医療機関へのサイバー攻撃の現状と危機管理対応、将来構想（提言）

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

医療機関へのサイバー攻撃の
現状と危機管理対応、将来構想（提言）*
近畿地区協議会医療DX研究会主任研究員
大阪府・和歌山県連合支部主催継続研修会
日時：2023.03.30.（木）第2部 15：00 ～ 17：00
場所：ホテル阪急イ...

1
０．本研修の目的
（１）機関誌JAHMC 2022年12月号寄稿
「医療機関へのサイバー攻撃の現状と
危機管理対応、将来構想（提言）」
の解説
（２）2023年度近畿地区協議会調査研究事業
「医療DX研究会」の概要説明と
研究員の募集案内

2
１．はじめに
（１）公的な活動実績（近畿地区協議会）
（２）医療機関へのサイバー攻撃の現状
２．医療を取り巻く外部環境変化
（１）医療業務の急速なICT化
（２）サイバー攻撃の反社会的なビジネス化
４．将来構想（提言）
（１）セキュアな医療...

１．はじめに（１）公的な活動実績（近畿地区協議会）
3
「サイバーセキュリティ演習研究会」発足
病院向けサイバーセキュリティ机上演習シナリオ開発
第23回医業経営コンサルタント学会発表
島根県警・サイバーセキュリティ机上演習実施
ファシリテー...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
（１）背景
「医療」分野を含め14分野の重要インフラ分野において、
サイバー攻撃に対するIT障害の未然防止、発生時の被害拡大防止・迅速な復旧およ
び再発防止などを推進。
内閣サイバーセキュ...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
（２）目的
■ サイバー攻撃を起因とした病院の組織横断的な各種リスクマネジメント機能強
化に寄与することを目的に、関係団体と連携して、病院管理職向けのサイバー
セキュリティ机上演習シナリオ...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
「机上演習」のフロー
6
【アサイン】
プレイヤ（参加者）にシナリオ上
の病院職員の役職をアサイン。
（その役職に成りきってロール
プレイング。）
【ファシリテート】
問題点をあぶり出すよう...

7
【病院向けサイバーセキュリティ机上演習シナリオ開発】
「机上演習」の領域

ニーズ調査
７～９月
【病院向けサイバーセキュリティ机上演習シナリオ開発】
（２）体制
当協会
近畿地区協議会
当研究会
2018.06～2019.03
ＯＮ：グループウェア
ＯＦＦ：1回／月（第3土）
近畿地区
各支部から参加
計８人
岡谷...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
外部有識者（９名）
9
区分氏名所属
講師当分野の第一人者で講師として招き、ご指導頂く。
岡谷貢
NPO日本ネットワークセキュリティ協会
問題検証型机上演習指導教官
アドバイザ...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
ご賛同・ご協力病院(９病院)
10
京都第一赤十字病院
洛和会音羽病院（２病院）
竹田綜合病院
佐世保中央病院
熊本赤十字病院
社会医療法人愛仁会
済生会吹田病院
済生会中津病院
多...

１．シナリオの狙い
①電子カルテのデータが暗号化され使用不能事態が発生したと設定。
②院内だけでなく、外部関連組織とリアルに対応するストーリーとした。
③厚労省「安全管理ガイドライン」を守っているように見えて守っていない
病院が少なからず存在す...

【シナリオ概要】
①電子カルテシステムのデータが暗号化され使用不能事態が発覚し、当該病院が緊
急対応（危機管理本部を設置）を行っている段階とする。
【演習実施要領】
① プレイヤーは、各々の役割（右図①～⑤）を
演じ、「既存規程類（内外環境設定...

【病院向けサイバーセキュリティ机上演習シナリオ開発】
(1)初動段階及び判断対応段階（エスカレーション）
【ファシリテーション（気づきのポイント）】
Ｆ１．ウイルス感染システム障害時の対応基準、機器等停止範囲判断基準を定めているか？
Ｆ２．電...

14
【病院向けサイバーセキュリティ机上演習シナリオ開発】
14
(2)被害拡大及び応急復旧段階
【ファシリテーション（気づきのポイント）】
Ｆ５．医療機器が被害対象になった場合の対応要領は検討されているか？
Ｆ６．医療機器が被害対象になった...

医療機関をめぐるサイバーセキュリティへの関心が非常に高まっていること
を示すように、ＮＨＫ大阪放送局が密着取材。
当日18：45～ＮＨＫ関西ローカルニュースで放映！
【病院向けサイバーセキュリティ机上演習シナリオ開発】
ＮＨＫニュースで放映...

16
演習終了後、ロールプレイングを振り返って、問題点の抽出・整理。
■ 検討（検証）結果の整理
【病院向けサイバーセキュリティ机上演習シナリオ開発】

■ 参加した病院職員の声
○ 実際の場面が設定されたことで問題点や課題が具体的に洗い出された。
○ 演習での「気づき」を自病院に持ち帰り、サイバー攻撃に対する被害拡大
防止や迅速な復旧への応用・展開、BCP（業務改善計画）の見直しにつな
げたい...

18
１．はじめに（２）医療機関へのサイバー攻撃の現状
・サイバー攻撃
引き金事象
医業経営レベル
「医療安全問題」
「個人情報保護問題」
に達するケース
IT レベル
「医療情報システムの異常」
に留まるケース
被害
・地震、火災、風水害等...

19
１．はじめに（２）医療機関へのサイバー攻撃の現状
○ 近年、医療機関へのランサムウェア攻撃＊による医業経営レベルの被害
「医療安全問題」が多数顕在化している。
昨年10月、大阪府の災害拠点病院（基幹災害医療センター）では患者の電
子カル...

20
１．はじめに（２）医療機関へのサイバー攻撃の現状
年月公表元又は発出元概要
2017年 5月厚生労働省安全管理ガイドラインを第5版に改定。（サイバー攻撃の動向への対応など。）
2018年 10月奈良県宇陀市立病院（奈良県...

21
２．医療を取り巻く外部環境変化
（１）医療業務の急速なICT化
○医療情報システムは、電子カルテや医事会計などの「基幹系システム」と各部門
（画像診断、生理検査、検体検査、手術、看護、薬剤、リハビリなど）の業務を行う
ための複数の「部門シ...

● 前述のため、それぞれの業務に精通した複数の情報システム開発企業（以下、
ベンダー）に開発、保守を委託しているのが現状である。
● さらに、近年の医療業務の急速な ICT 化により、医療情報システムは高度化、
複雑化、ネットワーク化が進んでい...

23
２．医療を取り巻く外部環境変化
（２）サイバー攻撃の反社会的なビジネス化（1/2）
■ 侵入口となるデータは「初期アクセス」と呼ばれ、パソコンを遠隔から操作する「リモート
デスクトップ」や、社外から社内システムにつなぐVPN（仮想私設網）...

24
２．医療を取り巻く外部環境変化
（２）サイバー攻撃の反社会的なビジネス化（2/2）
■ ランサムウエア攻撃クラウドサービスRaaS（ランサムウエア・アズ・ア・サービス）
RaaSの管理パネルで、簡単にランサムウエア攻撃を仕掛けることが出来...

25
ランサムウェア攻撃による被害に至った推定（1/2）
① 通常の医療業務では、医療情報システムをインターネットに接続していなく
ても、ベンダーが VPN 装置経由、インターネット側から遠隔保守すること
について、医療機関が潜在的なリスクの認...

26
③ 8 万 7,000 台の当該 VPN 装置の IP アドレス（いわゆる、インターネット
上の住所番地）およびログイン認証情報が匿名性の高い闇サイト群「ダー
クウェブ」上で公開されていることが 2021 年に発覚。
④ 公開された大量の...

27
医療機関には、このようなランサムウェア攻撃による被害を我が事として、平時
及び非常時の組織成熟度の向上が望まれる。
（１）安全管理に関するITマネジメント
（２）非常時の医業経営マネジメント
３．危機管理対応
経時
医療提供レベル
（２...

28
1）複数ベンダーのマネジメント強化
① 個々のベンダーとの「ハードウェア」、「ソフトウェア」及び「院内外のネット
ワークインフラ」の保守範囲や具体的な保守内容の精緻化。
② 個々のベンダー間の保守責任範囲の切り分けおよび明確化。
③ 医療...

29
2）情報セキュリティの見直し
ランサムウェア攻撃に的を絞ると、以下の点が重要である。
① -1.医療情報システムとインターネットとの接点の洗い出し＆
-2.リスクアセスメント及びリスク対策
② バックアップデータのオフライン保管の追加
３...

閉域 IP
通信網*
30
３．危機管理対応
（１）安全管理に関するITマネジメント（3/6）
①-1. 医療情報システムとインターネットとの接点の洗い出し
前述の改定した委託契約書に基づき、
a．まず、VPN 装置やファイアウォール装置等の脆...

31
３．危機管理対応
（１）安全管理に関するITマネジメント（4/6）
①-2.リスクアセスメント及びリスク対策
諸般の事情でやむを得ず、インターネットVPN を利用しなければならない場合
ⅰ．潜在的な種々のリスクを十分に洗い出し、
ⅱ．それ...

32
３．危機管理対応
（１）安全管理に関するITマネジメント（5/6）
ⅱ-1 ．インターネットからの不特定多数のアクセスによるリスクをできる限り低
減するために、外部拠点（接続元）の IP アドレスを制限（併せて、不要
な通信ポート*を閉じ...

33
３．危機管理対応
（１）安全管理に関するITマネジメント（6/6）
委託先等の外部組織と、オンラインで自院の医療情報システムがつながって
いる場合、外部組織へのサイバー攻撃の影響が自院にも波及（一点鎖線）
するため、その接点も監視対象と...

34
1）サイバー攻撃に対する BCP の策定
種々の対策を行っても、「サイバー攻撃を100％防ぐことはできない」（内閣
サイバーセキュリティセンター）。
■ すでに、バックアップの運用上の脆弱性を狙い、バックアップのオフライン保存をしていても...

35
2）サイバー攻撃に対する BCP の事前検証
さらに、策定した BCP により、
① 医療機関の組織横断的な医療安全リスクマネジメントが実際に機能するか？
当サイバーセキュリティ演習研究会の 2018 年度調査研究事業の成果物「病院管理職...

36
「日本病院会相澤孝夫会長が、四病院団体協議会総合部会後の会見で、
医療DXを推進させる政策が講じられている中で、サイバーセキュリティ対策
が病院で十分に整えられていないことを懸念する意見が相次いだことを報告。
安全性を担保した上で、オン...

37
病院の外部環境課題（1/2）
引用：日本病院会サイト
https://www.hospital.or.jp/pdf/06_20220331_01.pdf

38
病院の外部環境課題（2/2）
① 医療機関では診療報酬は公定価格であるため、
セキュリティ対策費（コスト）を診療請求価格（売上）に反映出来ない。
② 医療機関では、施設基準やその他、諸々の法令・通達・ガイドラインで
種々の規制を受けている...

39
病院の内部環境課題
① セキュリティ専門人材や、医業経営と IT との橋渡しができる人材などが不
足している。
② 一方、厚生労働省「安全管理ガイドライン」は、セキュリティ対策として、安
全管理措置の導入だけではなく、マネジメントシステム...

40
（１）セキュアな医療クラウド
共通基盤整備
４．将来構想（提言） *
（２）関係法令の改正、
特別法の制定
（３）医療DXによる
新しい価値創造
医療DX
*個人の見解、以下同様

41
■ 地方自治体は少子高齢化・住民減少による財政悪化
■ 「自治体クラウド」の導入（2013年6月14日閣議決定）
市町村が個別に行政システムを開発保守するのではなく、クラウド化により
共通部分を作り、それを各市町村が共同で活用して効率化。...

42
■ 個々の病院で個別に電子カルテ等のサーバを設置し運用・保守。
① 個々の病院で、個別に医療情報システムを構築・管理し、さらにセキュリティ
知識を持つスタッフを確保するのは予算的にも人的にも大変困難である。
●セキュアな医療クラウド共通基...

43
② さらに、医療情報システムは、院内ではなくクラウド側にあるので地理的な
制約がないため、地域医療における医療機能において、
a.専門的医療の「集約」
b.日常的身近な医療の「分散」
のバランス*および連携も柔軟にとりやすくなり、住み慣れ...

44
毎年 40 兆円を超える膨大な日本の国民医療費は、本人負担分と保険料で
は賄えず、国民皆保険を維持するために、約 40％を公費で賄っている。
そのお陰で私たち国民は安い医療費で高度な医療を消費しているのである。
４．将来構想（提言） *...

45
約 40％を公費で賄っている医療の消費に伴い発生した医療情報は、次
の表裏一体の二面性がある。
二次利用（公衆衛生、医学研究、過度に海外依存しない国産のワクチン
や医薬品等の開発、ヘルスケアサービスなど）による恩恵を国民全体が受け
る「権...

46
【国民医療情報資源】は、次の課題があり、「豊かな国民生活の実現に資す
る」資源として有効活用が進んでいない。
① 官民とも分散構築し、部分最適化された個別の医療情報システムのデータ
ベースに蓄積している。（例えば、同じデータ名称でも定義...

47
４．将来構想（提言） *
（３）医療DXによる新しい価値創造（1/5）

48
厚労省健康・医療・介護情報利活用検討会医療情報ネットワークの基盤に関するワーキンググループ（2022年11月28日）の資料
４．将来構想（提言） *
（３）医療DXによる新しい価値創造（2/5）

49
４．将来構想（提言） *
（３）医療DXによる新しい価値創造（3/5）
■ 厚生労働省は、2023年度の薬価（公定価格）改定について、48%の品目で
価格を引き下げ、医療費を3100億円程度削減する方向で最終調整に入っ
た。医薬品の供給不...

50
４．将来構想（提言） *
（３）医療DXによる新しい価値創造（4/5）
■医療DXでキーとなる「マイナンバーカード」（マイナ保険証）について
１．紙媒体は、自立型メディアで、それ単体で人は認識できる。
２．デジタル（電子）メディアは、依存...

51
セキュアな「医療クラウド」共通基盤整備
×「人工知能（AI）」
×「関係法令の改正＋特別法の制定」
⇒医療 DX
将来の疾病を予想し国民の健康管理や健康寿命の延伸に役立てれば、
① 今後の医療費増大を抑制。
② 工夫次第で投入した公的資金...

52
機関誌JAHMC 2022年12月号より抜粋

53
５．【医療DX研究会】研究員公募のご案内
（1）目的、テーマ、成果物
■ 目的
医療 DX に関して、私たち、認定登録医業経営コンサルタントは、医業経営者の高
度化する要求や期待に応えられるよう、新しい知識や経験を積むとともに、互いに切...

54
５．【医療DX研究会】研究員公募のご案内
（2）体制
（３）体制と役割
外部有識者
近畿地区協議会
事務局
研究員
主任研究員
月次研究会（1 回／月）
主幹研究員
医療 DX 研究会
期間：2023 年 5 月～2024 年 3 ...

55
５．【医療DX研究会】研究員公募のご案内
（3）外部有識者（予定*）
＊依頼書を送付し所属組織の内部稟議依頼。

56
５．【医療DX研究会】研究員公募のご案内
（4）2023年スケジュール

57
５．【医療DX研究会】研究員公募のご案内
（5）募集要項（1/2） https://hbs.one.ne.jp/one-form/jahmc-kinki.html

58
５．【医療DX研究会】研究員公募のご案内
（5）募集要項（2/2） https://hbs.one.ne.jp/one-form/jahmc-kinki.html

59
最後に、長期間、新型コロナウイルスに懸命に立ち向かい、地域の医療、
介護、福祉を支えていただいているすべての医療、介護、福祉機関および従
事者の方々に敬意を表するとともに感謝申し上げたい。

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1013504 views
Storytelling For The Web: Integrate... by Chiara Aliotta 921849 views
Artificial Intelligence, Data and C... by OECD Directorate ... 825811 views
How to Leverage AI to Boost Employe... by SocialHRCamp 344524 views
2024 State of Marketing Report – by... by Marius Sescu 196500 views
Everything You Need To Know About C... by Expeed Software 219534 views

View on Slideshare

1 of 60 Ad

View on Slideshare

1 of 60 Ad