組込み機器、制御システムなどに対して情報セキュリティの重要性が叫ばれる今、医療機器についてもその重要性が高まりつつある。今回は医療機器の情報セキュリティについて考えたい。情報セキュリティ上の脅威が指摘される組込み機器や制御システムの共通事項は、ネットワークへの接続等の利用環境の変化や、汎用OS・プロトコル等の汎用技術の導入であった。これは医療機器に対してもそのまま当てはまる。医療機器でもネットワーク接続や無線LANの利用が進み、OSとしてもWindowsなどが多く利用されるようになっている。医療機器では、以下のように環境の変化を整理することができる。非専業ベンダの参入さらに、ヘルスケア機器・サービスの拡大や、それらのサービスと医療との連携が進むにつれ、より一層オープン化が進むことが予想され、セキュリティ上の問題が加速する可能性もある。米国では医療機器のハッキングデモも実際に、世界的な医療機器メーカーを多く有する医療機器の先進国米国では、既に多くの重大な指摘がなされ、インシデントも発生している。発表されたインスリンポンプへのハッキングは、多くのメディアで報道された。糖尿病患者の治療に用いるインスリンポンプの脆弱性を突いて侵入し「致死的な攻撃」を仕掛けることができると発表し、医療機器の脆弱性が患者の命に関わる重要事項であることを世に知らしめた。Centerにおける女性向け胎児モニタ装置の感染など、多くの重大な指摘やインシデントが続いている。Centerや、製品がハッキングデモの対象となったMedtronic社など、情報セキュリティに対して優先事項として取り組む企業も現れつつある。昨年にはFDA(アメリカ食品医薬品局)が医療機器のサイバーセキュリティ管理に関するガイドラインを発表し、ICS-CERTが医療機器の脆弱性のアラートを出すなど、政府主導の改革も急速に行われつつある。現状では医療機器のセキュリティ対策不足はセキュリティ専門家の一致した見解であり、使用者からハッキングについて質問をうけた企業が「仮にできても誰もそんなこと(攻撃)はしない」と答えるなど、セキュリティ意識も含め、まだ改革途上の段階であるといえる。日本の医療現場の現状ではそれらの事項は日本でも起こりうるのだろうか。大きなインシデントこそ明らかになっていないものの、日本でも多くのインシデントが院内で発生している。IPAの調査によると、日本の病院でも多くのマルウェア感染事例があり、医療情報システムにUSBメモリ経由などで感染し、さらには医療機器までその影響が及ぶといったインシデントも発生している。実際にマルウェア感染しても、医療機器の動作が重くなるといった症状だけの場合も多く、セキュリティの知識不足もあり、気づかずに運用されていることも多いと指摘されている。現在、日本の医療従事者や医療機器ベンダのセキュリティ意識は低く、十分に対策が取られていないのが現状である。米国においても推し進められている最中だが、日本ではまだほとんど手がつけられていない状況だ。医療機器でのインシデントは生命に関わることであり、それがたとえわずかなリスクでも十分な対策を行う必要がある。そのためには、まずは医療従事者向けの普及啓発や情報提供が必要である。忙しい医療従事者にとって、診療報酬にも反映されないセキュリティについて時間を割く時間はなかなかないといったことも考えられるが、オンラインでの講習やコンテンツの配布でもよいだろう。同様に、提供側である医療機器ベンダへの情報提供や、医療機器セキュリティのガイドの作成なども望まれる。米国では、業界団体と米保険・福祉省(HHS)が連携し、オンライン開催で脅威の状況と動向を説明する場を今年の4月から開始させている。ベンダの意識や知識をあげていくことが、日本でも必要とされており、継続的に行っていくことが求められている。本文中のリンク・関連リンク:米国で、使用者からインシュリンポンプへの攻撃の可能性に関して質問を受けたベンダは、「仮にできても誰もそんなこと(攻撃)はしない」と回答したとされる。医療機器のセキュリティ対策不足はセキュリティ専門家の一致した見解とされる。次回は2020年1月下旬に更新予定です。Easyは創刊以来週刊でお届けして参りましたが、2012年4月からは隔週とさせて頂きます。2018年10月にサイトデザインをリニューアルし、SSL対応いたしました。引き続きご愛顧のほどよろしくお願いいたします。