病院はランサムウェアとの戦いに備えるべし　専門家推奨の「重要な対策」とは

米国連邦政府は医療機関を狙うランサムウェア攻撃の激化に警鐘を鳴らす。米国の医療機関はどのような対策を講じればよいのか。具体例を交えて専門家の見解を紹介する。

公開 2021年01月05日 05時00分

更新 2022年10月05日 10時20分

著者

Makenzie Holland

Nicole Laskowski

[TechTarget]

印刷する連載新着通知を受け取る

　前編「病院がコロナ対策の次に『ランサムウェア』対策を真剣に考えるべき理由」で紹介したように、米連邦政府機関が発表したサイバーセキュリティ勧告は、医療機関の最高情報責任者（CIO）に厳戒態勢を求めるだけでなく、身代金要求型マルウェア（ランサムウェア）に対する戦闘準備を命じるような内容になっていた。「TrickBot」や「BazarLoader」といった、攻撃プロセスにランサムウェアを利用するマルウェアは油断のならない脅威だが、CIOが全くの無力というわけではない。

　米テキサス州の医療機関Harris Health SystemでCIOを務めるデイビッド・シュウ氏は、医療機関Universal Health Services（UHS）が2020年9月にランサムウェア攻撃を受けた後も警戒態勢を緩めることはなかったことを例に挙げて説明する。「巧妙な攻撃によって機能不全に陥った数週間前の時点で、UHSは既に厳戒態勢を敷いていた」とシュウ氏は指摘。この攻撃を米連邦捜査局（FBI）が取り上げた事実によって、Harris Health Systemのランサムウェア攻撃に対する意識は「さらに高まった」（同氏）という。

併せて読みたいお薦め記事

医療機関のセキュリティ対策

ランサムウェア攻撃への対策

　サイバーセキュリティ勧告が発表されてから、シュウ氏は主に2つのタスクの遂行に注力してきたという。1つはHarris Health Systemの全従業員にランサムウェアの脅威について忠告するメッセージの自動送信。もう1つはHarris Health Systemの従業員の間でテレワークが浸透している現状を踏まえ、端末を更新して最新のセキュリティ対策を講じる取り組みだ。

セキュリティ専門家が推奨する「重要な対策」とは

　これらの対策は戦略と戦術の両面においてサイバーセキュリティの専門家によるアドバイスに従っている。サイバーセキュリティの専門家は「医療機関のCIOは新しい情報を把握するだけでなく、潜在的な脆弱（ぜいじゃく）性と弱点を探して、特に重要なシステムに戦略上重要なパッチが適用されていない場合にはパッチを適用するのが望ましい」と指摘する。脆弱性を評価する際には、ペネトレーション（侵入）テストや攻撃のシミュレーションが有益だ。

　「ペネトレーションテストや攻撃シミュレーションを積極的に実施している場合は、これらのテストの結果を熟視してほしい」。医療機関向けサイバーセキュリティコンサルティングサービスを提供するMeditology Servicesと、その姉妹会社でベンダーリスク管理サービスを手掛けるCORL Technologiesのパートナー、ブライアン・セルフリッジ氏はこう語る。セルフリッジ氏は、サイバーセキュリティ勧告に明示されているマルウェアのエントリーポイントになり得るものを特定しているかどうか、これらのマルウェアの動作を確認済みかどうかが重要だと指摘する。

　ランサムウェアはフィッシング攻撃を介して持ち込まれる傾向がある。そのためこのサイバーセキュリティ勧告の重大さを医療機関の上層部と従業員に注意喚起することは必要不可欠だ。医療業界向けサイバーセキュリティ企業Fortified Health SecurityでCEOを務めるダン・L・ダドソン氏はこれを「戦闘準備命令のようなもの」だと指摘する。

　ダドソン氏は、CIOがランサムウェア攻撃の脅威についてスタッフに警鐘を鳴らす方法を選ぶときには「自施設の文化を考慮すべきだ」と説明する。意識向上や研修プログラムに関するメールを日常的に送っているとしたら、ランサムウェア攻撃の脅威に関するメールも単なるIT部門からの通知だと受け取られてしまう可能性がある。「過去に警告をどのように管理してきたかによるが、この警告は違う目で見てもらわなければならないほど重要度の高い警戒レベルだ」（同氏）

　CIOが侵害の兆候の有無についてシステムを分析することは欠かせない対策だと、複数のサイバーセキュリティの専門家は口をそろえる。侵害の主要な兆候はサイバーセキュリティ勧告に明記されている。医療業界向けサイバーセキュリティ企業CynergisTekで代表取締役兼CEOを務めるケイレブ・バーロウ氏は「ネットワークが攻撃を受けた形跡を探すツール群を導入すると侵害診断を実施できる」と話す。

　セルフリッジ氏によると、サイバーセキュリティ企業はTrickBotやRyukによる攻撃で使用された既知のIPアドレスのリストなど、ランサムウェア攻撃の対策に役立つ情報を提供している。医療機関はこれらの既知のIPアドレスが通信で使われてないかどうかを分析することで、早期に攻撃の兆候を見つけられる可能性がある。攻撃の兆候が見つかった場合には、重要なシステムのバックアップを作成する計画を早急に進める必要があると同氏は指摘。オフラインの場所に最新版のスナップショットを保管して、データを回復できるようにしておくことも重要だとアドバイスする。

　後編は、万が一に備えて病院運営の継続計画を立てる際のポイントを解説する。