病院・ヘルスケア・医療機関・製薬会社の皆様へ～データ保護・復元に関する資料となります～無料ダウンロード
医療現場はPACS、HIS、RISなど多くのITシステムが稼働しています。それらがシームレスに連携し、日々稼働し続ける事で日本の医療が成り立っています。患者さんが受付を済ませてからお会計を済ませて帰るまでの間に何十のシステムが連携しているか想像もつかないでしょう。この中で1つでもシステムが不具合を起こしたり、サイバー攻撃の標的になったら病院業務が完全にストップする事は言うまでもありません。
昨今、日本でも医療機関がサイバー攻撃（ランサムウェア）の被害を受けてケースが非常に多くなってきています。同じ攻撃を受けて数日で業務を再開できる病院と、数週間以上もの間休業する病院があります。災害やヒューマンエラー、サイバー攻撃から病院を守れる魔法のソフトウェアや製品は残念ながら存在しません。職員の教育や、有事の際のプロセス、各種ITシステムや装置の導入と正しい使い方がそろって初めて安全な病院運営が実現されます。
一方で3省2GLの中にもある通り、医療現場にあるITシステムを正しくバックアップする事により、自然災害や巧妙化するサイバー攻撃からの復旧が期待できます。ここではITの最後の砦と言われるバックアップを、医療現場の観点からご紹介します。
3省2GLでバックアップに関する最低限対応が必要な項目
医療情報システムの安全管理に関するガイドライン 第 5.2 版には以下の様に、ランサムウェア等のようにデータ自体を利用不能にするようなものについてバック アップデータまで被害が拡大することのないよう、バックアップを保存する電磁的記録 媒体等の種類、バックアップの周期、世代管理の方法、バックアップデータを保存した媒体を端末及びサーバ装置やネットワークから切り離して保管すること等を考慮して 対策を講じることが強く求められています。ここでは最低限対応が必要な項目をピックアップします。
医療情報システムの安全管理に関するガイドライン 第 5.2 版 本編
|
6. 医療情報システムの基本的な安全管理 |
6.10 |
災害、サイバー攻撃等の非常時の対応 |
|
7. 電子保存の要求事項について |
7.2 |
見読性の確保について |
|
8. 診療録及び診療諸記録を外部に保存する際の基準 |
8.3 |
外部保存を受託する事業者の選定基準及び情報の取扱いに関する基準 |
- 医療情報システムの基本的な安全管理
6.10.災害、サイバー攻撃等の非常時の対応
（３）サイバー攻撃を受けた際の非常時の対応
B.考え方
（3） サイバー攻撃を受けた際の非常時の対応
標的型メール攻撃等により医療情報システムがコンピュータウイルス等に感染した 場合、以下の対応等を行う必要が生じる場合がある。
不正ソフトウェアが混入した場合、バックアップからの重要なファイルの復元
ランサムウェア等のようにデータ自体を利用不能にするようなものについてバック アップデータまで被害が拡大することのないよう、バックアップを保存する電磁的記録 媒体等の種類、バックアップの周期、世代管理の方法、バックアップデータを保存した媒体を端末及びサーバ装置やネットワークから切り離して保管すること等を考慮して 対策を講じることが強く求められる。例えば、日次でバックアップを行う場合、数世代 （少なくとも 3 世代）確保し、遅くとも 3 世代目以降はネットワーク的あるいは論理的に書き込み不可の状態にする等の対策が必要となる。
医療情報システムの安全管理に関するガイドライン 第 5.2 版
バックアップのみでは要件を満たしていない
ここでは、不正ソフトウェアが混入した場合に、バックアップから重要なファイルが復元できるためにバックアップについていくつかのポイントが記載されています。
- バックアップを取得している事
バックアップを取得していないのは自然災害やサイバー攻撃以前の問題で、ヒューマンエラーや機器故障などが起こった際に完全に無防備な状態です。厚労省の調査によると、電子カルテを使っているにもかかわらず、約４%の病院がそのバックアップを取っていない調査結果があります。サイバー攻撃を受けた際に手立てがありません。 - バックアップの世代管理をしている事
世代管理を管理をしていれば、直近のバックアップが汚染されていたり不正ソフトウェアの混入時期が不明な際に遡って復旧ができる可能性が高まります。厚労省の調査によると医療機関の約20%はバックアップの世代管理をしていない調査結果があります。サイバー攻撃を受けた際に復旧できる可能性は低く、全ITシステムの再構築が必要になるでしょう。病院の財政状況によっては立ち直れないかもしれません。 - 3世代以降はネットーワークか論理的に書き込み不可にする事
ネットワークなど物理的にバックアップデータを隔離する等する事で、不正ソフトウェアが到達できなくする方法です。昨今ではバックアップを論理的に書き替え不可にする（イミュータブル化）する事により、バックアップデータを暗号化しようとする不正ソフトウェアの動きを止める手法が多くとられいます。厚労省によると、医療機関の50%以上が「サイバー攻撃と自然災害を回避する方法で保管していない」との事です。これらがサイバー攻撃の被害者となりニュースで取り上げられる医療機関です。
Veeam Backup & Replicationを用いた場合
- まずはバックアップ
創業2006年、バックアップソフトウェア世界シェア#1で日本国内においても日本赤十字社病院様など大規模病院から小さなクリニック様にも愛されているVeeam Softwareでまずは基本中の基本であるバックアップを取得します。医療データを扱う上でそのバックアップを保管しない事は許された事ではありません。 - バックアップの世代管理
次にバックアップを世代管理します。医療現場では日々データの更新があるため、毎日更新分のバックアップを取得して管理します。
バックアップの書き換え不可化
ー ガイドラインには3世代目以降は・・とありますが、当社はVeeam Backup & Replicationを医療機関に提案する際は日々のバックアップも書き換えを不可にする構成をお勧めしています（機能/実装方法：強化Linuxレポジトリ＝Linuxで構成されたセキュリティレベルの高いバックアップ格納先）この実装によりバックアップデータの更新処理を不可と設定します。これによりコンピュータウイルス等による暗号化や削除からバックアップデータを保護します。
ー 3代目以降も自動的に論理的に書き換え不可にする設定を行います。また、サイバー攻撃のみならず災害対策への対応としても、3世代目以降のバックアップデータはセキュリティ性の高いクラウドストレージを推奨します（機能/実装方法：バックアップコピー＋オブジェクトロック）
- 電子保存の要求事項について
7.2. 見読性の確保について
D．推奨されるガイドライン
- バックアップサーバ
システムが停止した場合でも、バックアップサーバと汎用的なブラウザ等を用いて、日常診療に必要な最低限の診療録等を見読できるようにすること。
- 遠隔地のデータバックアップを使用した見読機能
大規模火災等の災害対策として、遠隔地に電子保存記録をバックアップするとともに、そのバックアップデータ等と汎用的なブラウザ等を用いて、日常診療に必要な最低限の診療録等を見読できるようにすること。
医療情報システムの安全管理に関するガイドライン 第 5.2 版
バックアップのみでは要件を満たしていない
ここでは、システム停止や災害時に備えてバックアップするだけでなく、有事の際に日常診療に必要な最低限の診療録等を見読できるようにするために以下のポイントがあります
1．バックアップサーバ
バックアップデータは汎用的なブラウザなどを用いて見れるようにする。つまり本番システム停止時に、バックアップからの大掛かりな復旧やバックアップシステムの運用を必用とせずブラウザなどで簡単に、迅速にバックアップデータを見れるシステム作りを推奨しています。
- 遠隔地のデータバックアップを私用した見読機能
バックアップデータは病院内や市内のデータセンター等のみでなく、遠隔地にも保管する事が推奨されています。
Veeam Softwareを用いた場合
「インスタントVMリカバリ」により、バックアップファイルを用いて、元の機器とは異なるハイパーバイザーに迅速に仮想マシンを起動することが可能となります。また、全国各地でVeeamのデータ保護ソリューションをサービスとして提供しているVeeam認定サービスプロバイダ様のデータセンターにバックアップの2次コピーを自動的に送信する実装が可能です。システム全体の復旧が難しくても、弊社のリカバリーツール（Veeam Explorers）を用いて重要ファイル等を迅速にアクセスしたり、サービスプロバイダが提供するWebUIなどからバックアップデータを参照する事ができます。
7.3. 保存性の確保について
- 考え方
以下のような原因に対する技術面及び運用面での対策が求められる。
- コンピュータウイルスや不適切なソフトウェア等による情報の破壊及び混同等
- 不適切な保管・取扱いによる情報の滅失、破壊
- 記録媒体、設備の劣化による情報の読み取り不能又は不完全な読み取り
C．最低限のガイドライン
- 不適切な保管・取扱いによる情報の滅失、破壊の防止
(2) システムが情報を保存する場所（内部、可搬媒体）を明示し、その場所ごとの保存可能容量（サイズ）、期間、リスク、レスポンス、バックアップ頻度、バックアップ方法等を明確にすること。
D．推奨されるガイドライン
- 不適切な保管・取扱いによる情報の滅失・破壊の防止
(3) 診療録等のデータのバックアップを定期的に取得するとともに、その内容に対する改ざん等が行われていないことを検査する機能を備えること。
バックアップのみでは要件を満たしていない
C. 最低限のガイドライン
バックアップを取得するのみだけでなく、システムがどこにあるか、どれくらいあるか、どう取得してるか、などを明確にする必要があります。バックアップ環境を可視化して管理しましょう、と言う意味です。
D. 推奨されるガイドライン
バックアップを定期的に取得し、さらに内容が改ざんされていない事を確認すること。つまり、改ざん防止機能が付いているバックアップソフトを使うだけではNG。改ざんされていない事が確認できるソフトウェアを選ぶ事が推奨されています。
Veeam Softwareを用いた場合
C. 最低限のガイドライン
バックアップインフラ統合管理ツール「Veeam ONE」により、バックアップストレージの空き容量、ゲストVM毎の保有バックアップ世代数、最も古いリストアポイント、最新のリストアポイント等を統合的に管理することが可能となります。
D. 推奨されるガイドライン
弊社特許技術による「Sure Backup」により、バックアップファイルを隔離された検証環境にリストアし、ウィルススキャンをかける等により当該ファイルが正常に利用できるかどうかを検証することが可能となります。
- 診療録及び診療諸記録を外部に保存する際の基準
8.3 外部保存を受託する事業者の選定基準及び情報の取扱いに関する基準
C．最低限のガイドライン
- 医療機関等が外部の事業者との契約に基づいて確保した安全な場所に保存する場合
(1) 保存した情報の取扱いに関して監督できるようにするため、外部保存を受託する事業者及びその管理者、電子保存作業従事者等に対する守秘に関連する事項やそ
の事項に違反した場合のペナルティを契約書等で定めること。
(2) 医療機関等と外部保存を受託する事業者を結ぶネットワーク回線に関しては 6.11章を遵守させること。
(3) 総務省・経済産業省の定めた「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を遵守することを契約等で明確に定め、少なくとも定期的に報告を受ける等で確認をすること。
(4) 外部保存を受託する事業者の選定に当たっては、事業者のセキュリティ対策状況を示す資料を確認すること。例えば、「医療情報を取り扱う情報システム・サービ
スの提供事業者における安全管理ガイドライン」における「サービス仕様適合開示書」の提供を求めて、確認することなどが挙げられる。
(5) 外部保存を受託する事業者に、契約書等で合意した保守作業に必要な情報以外の情報を閲覧させないこと。なお保守に関しては、6.8 章を遵守すること。
(6) 保存した情報（Cookie、匿名加工情報等、個人を特定しない情報を含む。本項において以下同じ。）を独断で分析、解析等を実施してはならないことを契約書等に明記するとともに、外部保存を受託する事業者に遵守させること。
(7) 保存した情報を、外部保存を受託する事業者が独自に提供しないように、契約書等で情報提供について定めること。外部保存を受託する事業者が提供に係るアクセ
ス権を設定する場合は、適切な権限を設定させ、情報漏えいや、誤った閲覧（異なる患者の情報を見せてしまう又は患者に見せてはいけない情報が見えてしまう等）
が起こらないようにさせること。
(8) 保存された情報を格納する機器等が、国内法の適用を受けることを確認すること。
(9) 外部保存を受託する事業者を選定する際は、(1)から(8)のほか、少なくとも次に掲げる事項について確認すること。
a 医療情報等の安全管理に係る基本方針・取扱規程等の整備状況
b 医療情報等の安全管理に係る実施体制の整備状況
c ランサムウェア等のサイバー攻撃による被害を防止するために必要なバックアップの取得及び管理の状況
d 実績等に基づく個人データ安全管理に関する信用度
e 財務諸表等に基づく経営の健全性
f プライバシーマーク認定又は ISMS 認証を取得していること
g 「政府情報システムにおけるクラウドサービスの利用に係る基本方針」の「セ キュリティクラウド認証等」に示す下記のいずれかの認証等により、適切な外 部保存に求められる技術及び運用管理能力の有無
h 医療情報を保存する機器が設置されている場所(地域、国)
i 受託事業者に対する国外法の適用可能性
バックアップのみでは要件を満たしていない
8.3 外部保存を受託する事業者の選定基準及び情報の取扱いに関する基準
C. 最低限のガイドライン
- 医療機関等が外部の事業者との契約に基づいて確保した安全な場所に保存する場合
（８）保存された情報を格納する機器等が、国内法の適用を受けることを確認すること
→ つまり、本番データやバックアップをクラウドサービス上に格納する場合はそのサービスが国内法の適用を受けているか確認する必要があります
（９）ｃ. ランサムウェア等のサイバー攻撃による被害を防止するために必要なバックアップの取得及び管理の状況
→ つまり、サービス事業者がバックアップのランサムウェア対策をしているか確認す必要があります。
Veeam Softwareを用いた場合
弊社は世界＃１のバックアップソフトウェア会社として、経営資源をより良くより安心なソフトウェアを世に提供し続けるべく、自社サービスは展開しておりません。一方で、弊社認定サービスプロバイダ様が弊社ソフトウェアをサービス化し、お客様に提供しています。日本国内には約100社のVeeam認定サービスプロバイダが弊社ソフトウェアをベースに皆様にデータ保護サービスをお届けしています。
