2023/9/4

yamoryは2023年5月から8月にかけて、一般社団法人ソフトウェア協会（以下、SAJ）と協力し、大阪急性期・総合医療センター様における脆弱性管理PoCを実施し、脆弱性管理体制の構築支援を行いました。

その取り組みを通じて得られた、医療機関特有の環境（ネットワーク機器や閉域網など）における導入〜運用のノウハウを汎用化し、医療機関のセキュリティ対策強化を支援できるよう、この度「医療機関向け導入支援コンサルティングサービス」を正式に提供開始します。

現在の医療機関においてセキュリティ対策は急務です。yamoryでは今後、導入支援コンサルティングサービスの提供をはじめ、医療機器のSBOM対応など、サプライチェーン全体のサイバーセキュリティ対策支援を強化してまいります。

大阪急性期・総合医療センターでは、2022年10月末にランサムウェア攻撃により電子カルテなどが暗号化され、外来診療や各種検査の停止など大きな影響を及ぼしました。「医療機関は閉域網だからセキュリティは問題ない」といった誤った認識により、セキュリティに関する意識が薄れていたことがサイバー攻撃被害の要因の1つとして報告されており、全国の医療機関において閉域網のセキュリティ対策は喫緊の課題となっています。

大阪急性期・総合医療センターでは、より一層のセキュリティ対策強化のため、SAJがセキュリティ対策の調査・アドバイザリー業務を行っています。その一環として、2023年5月から8月にかけて、yamoryを活用した脆弱性管理PoCを実施しました。

同センターでは、Windows・Linuxサーバーや、医療機関特有の閉域網やネットワーク機器等、多岐にわたるITシステムコンポーネントを利用しています。yamoryを活用することで、閉域網・ネットワーク機器を含めたITシステム全体の脆弱性の検知・一元管理が可能であることが確認できました。

さらに、今後のセキュリティ対策強化策として、脆弱性が発見された際の対処方法や報告手順をまとめた手順書を策定し、脆弱性管理体制の構築支援を行いました。

SAJ：ソフトウェア製品に係わる企業が集まり、ソフトウェア産業の発展に係わる事業を通じて、我が国の産業の健全な発展と国民生活の向上に寄与することを目的としている一般社団法人。サイバーセキュリティ対策にも力を入れており、ランサムウェアなどのサイバー攻撃に困窮する病院や自治体などの公益団体に対する技術的支援や、運用面の制度確立のための支援を行うためのサイバーセキュリティボランティア制度を運用しているほか、医療機関のセキュリティ対策アドバイザー業務等を実施している。

昨年のインシデントを経て、当センターではサイバー攻撃への対策を強化すべく様々な取り組みを進めています。今回脆弱性調査を行った結果、閉域網内のサーバー群やネットワーク機器等のセキュリティ対策において、yamoryが有用であるということがわかりました。

今後、ベンダーからサーバやネットワーク機器等が納品される際には、検収時のチェックツールとして活用するほか、システム利用期間中の脆弱性管理ツールとしての活用も検討していきたいと考えています。

昨今、医療機関へのサイバー攻撃が増加しており、社会インフラとしての医療提供体制を守るため、セキュリティ対策は急務です。こうしたサイバー攻撃に備えるため、厚生労働省が5月31日に「医療情報システムの安全管理に関するガイドライン 第6.0版」を、6月9日には「医療機関におけるサイバーセキュリティ対策チェックリスト」を公表するなど、国としても対策に力を入れています。

そこでyamoryでは、医療機関のセキュリティ対策強化を支援するため、「医療機関向け導入支援コンサルティングサービス」の提供を開始いたします。医療機関では、専門人材の不足により、脆弱性管理がまだまだ進んでいない状況にあります。本サービスは、ホストスキャン、ネットワーク機器の登録といった導入手順から、脆弱性管理体制、運用ルールの構築について、専門チームが併走しながら支援を行うものです。

また、医療機関のみならず、医療機関で使用される医療機器も含めたサプライチェーン全体で連携して対策を行う必要があります。3月31日には、IMDRFガイダンスの技術基準などを明確化した、医療機器メーカー向けの「医療機器のサイバーセキュリティ導入に関する手引書」が発表され、これらを踏まえた内容が2023年4月から薬機法の医療機器基本要件基準に取り込まれることになりました。この中で、SBOM（製品部品表）の対応が求められており、医療機関では納品された医療機器のSBOMを受け取り、脆弱性の管理・運用を行う必要があります。

yamoryでは、医療機関特有の閉域網やネットワーク機器を含めた脆弱性管理はもちろん、IMDRF等のガイドラインに準じたSBOM管理が可能です。今後の取り組みとして、SBOM管理等の支援も行っていく予定です。

社会インフラとして欠かせない医療機関のセキュリティ対策強化のため、yamoryは脆弱性管理・セキュリティ対策支援を強化してまいります。

サイバーセキュリティ対策強化を検討中の医療機関ご担当者様は、ぜひお気軽にお問い合わせください。