岡山県精神科医療センターのランサムウェア被害とサイバーセキュリティ対策の重要性

2024年5月、岡山県精神科医療センターはランサムウェア攻撃を受け、最大で約4万人の患者に関する個人情報が漏えいするという深刻な事態に直面しました。この事件は、医療機関におけるサイバーセキュリティの重要性を改めて浮き彫りにしました。この記事では、この事件の詳細と、それが示すサイバーセキュリティの重要性について考察します。

岡山県精神科医療センターでは、2024年5月19日に電子カルテを含む総合情報システムに障害が発生しました。翌日には、この障害がランサムウェアによる攻撃であることが判明し、警察に被害届が提出されました。ランサムウェアは、ファイルを暗号化し、復号のために身代金を要求するマルウェアです。

この攻撃により、患者の氏名、住所、生年月日、病名などの個人情報が漏えいする可能性があることが確認されました^{1 2 3}。

この攻撃により、最大で約4万人の患者情報が漏えいしました。漏えいした情報は、共有フォルダに保存されていたもので、紙のカルテを使って診療は継続されましたが、電子カルテの利用が一時的に停止しました。センターは、被害を受けた患者やその家族に対して謝罪し、相談窓口を設置しました^{4 5}。

この事件は、医療機関におけるサイバーセキュリティの重要性を強く示しています。医療機関は、患者の個人情報を大量に扱うため、その情報がサイバー攻撃の標的となりやすいです。特に電子カルテシステムは、患者の診療情報を一元管理するため、攻撃を受けると診療業務に大きな影響を及ぼします。

電子カルテシステムは、医療機関の「心臓部」とも言える存在です。このシステムが攻撃を受けると、診療情報が暗号化され、利用できなくなるだけでなく、患者の個人情報が漏えいするリスクも高まります。
今回の事件でも、電子カルテシステムが攻撃を受けたことで、診療業務が一時的に停止し、多くの患者情報が漏えいしました。

岡山県精神科医療センターの事件は、医療機関におけるサイバーセキュリティ対策の不足を浮き彫りにしました。センターは、今回の攻撃を受けて、情報システムのセキュリティ監査を定期的に実施し、情報の暗号化を進めるなどの対策を講じると発表しましたが、事前の対策が不十分であったことは否めません。

岡山県精神科医療センターの事件は、日本国内外で発生している他のランサムウェア攻撃と比較しても、医療機関におけるサイバーセキュリティの脆弱性を示す一例です。
例えば、2022年10月に大阪急性期・総合医療センターが受けたランサムウェア攻撃では、電子カルテシステムが破壊され、診療業務に大きな影響を与えました^{6 7} 。

また、2023年7月に名古屋港コンテナターミナルが受けたランサムウェア攻撃では、システムが2日半にわたって停止し、復旧後も影響が1週間以上続きました。この事件は、重要インフラに対するサイバー攻撃のリスクを如実に示しています^{8 9 10}。

医療機関におけるサイバーセキュリティ対策の強化は急務です。
以下に、具体的な対策をいくつか挙げます。

1. 定期的なセキュリティ監査

   情報システムのセキュリティ監査を定期的に実施し、脆弱性を早期に発見・修正することが重要です。これにより、攻撃を未然に防ぐことができます。

2. 情報の暗号化

   患者情報を含む重要なデータは、暗号化して保存することで、万が一データが漏えいした場合でも、情報が悪用されるリスクを低減できます。

3. 多層防御

   複数のセキュリティシステムを組み合わせた多層防御を導入することで、攻撃者がシステムに侵入するのを防ぎます。例えば、ファイアウォール、侵入検知システム（IDS）、侵入防止システム（IPS）などを組み合わせることが有効です。

4. セキュリティ教育

   職員に対するセキュリティ教育を徹底し、フィッシングメールやマルウェアのリスクについて理解を深めることが重要です。これにより、職員が不審なメールやリンクをクリックするリスクを減らすことができます。

5. バックアップの強化

   定期的にデータのバックアップを行い、バックアップデータを安全な場所に保管することで、万が一システムが攻撃を受けても、迅速に復旧することが可能です。

岡山県精神科医療センターのランサムウェア被害は、医療機関におけるサイバーセキュリティの重要性を改めて示しました。電子カルテシステムを含む情報システムの脆弱性を克服し、患者の個人情報を守るためには、定期的なセキュリティ監査、情報の暗号化、多層防御、セキュリティ教育、バックアップの強化など、包括的な対策が必要です。
医療機関は、これらの対策を講じることで、サイバー攻撃のリスクを最小限に抑え、患者の安全と信頼を守ることが求められます。