書や宅配業者を装ったメールの添付ファイルやリンクを開いてしまうのを防げるかどうかは、機器よりもスタッフの意識にかかっています。

ポイントは2つです。1つは「怪しいメールの特徴」を年1回でも共有すること。もう1つは、開いてしまったときに叱責しない報告ルールを作ることです。報告が遅れるほど被害は広がります。開いてしまったらすぐに報告し、報告した人を責めない決まりにしておくことが、被害を小さくするうえで効果的です。

医療情報のガイドラインとの関係

医療機関の情報管理には、厚生労働省の「医療情報システムの安全管理に関するガイドライン」をはじめとする公的な指針があります。近年の改定では、小規模な医療機関にも実施可能な形での対策整理が進んでいます。細部まで一度に対応する必要はありませんが、「公的な基準が存在し、バックアップや教育はその中でも基本要件である」ことは押さえておいてください。

まとめ

セキュリティ対策は、優先順位をつけて基本から進めるのが現実的です。まずはバックアップ・パスワード・更新の3点から始めてください。

MSYNCでは、クリニックの環境に合わせたセキュリティの現状確認と、優先順位の整理をお手伝いしています。ベンダーからの提案が妥当かどうかのご相談も受け付けています。