サイバー攻撃に遭った町立病院｢2カ月間の記録｣ 日本の医療機関のセキュリティ対策が課題に

サイバー攻撃は、電子カルテのシステムがランサムウェア（身代金要求型ウイルス）に感染したことによるものだった。日本全国には2021年暮れから2022年明けにかけて、同じようなサイバー攻撃に遭い、院内システムが停止したため、いまだに通常診療を再開できない病院もある。

同院の感染原因は、院外ネットワークと電子カルテサーバーを接続していた米社製VPN（複数拠点を仮想的なネットワークでつないで安全なデータ通信を実現する仕組み）の脆弱性だとされている。

セキュリティ対策を講じていない病院も

病院団体でつくる四病院団体協議会（四病協）が今年2月末までに、加盟病院を対象に実施したサイバーセキュリティに関する調査では、約9割の病院が「サイバー攻撃への脅威を感じている」と回答。約4割の病院が国がサイバー攻撃への脆弱性を指摘するVPN製品などを使用しており、そのうち脆弱性へのセキュリティ対策を講じていない病院が約3割を占めた。

医療機関への相次ぐサイバー攻撃などを受けて、厚生労働省は医療情報システムの安全管理に関するガイドラインを更新した。同ガイドラインの第5.2版「災害、サイバー攻撃等の非常時の対応」では、重要な医療情報ファイルを復元するために、情報端末、サーバー、ネットワークから切り離してバックアップデータを保管することを推奨しているほか、サイバー攻撃への対処手順が適切に機能するかどうかを訓練などで確認することが重要だと新たに明記された。

半田病院は徳島県の警察本部にあるサイバー犯罪対策室と相談のうえ、犯人側と一切、交渉しないことを決めた。災害対策本部はすぐさま、対処方針を打ち出した。

 「今いる入院患者を守る」
 「外来患者は基本的に予約再診のみ」
 「電子カルテ復旧に努める」
 「皆で助けあって乗り切ろう！」

サイバー攻撃以降、同院の苦闘は2カ月あまり続いた。幸いだったのは、サイバー攻撃に遭遇した日が日曜日だったことだ。

翌日の月曜日にはたくさんの外来患者が診療に来る。「丸1日の猶予に救われた」と、医事課課長補佐の折目慎一氏は当時を振り返る。事務職員の折目氏は月末の繁忙期であるために、診療報酬請求作業のため勤務予定だった。病院がサイバー攻撃に見舞われたことは出勤途中の午前8時過ぎ、食事で立ち寄るうどん屋で知ったという。

サイバー攻撃への対処方針をすぐに打ち出すなど、機転の利いたスピーディな対応と、1日の猶予があったことが、年明けの通常診療の再開など短期間での事態収束につながったといえる。サイバー攻撃に遭ったその日の午前8時過ぎには病院幹部会が開催され、須藤泰史病院事業管理者がこのサイバー攻撃は災害級の被害をもたらすと判断。院内BCP（事業継続計画）に基づいた災害対策本部を立ち上げた。

受付カウンターで対応にあたる職員（写真：病院提供）

サイバー攻撃に遭った日から一夜明け、半田病院は紙カルテでの診療を本格化した。病院の受付カウンターの前にテーブルを3台設置し、職員6人が来院する患者の対応にあたった。用紙に氏名、生年月日、住所、受診する診療科を記入してもらい、紙カルテを作成した。通常1分で終了する受付業務に10～15分かかり、患者からは苦情の声も上がった。