Synnovis事案から考える、医療サプライチェーンのサイバーセキュリティ
医療関連のサイバーインシデントでは、攻撃を受けた組織だけでなく、委託先、保守会社、検査サービス、医療機関など、つながっている複数の組織へ影響が広がることがあります。
英国NHS Englandが公表したSynnovis事案は、その構造を考える材料になります。Synnovisは病理検査サービスを提供しており、2024年6月3日のランサムウェア攻撃によって検査処理能力が大きく低下し、南東ロンドンで11,000件を超える外来・予定処置に遅延が生じました。サービスは同年12月までに復旧しましたが、盗まれたデータの範囲を特定する調査には長い時間を要しました。
この事案から確認したいこと
1. 委託先の停止は、自社業務の停止になり得る
検査、予約、クラウド、保守、物流などを外部サービスに委託している場合、委託先の停止が診療や製造、品質業務に影響します。契約先の一覧だけでなく、停止時に代替できるか、どの業務が何時間・何日止まるかを整理しておく必要があります。
2. 復旧と影響範囲の特定は別の仕事である
システムを復旧できても、どのデータが持ち出されたか、どの顧客・患者・業務に関係するかをすぐに確定できるとは限りません。ログ、データ構造、委託先との記録の持ち方が、後の調査期間に影響します。
3. インシデント対応は技術部門だけで完結しない
医療では、診療、検査、薬事、品質保証、個人情報、広報、委託先管理などの判断が関係します。誰が業務継続を判断し、誰が外部連絡と記録を担うのかを、平時に決めておくことが重要です。
医療機関・医療関連事業者の確認項目
- 重要な委託先と、委託先がさらに利用するサービスを把握している
- 委託先が停止した場合の代替手段と手作業を決めている
- 障害・インシデント発生時の連絡先と報告期限を契約に含めている
- 復旧だけでなく、データ漏えい範囲を調査する記録を取得できる
- 委託先を含む復旧訓練・机上演習を実施している
AIGISの見解
医療のサイバーセキュリティでは、個別システムの脆弱性対策だけでなく、業務のつながりを把握し、停止時の代替、復旧、調査、説明までを一つの流れとして準備する必要があります。委託先を信頼することと、委託先を含めて確認可能な状態にすることは別です。
公表情報
本記事は、NHS Englandが公表した情報をもとに、医療サプライチェーンの継続性という観点から整理したものです。個別組織の原因や責任を断定するものではありません。