IoMTも狙われている

 IoMTとは、Internet of Medical Things、即ち医療機器のインターネットです。

 Iotの中で医療に特化したものを指しています。

 インターネットに接続された医療機器の総称です。

 パソコン端末やITサービスに対するサイバー攻撃ばかり注目されがちですが、実はこのIoMTもサイバー攻撃の危険にさらされています。

 しかも実際に攻撃を受けてしまった医療施設もすでにあります。

 IoMTがサイバー攻撃を受けると、どのような危険が考えられるでしょうか?

 それらをふまえ、私たちにできることはなんでしょうか?

IoMTとはIoTの医療版

 家電製品をインターネットに接続することによって私たちの暮らしは様々な恩恵を受けます。

 しかしご存知の通り、インターネットに接続できるということはサイバー攻撃者から侵入のターゲットにされる可能性があるということです。

 電子カルテは医療機器をインターネットに接続することで、ネットワークを通じて患者のカルテ情報や治療経過等を様々な病院や医療業界内で共有し、新しい薬の開発や治療方法の確立などに役立てることができます。

 IoMTは近年急速に普及しており、それと同時にサイバー攻撃のリスクが増大しています。

参照元:厚生労働省「医療分野の情報化の推進について」より

IoMTが攻撃されるとどうなる?

 IoMTが攻撃されるとどのようなことが起こるのでしょうか? 考えられる例を下記で紹介します。

遠隔で心臓ペースメーカーに致死的な過電圧を

 例えば心臓ペースメーカーがあります。

 2012年にセキュリティ研究者であるバーナビー・ジャック氏によって、遠隔操作でこの心臓ペースメーカーに830ボルトという致死的な電撃を加えることができるという脆弱性があることが実証されました。

 これを悪用することで心臓ペースメーカーを着けた患者に対し、証拠を残すことなく殺害することも可能になってしまいますし、脅迫の材料として多額の身代金を要求される可能性も否定できません。

患者の情報データベースへ不正アクセス

 医療施設に置かれている端末からは、下記の図のように他の医療施設と連携し様々な患者のカルテ情報や投薬情報・治療の進行状況等が蓄積されたデータベースにアクセスすることができます。

 その端末にウイルスや脆弱性をついた攻撃が仕掛けられ侵入を許してしまうと、これらの情報にアクセスされてしまいます。

 情報を盗まれた患者は、身体周りを把握されるため、それらの治療に関する詐欺またはIoMTを使用した治療を行なっているのならばその機器に侵入し、身代金を要求することに使用される恐れがあります。

 それだけではなく治療に関する情報が全て失われた場合、患者のカルテ情報や投薬情報が得られなくなるため、患者の命が危険にさらされることもあります。

参照元:総務省「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン」より

IoMTを狙った過去の事例

 IoMTは日本国内だけではなく世界中のあらゆる場所で使用されています。

 つまり攻撃者もあらゆる場所に潜んでおり、IoT同様海外からの攻撃を受ける可能性もあります。

 実際に以下で述べる事象が最近起こり、IoMTの危険性について改めて考えるきっかけとなりました。

ランサムウェアで医療サービスへのアクセス遮断

 2016年に、アメリカの医療グループ【MedStar Health】のITインフラがランサムウェアの攻撃を受け、医療機器が正常に機能しなくなる事件が発生しました。

 メールの送受信や、膨大な患者の履歴データへのアクセスをも遮断され、旧来の紙の書類を使用せざるを得ませんでした。

医療サービス停止で身代金を支払う

 同じく2016年にカリフォルニア州の【Hollywood Presbyterian Medical Center】においても、ランサムウェア攻撃により重要な医療サービスがハッキングされ全て停止してしまいました。

 医療サービスの再稼働のために身代金を支払ってシステムを復旧させたとのことです。

 この攻撃の影響は約1週間にも及んでいます。

岡山大学病院の端末がウイルス感染

 2017年、岡山大学病院において患者情報のデータベースが入った端末がウイルスに感染し、外部からの不正アクセスが行われたことが判明しました。

 この不正アクセスによる患者への直接的な被害はなく、電子カルテなどの医療情報システムへの不正アクセスは確認されませんでした。

IoMTの今後の課題

 医療機関において卑劣なサイバー攻撃から身を守るためには、他の業界以上に情報リテラシーとセキュリティ対策が求められるでしょう。

 というのも、IoMTには人命がかかっているということと、院内において複数のIoMT機器同士が同じネットワーク内に接続している場合、一箇所から侵入されることで院内のIoMT機器全体に侵入される恐れがあるからです。

 IoMTに残された課題を理解するとともに、IoMT機器を取扱う際に気をつけるべきことを学びましょう。

参照元:総務省「総務省が推進する医療ICT政策について」より

セキュリティソフトの導入とフルスキャン

 セキュリティソフトの導入はパソコンやモバイル端末の話だけではありません。

 インターネットに接続できる機器全てにセキュリティソフトの導入をすべきです。

 そして、1週間に一度以上の頻度でフルスキャンを実行し、マルウェアや不正アクセスの証跡がないか監視するべきです。

 また、セキュリティソフトは常に最新バージョンであること、最新のパターンファイルであることが必須です。

 自動で最新の状態になるよう必ず設定しましょう。

セキュリティを意識したメールの利用

 IoMT機器へのサイバー攻撃の多くが、院内のスタッフおよび医療従事者によるメール開封からの感染によることがわかっています。

 メールの開封を促され、メール内のURLや添付ファイルをクリックしてしまうことでウイルスに感染し、侵入されます。

 メールに特化したアンチウイルスソフトの導入も必要ですが、何より利用者のセキュリティ意識が求められます。

 身に覚えのないメールは決して開かず即削除を徹底すること。

 メールの送受信には暗号化を施す設定をすることを徹底しましょう。

IoMTバージョンアップ・パッチの配布経路の確立

 システムや機器には必ず脆弱性が含まれています。

 発見された脆弱性はなるべく早く修正しなければなりません。

 人命がかかったIoMT機器ならばなおさらです。

 IoMTには必ず脆弱性が存在し、それらは製造メーカーが提供するバージョンアップおよびパッチを当てることで修正するということを知りましょう。

 そのあとに以下のサイトから、使用しているIoMT機器が該当していないか確認しましょう。
「使用機器の公式サイト」
「JVN iPedia – 脆弱性対策情報データベース」
「JPCERT コーディネーションセンター 脆弱性対策情報」
「脆弱性対策:IPA 独立行政法人 情報処理推進機構」

 その他ニュースをチェックすることも大切です。

 週に一回の頻度で脆弱性情報を確認し、該当するものがあれば直ちに変更作業計画を立てます。

 変更が完了したあとは正常にサービスが動作するかを確認することも忘れずに。

まとめ

 患者の敵はもはや病気やケガだけではありません。

 患者のビックデータ活用や遠隔による医療サービス向上のため、今後もIoMTの市場規模はますます上がるでしょう。

 医療業界に携わる人は、人命に接している以上他の企業以上にセキュリティ意識が求められます。

 現実に今でも病院や医療施設内でサイバー攻撃により深刻な被害を被っている場所が存在します。

 一刻も早くできることから始めていきましょう。

 我々は、情報が漏洩した事後の対策としてサイバー保険をご紹介しています。是非、事前の対策だけではなく事後の対策も行いましょう。どの企業にも起こりうることです。

サイバー攻撃に対する必要な備えは大きく2つ
1.サイバー攻撃を受けないための対策
2.サイバー攻撃を受けた後の対策

詳しくはこちらのサイバー保険の専用ページをご覧ください。
月額5,000円から利用できるサイバー保険付帯サービス
サイバー保険をご検討中の方へ
「安心」で「快適」な「未来」をお客様とともに創造します!
・サイバー保険が気になっている
・保険料はどのくらいなのか
・サイバー保険でどこまで補償できるのか

上記に関することでご相談・ご質問等ございましたら、お気軽に弊社までお問い合わせください。