米国バーモント州兵陸軍が大学病院のインシデント対応を支援

第120号　2020.11.25公開

UVMHNなど、州内の重要インフラを構成する保健医療施設は、CCRTのミッションパートナーとして、州兵陸軍によるサイバー支援の対象に含まれています。スコット知事は、同年10月31日、「州知事令第05-20号[病院システム復旧のための緊急州兵召集]」に署名していました。

バーモント大学医療センターなど、UVMHN傘下の医療施設では、2020年10月28日から29日にかけて、患者ポータルサイト「MyChart」や患者予約システムなどにアクセス障害が発生したことを公表していました。UVMHNは、障害が発生した医療施設では、手作業と紙によるオペレーションに切り替えて緊急対応しました。その後、UVMHNのIT部門は、CCRTの支援を受けながら、ITシステムの復旧に向けた作業を行っています。

CCRTは、バーモント州兵陸軍の第2分遣隊、第136サイバーセキュリティ中隊、統合戦力司令部などの兵士により構成されており、最近では、2020年9月12～17日に実施された州兵陸軍の「サイバーシールド2020」演習に参加した実績があります。このような訓練や経験を通じて、広範囲な技術的セキュリティのタスクにおける効果的・効率的なサイバー対応機能を育成しているとしています。

なお、UVMHNのインシデント発覚当日の10月28日、国土安全保障省（DHS）傘下のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と、連邦捜査局（FBI）、保健福祉省（HHS）は共同で「警告(AA20-302A)：医療・公衆衛生を標的にしたランサムウェア活動」と題する文書を発出し、新型コロナウイルス感染症（COVID-19）緊急対応下の医療機関などに対し、注意喚起を行っていました。

当該記事が関係機関に及ぼすと考えられる影響

医療機関

・日本でも、災害拠点病院を中心に、事業継続計画（BCP）を策定している医療機関は多いが、自然災害や感染症などの場合、院内に緊急対応できる専門家がいるのに対し、サイバーインシデントの場合、経験／知識のある専門家や現場スタッフが院内にいないまま、緊急対応せざるを得ないケースが多く想定される。サイバーセキュリティに係るBCPの策定・運用に関わる医療機関は、様々な外部リソースの有効活用を前提とした連携組織体制や情報共有・分析・コミュニケーション機能を構築していく必要がある。
 

医療機器メーカー／医療品メーカー

・医療品メーカー／医療機器メーカーが、医療機関とネットワーク接続して情報システムを利用している場合、両者間のサプライチェーンに関わるシステムに障害が発生すると、製品・サービスの供給が継続できなくなる可能性がある。自然災害発生や感染症拡大など、リアル／物理的な緊急対応と重なった事態を想定して、強靭性（Resiliency）と持続可能性（Sustainability）のあるBCPに向けた見直し・改善を行う必要がある。

サプライヤー

・医療機関の情報システムに関わるサプライヤー／ベンダーは、サイバーサプライチェーン・リスクマネジメントの観点から、サイバーインシデントが発覚した場合の自社に及ぶインパクトを評価し、責任分界点やリスク軽減策について検討すると同時に、外部第三者機関との協力・連携を前提としたインシデント対応体制を構築しておく必要がある。

関連記事 [外部サイト]

• State of Vermont「Vermont Army National Guard Cyber Response Team to Support UVM Health Network in Response to Ongoing Information Technology System Disruption」（2020年11月4日）
  
• State of Vermont「EXECUTIVE ORDER NO. 05-20 [Emergency Guard Call-Out for Hospital Systems Restoration]」（2020年10月31日）[PDF, 135KB]
  
• UVM Medical Center on Twitter「ALERT: We are experiencing a site outage affecting access to the MyChart Patient Portal. We apologize for any inconvenience and will let you know when access is restored.」（2020年10月29日）
  
• U.S.Army「Cyber Shield 2020 features fully virtual training exercise」（2020年9月24日）
  
• Cybersecurity and Infrastructure Security Agency (CISA)「Alert(AA20-302A): Ransomware Activity Targeting the Healthcare and Public Health Sector」（2020年10月28日）
  

ライフサイエンス・ヘルスケアに関する海外サイバーセキュリティニュース

デロイト トーマツ グループのサイバーセキュリティチームでは、ライフサイエンス・ヘルスケア業界に向け、海外の規制情報やそれに伴う関係業界への影響について情報提供しています。（不定期刊行）

＞＞過去記事のアーカイブから他の記事を見る

サイバーリスクサービスのお問い合わせ

サービス内容、並びに、取材・広報・講演依頼に関するお問い合わせは、下記フォームにて受付いたします。お気軽にお問い合わせください。 

>> オンラインフォームよりお問い合わせを行う <<