医療機関を狙うランサムウェアの脅威と対策【中編】

病院はランサムウェアとの戦いに備えるべし　専門家推奨の「重要な対策」とは

米国連邦政府は医療機関を狙うランサムウェア攻撃の激化に警鐘を鳴らす。米国の医療機関はどのような対策を講じればよいのか。具体例を交えて専門家の見解を紹介する。

　前編「病院がコロナ対策の次に『ランサムウェア』対策を真剣に考えるべき理由」で紹介したように、米連邦政府機関が発表したサイバーセキュリティ勧告は、医療機関の最高情報責任者（CIO）に厳戒態勢を求めるだけでなく、身代金要求型マルウェア（ランサムウェア）に対する戦闘準備を命じるような内容になっていた。「TrickBot」や「BazarLoader」といった、攻撃プロセスにランサムウェアを利用するマルウェアは油断のならない脅威だが、CIOが全くの無力というわけではない。

　米テキサス州の医療機関Harris Health SystemでCIOを務めるデイビッド・シュウ氏は、医療機関Universal Health Services（UHS）が2020年9月にランサムウェア攻撃を受けた後も警戒態勢を緩めることはなかったことを例に挙げて説明する。「巧妙な攻撃によって機能不全に陥った数週間前の時点で、UHSは既に厳戒態勢を敷いていた」とシュウ氏は指摘。この攻撃を米連邦捜査局（FBI）が取り上げた事実によって、Harris Health Systemのランサムウェア攻撃に対する意識は「さらに高まった」（同氏）という。

　サイバーセキュリティ勧告が発表されてから、シュウ氏は主に2つのタスクの遂行に注力してきたという。1つはHarris Health Systemの全従業員にランサムウェアの脅威について忠告するメッセージの自動送信。もう1つはHarris Health Systemの従業員の間でテレワークが浸透している現状を踏まえ、端末を更新して最新のセキュリティ対策を講じる取り組みだ。

セキュリティ専門家が推奨する「重要な対策」とは

　これらの対策は戦略と戦術の両面においてサイバーセキュリティの専門家によるアドバイスに従っている。サイバーセキュリティの専門家は「医療機関のCIOは新しい情報を把握するだけでなく、潜在的な脆弱（ぜいじゃく）性と弱点を探して、特に重要なシステムに戦略上重要なパッチが適用されていない場合にはパッチを適用するのが望ましい」と指摘する。脆弱性を評価する際には、ペネトレーション（侵入）テストや攻撃のシミュレーションが有益だ。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  セキュリティ投資を病院の経営陣に納得させる“無視してはいけない3要素”

• 

  新型コロナ禍で医療従事者の自宅PCがサイバー攻撃の標的に　対策は？

新着ホワイトペーパー PR

• 製品資料
  [LRM株式会社] 「標的型攻撃メール」事例・サンプル集
• 製品資料
  [LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？
• 製品資料
  [LRM株式会社] セキュリティの重要性が伝わらない……　効果がない社員教育から脱却する方法
• 製品資料
  [LRM株式会社] 「標的型攻撃メール訓練」導入ガイド　社員の意識を確実に高める仕組みの作り方
• 事例
  [株式会社マクニカ] アイカ工業に学ぶ脆弱性対策　情シスが把握できずにいたアセットも正確に把握