100の病院がネットワーク遮断を余儀なくされた事例から見る、医療現場におけるサイバーレジリエンス

医療、製造、半導体生産ライン、インフラなど高度にデジタル化された環境では、サイバーセキュリティインシデントの影響は、単なる情報漏えいやシステム異常にとどまりません。日常業務がデジタルシステム、サードパーティープラットフォーム、ネットワーク接続された機器に大きく依存している場合、攻撃によって生じる本質的なリスクは、基幹サービスや業務プロセスが停止に追い込まれることです。 サイバーレジリエンスの鍵は、攻撃を検知できるかどうかだけではありません。攻撃が発生した際に、その影響範囲をいかに迅速に限定し、組織が必要な業務を継続できるかにあります。

事件の振り返り：病院が紙ベースの業務に戻らざるを得なかったランサムウェア事案

2024年2月、ルーマニアの複数の病院でランサムウェア事案が発生しました。この攻撃は、複数の医療機関が利用していた医療管理システムに影響を及ぼし、一部の病院ではシステムやデータベースが暗号化されました。さらに攻撃の拡大を防ぐため、より多くの病院が予防的にネットワーク接続を遮断せざるを得なくなりました。

公開報道によると、この事案では約25の病院でデータが暗号化され、同じプラットフォームを利用していた別の75の病院も調査のためにネットワーク遮断を求められました。その後の報道では、100を超える医療機関が影響を受けた、またはオフラインでの対応を余儀なくされたとも伝えられています。

デジタルシステムが正常に利用できない状況の中、一部の病院では、患者対応、受付、日常的な医療業務を維持するため、一時的に紙ベースの業務へ戻らざるを得ませんでした。この事案が注目に値するのは、影響範囲が広かったからだけではありません。共通システムやサードパーティープラットフォームにセキュリティインシデントが発生した場合、その影響が医療を含む高度にネットワーク化された環境全体へ急速に広がり得ることを示しているからです。

洞察1：サードパーティーシステムは大規模な拡散点になり得る

この事案は、単一の病院だけが孤立して攻撃を受けたものではありません。複数の医療機関が同じシステムプラットフォームに依存していたため、そのプラットフォームが影響を受けたことで、リスクが急速に拡大しました。

これは現代の医療現場において、ますます重要になっているサイバーセキュリティ上の課題です。病院の日常業務は、内部システムだけで成り立っているわけではありません。医療情報システム、検査システム、画像システム、外部保守サービス、クラウドプラットフォーム、委託業者、サプライヤー接続などに大きく依存しています。これらのシステムは業務効率を高める一方で、リスクの境界をより複雑にしています。

サードパーティープラットフォームや共通システムに問題が発生した場合、その影響は単一の組織内にとどまらず、院区、システム、組織をまたいで拡散する可能性があります。そのため、医療現場におけるサイバーセキュリティ対策は、単一のエンドポイントやシステムが安全かどうかを見るだけでは不十分です。全体の通信関係と依存構造を理解することが重要です。

洞察2：ランサムウェアは医療機器を直接攻撃しなくても医療サービスを中断させる

医療現場におけるサイバーリスクは、必ずしも医療機器そのものへの直接攻撃から生じるとは限りません。攻撃対象が管理システム、データベース、ファイルサーバー、予約・スケジューリングシステムであっても、医療サービスに間接的な影響を及ぼす可能性があります。

病院が患者情報にアクセスできない、検査記録を確認できない、受付や管理システムを利用できない状況でも、医療従事者は患者対応を続けなければなりません。しかし、その業務フローは大きく制約されます。デジタルプロセスから紙ベースの運用に戻ることは、現場スタッフの負担を高めるだけでなく、コミュニケーションミス、データ遅延、サービス効率の低下につながる可能性があります。

これは、医療サイバーセキュリティが単に情報システムを守るためのものではなく、医療サービスの継続性を守るためのものであることを示しています。本当に重要な問いは、「どの機器が攻撃されたのか」だけではありません。「どのシステムが停止すると、患者対応や病院運営に影響するのか」です。

洞察3：「全面的なネットワーク遮断」は有効だが、代償も大きい

ルーマニアの病院事案では、多くの病院が攻撃の拡大を防ぎ、調査の時間を確保するため、ただちにネットワーク接続を遮断するよう求められました。緊急時において、この対応は有効な手段となり得ます。しかし、その代償も明確です。デジタル業務が停止し、システムが利用できなくなり、内部コミュニケーションも制限され、現場スタッフは手作業でサービスを維持しなければなりません。

医療現場にとって、全面的なネットワーク遮断は理想的な状態ではありません。ITシステムが停止したからといって、病院が医療サービスの提供を止めることはできません。本当に必要なのは、より精密な隔離能力です。どの領域をただちに切り離すべきか、どのシステムは安全に稼働を継続できるのか、どの通信が基幹サービスに不可欠なのか、どの接続が拡散リスクをもたらすのかを判断できる能力が求められます。

サイバーレジリエンスとは、すべてのシステムを永遠に止めないことではありません。停止や中断を許容可能な範囲内に制御できることです。インシデント発生時に「すべて接続する」か「すべて遮断する」かの二択しかない状態ではなく、組織には階層別、区域別、システム別のリスク制御が必要です。

洞察4：バックアップは重要だが、業務レジリエンスの代わりにはならない

ランサムウェア事案において、バックアップは復旧の重要な鍵となります。組織が直近かつ利用可能なバックアップを保持していれば、データを永久に失うリスクを低減し、身代金の支払いを避けられる可能性が高まります。

しかし、バックアップだけですべての問題を解決できるわけではありません。たとえ最終的にデータを復元できたとしても、病院はシステム停止、感染範囲の確認、サービス復旧、現場業務の調整、部門間連携といった課題に対応しなければなりません。つまり、バックアップはデータ復旧を支えるものではありますが、業務中断そのものを完全に防ぐものではありません。

そのため、医療現場に必要なのは単一の防御策ではなく、包括的なレジリエンス設計です。バックアップに加えて、明確なシステム可視性、ネットワークセグメンテーション、アクセス制御、異常時の隔離、復旧手順、事業継続計画が必要です。これらの能力が事前に設計されていて初めて、組織は攻撃発生時の実質的な影響を低減できます。

洞察5：サイバーセキュリティの重点は「侵入防止」から「拡散制御」へ移行している

これまで多くの組織は、攻撃の侵入を防ぐこと、脅威を検知すること、脆弱性を修正することにサイバーセキュリティの重点を置いてきました。しかし、高度にネットワーク化された医療現場では、すべての攻撃を完全に防ぐことはますます難しくなっています。より現実的な問いは、攻撃が実際に発生したとき、組織はその拡散範囲を制御できるのか、ということです。

ルーマニアの病院事案は、リスクがシステム、院区、プラットフォームをまたいで拡散する可能性がある場合、重要なのはアラートを増やすことだけではないと示しています。必要なのは、迅速に境界を作り、不必要な接続を切断し、基幹サービスに必要な最小限の通信経路を維持することです。

これはサイバーセキュリティの考え方が変化していることを示しています。サイバーセキュリティはもはや、「攻撃を防げるかどうか」だけの問題ではありません。「攻撃が発生しても、それを局所的な範囲にとどめられるかどうか」が重要です。単一のインシデントが全面的な業務停止へ発展しないとき、組織は真の業務レジリエンスを備えていると言えます。

【Janusの視点】リスクを可視化し、拡散を抑え、業務を維持する

ルーマニアの病院事案は、医療現場もまた、他の高度にネットワーク化された運用環境と同様に、デジタル化によって生じるサイバーセキュリティ上の課題に直面していることを示しています。システム、プラットフォーム、機器、サードパーティーサービスが相互に接続される中で、サイバーセキュリティインシデントはもはや単なるITの問題ではありません。基幹サービスを継続できるかどうかという問題です。

Janusにとって、サイバーセキュリティ対策の中核的な価値は、異常を発見することだけではありません。組織が制御可能なセキュリティ境界を構築できるよう支援することにあります。組織は、内部システムが実際にどのように通信しているのかを把握し、どの接続が必要なのかを理解し、どの経路が拡散リスクをもたらすのかを特定し、インシデント発生時に影響範囲を迅速に限定する能力を持つ必要があります。

真のサイバーレジリエンスとは、組織に「絶対に攻撃されない」と信じさせることではありません。攻撃が発生した際にも、基幹サービスを守り、被害範囲を制御し、より予測可能な形で復旧できる状態を実現することです。

医療をはじめとする高度にネットワーク化された環境において、サイバーセキュリティは単なる技術課題ではありません。業務の安定性とサービス継続性を支える基盤です。今後の防御の焦点は、「脅威を見える化できるか」から、さらに「リスクの拡散を制御できるか」へと移っていきます。

攻撃を完全に避けることができない時代において、それを局所的な範囲にとどめられるかどうかが、現場のレジリエンスを分ける本当の差になります。

参考資料：

BBC News, How 100 Romanian hospitals switched to pen and paper after cyber-attack