IoTセキュリティプラットフォームの開発を行うOrdr Inc.のプリンシパル・テクニカル・マーケティング・エンジニアである寒河江満典氏は10月24日、幕張メッセで開催された医療IT EXPOのセミナー「忍び寄るリスク 医療デバイスのIoTセキュリティ対策」で米国の医療機器セキュリティの現状について講演し、近年医療機関を狙ったサイバー攻撃が増加する中で、セキュリティ対策としてネットワークのセグメント化の整備が目下急務になっているとの認識を示した。

DICOMを狙うマルウェアが登場

寒河江氏はまず、アメリカでは従来から病院でランサムウェアによる古典的なハッキングが頻発していたことを紹介。さらに2019年に入り、新たに標準規格「DICOM」のフォーマットを利用したマルウェアやCTを操作するハッキング手法、医療機器のリアルタイムOSの脆弱性を利用した攻撃などが観測されている現状を説明した。医療業界がターゲットとなる背景について寒河江氏は、「ヘルスケア情報は名前、住所、社会保険番号、保険会社口座番号、電子カルテ情報、処方薬情報など数多くの情報が含まれており、売買する側にとって単純にクレジットカード番号だけの情報よりも高く売買できる」と述べ、こうした情報の多くがGoogleやYahooの検索では登場しない、インデックス化されていない空間で売買されているとの見方を示した。

そのうえで現在、米国の病院でのネットワークセキュリティーの課題として挙がっているものとして
▽様々なデバイスや、時に誤って医療機器につながる恐れのあるゲスト用Wi－Fiの一般化に対する管理
▽コスト削減目的で、ITネットワークと、外部攻撃を想定していない医療ネットワークが融合される懸念
▽過半数の情報漏洩がインサイダーアタックと言われる中での電子カルテへのアクセス権付与範囲とそのポリシーの作成・実行
などがあると指摘した。

また寒河江氏は、アラバマ州にあるDCH Health System運営の3病院でランサムウェアに感染した事例に言及し、「感染が起きたのは火曜日だったが、復旧は土曜日までかかった。この間、病院側は紙ベースで業務を遂行し、救急以外の患者は他院へ転送された」と説明した。

アンチウイルスソフトが心臓手術中に悪影響

一方、セキュリティ対策としての脆弱性スキャナーが医療機器を勝手に再起動してしまうケースや、アンチウイルスソフトが心臓手術中に機器内のスキャンを始めてしまったためにクラッシュしてしまったケースがあることなどを紹介。また、何らかの問題が発生した際のセキュリティパッチを配布するまでに時間がかかる場合もあるとして、「システムや医療機器をどう守るかについては一筋縄でいかない側面がある」と強調した。

寒河江氏は、究極的なセキュリティ対策はネットワークのセグメント化にあるとし、「このことは医療業界だけでなく他の業界でも1990年代から指摘されていることだが、守るものが何かを正確に把握していないとできない。実はセグメント化が普及していない理由はここにある」との見解を表明。ネットワークに接続された医療機器などのインベントリ情報を現場では具体的なモノと結び付けて把握するのが困難な状況があり、それがセグメント化の浸透への課題だと述べた。

その対策の一案として寒河江氏はFDA（米食品医薬品局）が公開している医療機器に関する製造業者の情報、具体的にはブランド、バージョン、モデル、メーカー、デバイスカテゴリーを集約した「グローバルUDIデータベース（GUDID）」が標準化されたインベントリ情報としてセキュリティに活用できないか検討していることを明らかにした。