病院の物理的システムが標的に

マニトバ州最大の病院であるウィニペグ・ヘルスサイエンスセンターは、ドアアクセス制御や暖房、換気、空調（HVAC）を含む施設維持管理システムを混乱させたランサムウェアインシデントを調査している。この攻撃は電子カルテを直接標的にしたようには見えないが、ランサムウェアの攻撃者が大病院内のビルオートメーションシステムに到達できたという事実自体が、解き明かす価値のある重要な進展である。

現時点では、病院は患者ケアへの影響は出ていないと述べており、調査が進行中である。ヘルスサイエンスセンターへのランサムウェア攻撃の背後にいる脅威アクターの身元は公に確認されていない。不確実性はランサムウェア開示の初期段階ではよくあることで、通常、組織は攻撃者の特定やデータ流出の範囲を確認する前に、封じ込めと業務の継続を優先するからである。

ドアロックとHVACがプライバシーに関わる理由

ドアアクセスや空調管理システムへのランサムウェア攻撃は、プライバシーの問題というより施設の問題だと簡単に考えがちである。しかし、病院環境ではその前提はあまり成立しない。ドアアクセスシステムは、薬局、記録保管室、サーバールーム、病棟といった制限エリアに誰が入ったかをログに記録することが多い。もしそれらのログ、認証情報、アクセス制御データベースがランサムウェアの操作者に触れられていれば、それ自体が悪用または改ざんされる可能性のある機密性の高い運用データとなる。

一方、HVACシステムは、その他の建物やITインフラを管理する内部ネットワークと同じものに接続されていることが多い。多くの組織では、ビルオートメーションシステム（BAS）は臨床ITシステムと同レベルのセキュリティ厳格さを持って設計されていないが、相互接続されたネットワーク上に存在している。スマートサーモスタットコントローラーやアクセスカードリーダーのような、監視の少ないネットワークの隅から始まる侵害は、適切なネットワーク分離がなされていない場合、より機密性の高いシステムへの足がかりとなることがある。ここでそれが起きたかどうかはまだ確認されていないが、このインシデントは、ランサムウェアが患者データベースに直接触れなくても、現実のプライバシーと安全上の懸念を引き起こし得ることを示す有益な事例である。

より広範な傾向：ランサムウェアグループが標的を多様化

医療機関は病院が容易にオフラインにできないため、迅速な支払いへの圧力が生じ、ランサムウェアグループにとって長らく魅力的な標的であった。ヘルスサイエンスセンターのインシデントで注目すべきは、臨床記録ではなく、あるいはそれに加えて、物理インフラシステムが特に標的にされた点である。これは、個人健康情報を含むデータベースだけでなく、あらゆる接続システムを梃子にしようと探る恐喝グループの広範な傾向を反映している。

このことは他の業界で起きていることとも一致する。恐喝グループは、あらゆる種類の組織へのアクセスを主張するケースが増えており、時に未確認の主張を交渉圧力のためだけに用いる。最近のShinyHuntersによるアーンスト・アンド・ヤングへの未確認のランサムウェア主張の事例は、これらのグループが、時に事実が完全に確認される前に、被害を最大化し被害者を交渉に追い込むために、主張される侵害を公表する様子を示している。公的医療機関を含むカナダの組織も、この手口の例外ではない。

これがあなたにとって意味すること

もしあなたがウィニペグ・ヘルスサイエンスセンターの患者であれば、現時点で個人の健康記録が侵害された兆候はなく、患者ケアに影響はないと病院は発表している。とはいえ、ランサムウェア調査は進展するものであり、どのシステムやデータが影響を受けたかの全容が判明するまでには通常数日から数週間を要する。ソーシャルメディアの噂や初期の報道だけに頼らず、病院からの公式な情報発信に注意を払うのが賢明である。

より広く見れば、このインシデントはプライバシーリスクが医療記録や請求システムのような分かりやすいデータ保管場所に限らないことを思い起こさせる。組織内のドアロックからサーモスタットに至るまで、あらゆる接続システムは潜在的な侵入口であり、流出する運用データの発生源にもなり得る。カナダの医療機関や他の重要インフラ運営者にとって、このインシデントは、臨床システム、管理システム、ビル管理システムの間でのネットワーク分離の重要性、ならびにそれらのシステムを管理するサードパーティベンダーの定期的な監査の重要性を改めて強調している。

実践的な教訓

患者向け: オンラインで出回る未確認の主張ではなく、ウィニペグ・ヘルスサイエンスセンターとマニトバ州の保健当局からの公式な最新情報に注目すること。病院や他の重要施設のITおよびセキュリティチーム向け: このインシデントは、ビルオートメーションおよびアクセス制御システムがコアネットワークからどのように分離されているかを見直し、データ侵害だけでなく物理インフラも考慮したインシデント対応計画を確実に策定するための強力な事例である。ランサムウェアは常に流出したデータベースで自らを知らせるわけではなく、時には開かなくなるドアや冷えなくなるシステムとして現れる。そうなった時には、すでに対応の猶予は縮まっている。