メディカルサポネット 編集部からのコメント不正アクセスによって病院のホームページ改ざんや、患者の個人情報の流出といった被害が相次いでいおり、サイバーセキュリティ―対策の重要性が高まっています。「セキュリティソフトの導入」だけでは安全とは言えません。総務省も「国民のための情報セキュリティサイト」を通じて注意喚起を行っています。厚生労働省の「医療情報システムの安全管理に関するガイドライン」も不定期に更新されています。残念ながら「https://」ではなく「http://」で始まる鍵アイコンのつかないURLを使い続けている医療機関も見受けられます。「OSやアプリのアップデート」「パスワードの見直し」「WPA2など安全な無線LANの設定」「２段階以上の認証」など、基本部分の見落としがないか、最新の情報で設定されているか、再度ご確認ください。日本医療法人協会は～ 医療におけるサイバーセキュリティに関するお知らせ ～を通じて、具体的なサイバーセキュリティ対策を案内しています。 |
不正アクセスによって病院のホームページが改ざんされたり、患者の個人情報が流出したりする被害が相次いでいる。東京都保健医療公社が運営する多摩北部医療センター（東村山市）の医師の端末・メールアカウントに対する不正アクセスでは、患者のリストが流出した恐れがある。被害を受けた病院ではセキュリティー対策を強化したり、外部からの閲覧機能を制限したりして再発防止に懸命だ。【新井哉】
多摩北部医療センターが公表した職員を名乗る不審メールの特徴
■インフルエンザ検査リストなど流出、対象者は3671人
職員の氏名を使用し、不正や有害な動作を行う意図で作成されたマルウェアファイルを添付した「なりすましメール」が送信されていることが判明した―。多摩北部医療センターは20日、ホームページに不正アクセスに関する「お詫び」を掲載。職員を名乗る不審なメールが届いた場合は、メールを開いたり、返信したりせずに削除するよう求めている。
東京都保健医療公社によると、医師のメールボックス内に保存されているメール（8335件）などが流出した可能性がある。このうち24件がインフルエンザ検査結果や特定の疾病の患者リストといった「個人情報」で、その対象者は3671人に上る。
不正アクセスのあった医師の端末内の情報を利用した、都庁や公社のメールサーバーなどに対するスパム攻撃が確認されたという。同公社は、不正アクセスの全容解明後に適切な対策を実施する。それまでは、外部から職務用のパソコン端末を閲覧する機能を制限する。
■ハングル文字の投稿発見、ログインに画像認証を追加
JA山口厚生連周東総合病院（山口県柳井市）でも、ほぼ同じ時期に不正アクセスでホームページ（サイト）が改ざんされた。同病院は17日、改ざんに関する「報告」と「お詫び」をサイトに掲載。悪意のあるファイルがサイトにアップロードされており、フィッシングメールなどを経由して、そのファイルがダウンロードされてしまう可能性があったとしている。
同病院は、サイトを公開停止とし、管理パスワードを変更した。その後、サイト作成業者に依頼し、全データを削除。安全が確認されたバックアップファイルから脆弱性のある箇所を修正し、復元したという。
徳島県鳴門病院（鳴門市）も不正アクセスの事案を報告している。2018年11月に同病院の職員がホームページ管理画面で不正アクセスによるハングル文字の投稿を発見した。個人情報の流出や電子カルテシステムへの影響はないという。同病院は、再発防止策として、▽不正アクセスに利用されたID・パスワードを強固なものに変更▽管理画面のURLを変更▽ID・パスワードでのログインに画像認証を追加―といった対策を講じたという。
厚生労働省は18年10月にサイバーセキュリティー対策に関する通知を都道府県などに出し、「医療情報システムの安全管理に関するガイドライン」を医療機関に周知するよう求めていた。通知を出した後も、不正アクセスの被害が相次いでいるため、厚労省から技術的な助言を受けた都道府県が、被害を受けた医療機関への立入検査を行い、調査や指導に当たる必要がありそうだ。
出典：医療介護CBニュース
