岡山県精神科医療センターのサイバー攻撃被害｜電子カルテ全停止、患者情報流出

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

サイバー攻撃の被害事例

岡山県精神科医療センター電子カルテ全停止、患者情報流出

ランサムウェア攻撃
サプライチェーン攻撃

被害発生日2024年5月19日

企業名岡山県精神科医療センター

この事例の要点

岡山県の医療機関において、データセンターに設置されていた保守作業用のSSL-VPN装置の脆弱性を突かれ、攻撃者の侵入を許しました。攻撃者はネットワーク内部に侵入後、Active Directoryサーバーを掌握して認証情報を窃取し、約6日後に電子カルテシステムを含む院内システムをランサムウェアに感染させました。病院側は、身代金を支払わずに自力での復旧を選択しましたが、システムの完全復旧までに約3ヶ月を要し、最大で約4万人分の個人情報が漏えいした可能性があると公表しました。インシデント発覚後は、速やかにネットワークを遮断し、紙カルテによる診療継続や関係各所への報告、患者・県民への公表など、迅速な対応を行いました。

事例の概要

企業名	岡山県精神科医療センター
被害発生日	2024年5月19日
被害の内容	電子カルテ全停止、患者情報流出
出典	調査報告書詳細解説

対策に向けたガーディアンの見解

1境界防御の過信を止め、ゼロトラストに基づいた多層防御へ

閉域網であっても、VPN装置のような外部との接続点が一つでもあれば、そこが侵入経路となり得ます。今回の事例は、「境界の内側は安全」という従来の境界防御モデルの限界を明確に示しています。対策として、全ての通信を信用しない「ゼロトラスト」の考え方に基づき、多層的な防御を構築することが不可欠です。具体的には、VPN装置のセキュリティ強化（多要素認証、脆弱性管理）はもちろんのこと、侵入を前提としてネットワーク内部での不審な活動（ラテラルムーブメント）を検知・遮断するEDR (Endpoint Detection and Response) やNDR (Network Detection and Response) の導入が有効です。また、Active Directoryの監視を強化し、特権アカウントの不正利用を即座に検知する仕組みも被害拡大を防ぐ上で極めて重要です。

2外部接続機器の脆弱性管理とアクセス制御の徹底

本件の侵入経路となったSSL-VPN装置は、サイバー攻撃の標的として頻繁に狙われます。保守用やリモートワーク用など、外部からアクセス可能な機器については、常に最新のセキュリティパッチを適用し、脆弱性を放置しない運用を徹底しなければなりません。さらに、ID/パスワードのみの認証に頼るのではなく、多要素認証（MFA）を必須とすることで、認証情報が漏えいした場合でも不正アクセスを防ぐことができます。また、保守作業時など、必要な時間帯・担当者にのみアクセスを許可する最小権限の原則に基づいたアクセス制御を行うことで、リスクを大幅に低減できます。

3事業継続計画（BCP）におけるサイバー攻撃シナリオの具体化

この病院が、ランサムウェア感染後に速やかに紙カルテ運用へ移行し、診療を継続できた点は高く評価できます。これは、サイバー攻撃を想定した事業継続計画（BCP）が機能した結果と言えるでしょう。全ての組織は、基幹システムがサイバー攻撃によって停止することを想定した具体的なBCPを策定し、定期的な訓練を実施すべきです。特に、ランサムウェア対策としては、身代金を支払わずに復旧するための最終手段となる「オフラインバックアップ」の取得と、そこからの復旧手順の検証が不可欠です。バックアップデータがネットワークから物理的または論理的に隔離されていなければ、本体データと同時に暗号化されてしまい、意味をなさなくなります。

4インシデント発生後の迅速な情報公開とステークホルダー連携

インシデント発生当日に公表し、関係機関へ報告した病院の対応は、被害者や社会に対する説明責任を果たす上で模範的です。有事の際に混乱なく動くためには、平時からインシデント発生時の報告・連絡体制（エスカレーションルール）を明確に定めておく必要があります。誰が、どのタイミングで、どの部署や関係機関（監督官庁、警察、セキュリティ専門機関など）に報告し、どのような情報を公開するのかを事前に定義しておくことで、対応の遅れによる二次被害や信頼の失墜を防ぐことができます。外部の専門家や弁護士を含めた連携体制をあらかじめ構築しておくことも、円滑なインシデント対応に繋がります。

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。