前回このコラムで取り上げた、岡山県精神科医療センターにおけるランサムウェア事案調査報告書には大きな反響がありました。前回の記事は、ぜひこのレポートを読んでほしいということに注力した内容としましたが、皆さん読んでいただけたでしょうか。このインシデントを「人災だ」とし、非常に鋭い内容のレポートに仕上がっているため、タイトルだけでなく全文をしっかり読んでもらいたいと思っていました。
【画像】岡山県の病院のランサム被害報告書を徹底解説【全1枚】
そこで今回はもう一度このレポートを深掘りし、少しでも日本のセキュリティが高くなるよう、このインシデントをさらにチェックしていきたいと思います。
●VPNを使う「覚悟」はあるか？ ランサムウェア事案調査報告書を深堀り
個人的に最も重要だと思ったのは、「閉域網」神話への妄信が続いている現状に対する警鐘です。このインシデントの初期侵入は、恐らく保守向けに設置されていたSSL-VPN装置ではないかと考えられています。報告書によると、システム内に設置された医療機器をはじめ、そのほとんどが境界防御を前提とした「閉域網」というセキュリティ施策を取り入れていたとされています。
|
|
|
|
同レポートでは、医療業界のインシデントを解説していますので、医療業界特有の事情が記されています。しかし、「5.8.1 技術的対策」、ベンダーのセキュリティポリシーには、このような一文があります。
今回のヒアリングを通じて、電子カルテベンダーや部門システムベンダー、医療機器ベンダーが、医療情報システムは「閉域網」であるからウイルスに感染しない、「閉域網」であるから脆弱（ぜいじゃく）性を放置しても大丈夫という意識をいまだに持ち続けていることを確認した。
（「ランサムウェア事案調査報告書について」から引用）
これについてはどの業界も似たようなものではないでしょうか。特にIoTでも閉域網神話は健在であり、小さな機械だからアップデートできなくてもいいというエクスキューズをよく聞きます。加えて、この一文が問題提起しているように、システムを提供するベンダーやインテグレーターですら、閉域網を前提としたシステムを提案していることは想像に難くありません。
確かにシステムを構築したタイミングでは、新型コロナウイルスをきっかけとした働き方改革によるテレワークのための「急なVPN導入」を想定していなかったと思います。しかしそれでもVPN導入時にどのようなリスクが存在するかを把握しなくてはならなかったはずですし、パンデミックからも十分な時間がたっています。
|
|
|
|
本書では続けてこうあります。
これは、発注者たる病院側に第一義的な責任があり、本来、厚生労働省ガイドラインや、病院が求めるセキュリティポリシーを提示し、それに見合う製品、システムを導入すべきである。その意味で、ベンダーにセキュリティポリシーや脆弱性管理を丸投げしている病院の責任は非常に重いといわざるを得ない。
（中略）
そもそも、VPN装置が存在しなければ「閉域網」に穴は開いておらず、病院におけるランサムウェア事象は発生しなかったはずである。その意味で「閉域網に穴を開ける」VPN装置に関しては、主たる利用者であるベンダーが、率先して病院とセキュリティ対策について協議すべきであった。
（「ランサムウェア事案調査報告書について」P24から引用）
|
|
|
|
このレポートを読んだあなたは、VPN設置時の「覚悟」が何たるかを理解できたはずです。これを知ってしまった以上、動かないわけにはいかないでしょう。たくさん報道された徳島県つるぎ町立半田病院や大阪急性期・総合医療センターの報告書でも同様の指摘がありました。「閉域網に穴をあける」ことのリスクを、再度見直すべしというのが、このレポートの重要な指摘です。
●担当者必見、ランサムウェア被害後に講じた技術的対策
この他、多くの組織に役立つ情報として、報告書では同インシデント後に実施した対策がまとめられています。ランサムウェア被害後に講じた、侵入防止策や水平展開防止策、情報漏えい防止策、脆弱性対策が詳細に記載されています。ランサムウェア対策が不十分だと思う企業はぜひ、自組織でもできそうなことも取り入れていってください。
これらの中でも重要な対策は「管理者権限での稼働を禁止した」ことではないでしょうか。個人端末では、何となく管理者権限が付与されたまま使っている方も多いかと思います。しかし、業務で利用するPCやアカウントは、必要な場合を除き、標準ユーザーで利用することが必須です。今回の見直しでは、電子カルテシステムでは管理者権限を必要とするプログラムとなっていたとあり、それが悪用された結果、管理者権限によってEDR（Endpoint Detection and Response）／XDR（eXtended Detection and Response）が無効化される可能性が指摘されています。
多くの企業が、少ない予算の中で導入しているEDRはセキュリティの要ですが、運用に問題があると、管理者権限を利用し、セキュリティ機構そのものを無効にできてしまうということは、もう少し注目されてもいいと思っています。同報告書でも下記のような警鐘が鳴らされています。
EDRやXDR、UTM／次世代ファイアウォールの導入に当たっては、その効果を無効化もしくはバイパスする設定について、ベンダーに確認の上、確実な是正措置を講じるとともに、上記対策を実施の上で導入し、多層防御の一環として位置付けることを強く推奨する。
（「ランサムウェア事案調査報告書について」P29から引用）
同レポートでは加えて、医療情報システムでは管理者権限を付与することが半ば常態化しており、業界全体での見直しが必須だとしています。しかし果たしてそれは医療業界に限ったことなのでしょうか。新システムの導入時には、一般ユーザー権限での利用ができるかどうかという点をチェック事項として用意し、管理者権限が必要な理由も問い合わせなくてはなりません。そのときの反応が、ベンダーにおけるセキュリティ意識をチェックするポイントになるかもしれません。
●「バックアップを取っていれば安心」はもう通用しない
今回のランサムウェア事案では、残念ながらバックアップをうまく生かすことができませんでした。基幹システムのソフトウェア構築・保守統括事業者とはオフラインバックアップの契約を結んでいたにもかかわらず、正しく取得できていないことが判明しています。バックアップを取得していたのに、リストアできなかったという事例は非常によく聞きます。バックアップは取得よりも「復元できるか」に主眼を置き、事前に訓練をしておく必要があるでしょう。
この他、同事案ではオンラインで保持しているバックアップデータが、攻撃者によって全て破壊されていたことも報告されています。これを踏まえて、同レポートでは新たにバックアップシステム自身が脅威検出できる機能を持つものを選定し、導入したとしています。今後はこのような機能が重要視されるのかもしれません。
そしてもう一つ気になったのは、実は同病院では「Active Directory」の不調を把握していたという点です。冒頭の時系列を見ると、初期侵入が実行された2024年5月13日よりも前のタイミングで、Active Directoryが原因不明の障害を起こしていることが明らかになっています。つまり、この時点で対処ができていれば……という“予兆”があったのです。
この不調を、攻撃と捉えることは確かに難しいかもしれません。事象を基に、報告書ではActive Directoryの監査ポリシーを強化して、異常の検出を可能にしています。これこそが、私たちが学ぶべきポイントです。レポートでは下図よりも長い一覧があります。ぜひチェックしてみてください。そして、自社でも適用できるかどうか検討をお願いします。
●本当にIoT機器はアップデートをしたら「保証対象外」になるのか？
総括の中では、同事案が起こるべくして起ってしまったこと、脆弱なシステムは必ずいつか攻撃されてしまうという現状が語られています。報告書ではこれを「稚拙な攻撃を許す組織こそがランサムギャングの標的なのだ」と表現しています。
これはつまり、脆弱性が明らかになったタイミングで適切にアップデートを講じられれば、ゼロデイを扱える高度な攻撃者以外の、稚拙な攻撃者は防げる可能性があるということです。しかし現状は恐らく同レポートでも触れているような状況にあるでしょう。
加えて、多くのベンダーから毎月のアップデートの実施に対して社内テストが困難で、不具合発生に対応できないという指摘も寄せられている。医療情報システムや医療機器においては、十分慎重な試験の積み重ねが必要だ。
（「ランサムウェア事案調査報告書について」P49から引用）
それに対し、レポートではこのように厳しい言葉でバッサリと切り捨てています。長文ですが引用します。
しかし、現在の「Windows Update」は累積的パッチ適用がなされることから、ソフトウェアコンポーネントの相互依存性に基づく不整合の発生は極めて少なく、DLL Hellの発生はSide-by-Side機能によって解決されている。デバイスドライバーもテストツールやフレームワークの提供、ドライバー署名の強制などによって強靭（きょうじん）となっており、ドライバー起因のブルースクリーンも発生しない。一般的なソフトウェア開発フレームワークを使用する限り、Windows Updateの弊害はないといえる状況にある。また、特殊な環境での不具合発生に対して、Windows Updateが、自身の適用をブロックする機能も提供されており、アップデートに起因する弊害は、ほぼなくなっているのが現状である。
他方、多くのベンダーは、当月の最新アップデートを適用した上で、製品出荷を実施しているという。「Windows」の初期インストールの実施後、最新の累積的パッチを適用し正常動作するのなら、他のWindowsでも同様の累積的パッチが適用されるため、Windowsコンポーネントの差異はなく、製品は正常動作するといえる。過去のWindowsのように、ソフトウェアコンポーネントのバージョン不整合（依存関係の衝突）が起きないメカニズムが提供されている限り、Windows Updateを実施し、アップデートを実施しない場合の病院全体のリスクを医療情報システムの専門家として低減するべきではないか。
（「ランサムウェア事案調査報告書について」P50から引用）
このコメントは大変重要な指摘です。IoT機器など、どのような製品においてももはやアップデート機能は組織全体を守るために必須であり、ベンダーもそれを分かっているはずです。今後は上記のレポートを提示しつつ、なぜアップデートができないのかという点を、ベンダーにも迫っていく必要があると思います。
●医療業界でのインシデントを無駄にするな
本コラムでは2回続けて、岡山県精神科医療センターにおけるインシデントレポートを取り上げました。このレポートは徳島県つるぎ町立半田病院や大阪急性期・総合医療センターのレポート同様、非常に重要な提案が含まれる、どの業界にも役にたつ、役に立てねばならないものです。今回は取り上げていませんが、技術的ではない組織的な部分に対する取り組みも必読です。
しっかり読めば、必ず一つくらいは「これはうちでも一緒かも？」と思える部分があるはずです。その意味でも、ぜひ関連する部署の皆さんで「読み合わせ会」をやってみてください。それぞれがpdfにマーカーを入れ、そのマーカーを突き合わせるだけでも、セキュリティレベルが上がるはずです。ぜひその場には、社長も入っていると望ましいです。
この事案を無駄にしてはいけません。レポートをまとめた各位に拍手を送りたいと思います。
筆者紹介：宮田健（フリーライター）
＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。
|
|
|
|
|
|
|
|
Copyright(C) 2025 ITmedia Inc. All rights reserved. 記事・写真の無断転載を禁じます。
掲載情報の著作権は提供元企業に帰属します。
IT・インターネット
ランキング
IT・インターネット
アクセス数ランキング
- 1
TDR「2035年の姿」発表に反響（写真：ねとらぼ）22
話題数ランキング
- 1
ドタバタで、葬儀の失敗体験（写真：まいどなニュース）38
