12161.
ウクライナ情勢を巡るロシアへの経済制裁に対して、ロシアが報復として日本企業などにサイバー攻撃を仕掛けてくる恐れがあるため、政府は2月23日、企業や金融機関などにサイバーセキュリティ対策の強化を呼び掛けた。ウクライナでは1月以降、政府機関や銀行などがサイバー攻撃の標的になり、ロシア側の関与が指摘されていた。ただ、医療機関の多くは経営状況の厳しさから、サイバーセキュリティ対策の費用を確保することが難しく、十分な対策が行えない。医療は国の重要なインフラストラクチャーなので、サイバーセキュリティ対策の費用については国の支援が必要だ、との声が病院界から上がっている。日本では昨年11月以降、マルウェア(悪意のあるプログラム)の「Emotet(エモテット)」の感染が拡大している。攻撃者はWordやExcelファイルをメールに添付して大量に送付する「ばらまき攻撃」を仕掛けてくる。ファイルを開くと感染し、メールアカウントやパスワード、アドレス帳などの情報を抜き取られる。攻撃者は抜き取った情報を基にほかのユーザーへ感染メールを送信するため、取引先や顧客が巻き込まれる。最悪の場合、感染元は損害賠償請求や取引停止を受けたり、ブランドイメージが失墜したりする。医療機関では身代金要求型ウイルスの被害が増加中コロナ禍で、とりわけサイバー攻撃の被害を受けているのが医療サプライチェーンだ、とサイバーセキュリティの専門家は指摘する。攻撃者の狙いの1つは、コロナワクチンや治療薬などの研究成果を盗むスパイ目的の攻撃。2つ目は、「ランサムウェア」のような身代金要求型ウイルスを使った金銭目的の業務妨害だ。ランサムウェアは、感染したパソコンをロックしたり、ファイルを暗号化したりすることで使用不能にした後、元に戻すことと引き換えに「身代金」を要求する不正プログラム。医療機関は身代金の支払いに応じやすい標的と見られており、日本でも2018年ごろから、被害報告が増加しており、コンピュータウイルスによる個人情報の流出とは比較にならない甚大な被害が生じている。4月から義務化されるサイバーセキュリティ対策直近では昨年10月末、徳島県西部のつるぎ町立半田病院がランサムウェア攻撃を受け、電子カルテなどの医療データがすべて暗号化されて利用できなくなった。新規患者や救急患者の受け入れを停止する事態に陥り、地域医療にも大きな影響を及ぼした。昨年末にシステムが全面復旧し、今年1月4日にすべての診療科で外来診療を再開。サイバー攻撃事件からの復旧に約2ヵ月も要した。このため、国はランサムウェア対策などを盛り込んだ「医療情報システムの安全管理に関するガイドライン」の改訂作業を進めている。医療を含む14重点分野は、4月からサイバーセキュリティ対策が義務化されることになる。医療現場はこのような事態をどう捉えているのか。四病院団体協議会(四病協)は2月16日の記者会見で、病院のサイバーセキュリティ対策に必要となる金額の試算を公表。500床以上の病院の場合、不足額は最大で1億3,000万円程度に上ると見込まれ、対策費が大幅に不足している状況が明らかになった。四病協の試算で病床規模別の不足額が明確に日本病院会の相澤 孝夫会長は「収支差益は診療報酬改定に伴い変動・低減していく病院にとって、サイバーセキュリティへの投資を『自助』で行い続けることは困難」として、「公助」、つまり国による公的補助金支給が不可欠との考えを示した。ほかの産業では、収益に占めるIT予算比率は平均約2%で、そのIT予算のうちセキュリティ関連費用は15%以上が計上されているという日本情報システム・ユーザー協会の「企業IT動向調査報告」などを四病協は活用。これを第23回医療経済実態調査で得られた2020年度病床規模別損益に当てはめて、病院のセキュリティ関連費用を試算した。各病院が実際に充当しているセキュリティ費用の平均額の差を算出したところ、他産業と同様にIT予算の15%をセキュリティ対策に充てる場合、病床規模が100~199床で約400万円、200~299床で約1,100万円、300~499床で約2,100万円、500床以上で約5,600万円が不足しているという結果が出た。また、他産業と比べて病院の対策が遅れていることを考慮して、IT予算の30%をセキュリティ対策に充てる場合、不足額は100~199床で約1,200万円、200~299床で約2,600万円、300~499床で約5,000万円、500床以上で約1億3,000万円に膨らむ。はじめの数年は十分水準(IT予算の30%)の公的補助金の支給を受け、セキュリティ水準を底上げできたら、必要最低水準(IT予算の15%)の支給に変更していく段階的なアプローチを想定している。セキュリティ対策が不十分な中で医療のDX化を進めるリスク四病協はサイバーセキュリティ対策の委員会を設置、国の2022年度補正予算などでの支援費用の計上を目指して具体的な要望内容をまとめる方針だ。多くの病院では、コロナ禍以前からサイバーセキュリティ対策が遅れていたのに、コロナの収束が見えない中、さらに対策が取りにくくなっているのが実情だろう。それにもかかわらず、国は電子処方箋の導入など医療のDX(デジタルトランスフォーメーション)化に前のめりになっている。しかし、医療DX以前にまず必要なのは、サイバーセキュリティ対策の公的補助なのではないだろうか。