医療

医療用システム・機器の制約や限られた体制が課題

社会的責任の大きい前橋赤十字病院にとって医療を止めないことは重要な使命です。そのためにサイバーセキュリティの強化に取り組みました。特に重点を置いたのがランサムウェア、そして、システム・機器を提供するベンダーが遠隔からメンテナンスを行う際に利用するリモートメンテナンス回線への対策です。

しかし、課題に直面しました。まず課題となったのが医療用システム・機器の制約です。「医療用システム・機器は法律や保障の関係でセキュリティ対策ソフトをインストールすることができません。また、リモートメンテナンス回線にも課題があります。事前申請や端末情報の提供といったルールを設け、病院で用意した回線を利用するようベンダーに要請していますが、一部のシステム・機器は様々な事情で例外的な運用を認めるしかない状況です」と同病院の市根井 栄治氏は言います。

体制面の課題もありました。「人員は限られており、悪用されている脆弱性などの動向や各セキュリティ対策の機能を理解し、日々のセキュリティ監視、アラートへの対応、インシデント発生時のログ分析や原因特定、そして対処などをスムーズに行うのは非常に困難です」と市根井氏は言います。

AI によるセキュリティ業務の支援や自動化に期待

そこで、同病院が導入したのがシスコのCisco XDR（Extended Detection and Response）です。

Cisco XDRは、ネットワーク、エンドポイント、クラウド、メール、ID、アプリケーションなど、多様なデータを一元的に収集して可視化や相関分析を行い、異常なふるまいを検知するソリューションです。

「同じくふるまい検知を行うソリューションにEDR（Endpoint Detection and Response）がありますが、PC やサーバーにエージェントをインストールしなければならないことが多く、医療用システム・機器に適用するのはハードルが高い。一方、Cisco XDR はエンドポイントには手を加えず、通信やネットワークフローを通じてふるまい検知を行えます」と市根井氏は述べます。

体制面の課題に対してもCisco XDR が解決策になると考えました。人員もスキルもまだ十分とは言えませんが、同病院は、いずれ自分たちでSOC（Security Operation Center）を運用していくことを視野に入れています。仮に一部を外部委託する場合も具体的な指示を出すなど、主導権を持つ体制を見据えており、その際、Cisco XDR のセキュリティ運用支援や自動化が助けになると期待したのです。

具体的にCisco XDR は、AI がログ分析などの調査、検証、危険度のスコアリング、適切な対処方法の提示などを自動的に実行し、セキュリティ担当者を支援します。「インシデントは危険度に応じて1 ～1000 の間でスコアリングされます。膨大なアラートにむやみに振り回されることなく、緊急性の高いインシデントの対応に集中できます」（市根井氏）。

オートメーションというプレイブック機能を活用して、エンドポイントの隔離、IP ブロック、アカウント無効化などの処理を自動化することも可能です。「サードパーティー製品とも連携できる点も評価しました。シスコ製品だけにしばられず幅広い選択肢を持つことができ、既存資産の活用にもつながります」と市根井氏は言います。

インシデントを検知したらバックアップデータを自動生成

現在、CiscoXDRは、約150台のネットワークスイッチからNetFlow を取得し、インシデントの可視化や相関分析などを行っています。「万が一、リモートメンテナンス回線を悪用された場合も、その後のふるまいから早期に侵入を検知できれば、被害を最小限に抑えるための行動を選択できます」（市根井氏）。

オートメーションによる自動処理も積極的に活用しています。例えば、Cisco XDR がインシデントを検知すると、Cohesity DataProtect が即座にバックアップデータを生成するよう設定しています。「インシデント発生時、自動的にバックアップが取られていれば、担当者はすぐに影響範囲の把握や原因特定に取りかかることができます。しかも、バックアップデータの存在が保険となり、落ち着いて対処にのぞめるはず。CiscoXDRとCohesity DataProtect の自動処理は、スピードだけでなく担当者の心理面にも有効だと考えています」（市根井氏）。

「医療を止めないためにセキュリティ強化が欠かせないことは間違いありませんが、病院の本分が医療の提供であるということも事実です。セキュリティの強化だけに多くの人員を割くわけにもいきません。セキュリティ担当者の負担を大きく高めることなく、高度なセキュリティを実現できたことは大きな成果。これでランサムウェアの被害に遭うのなら、他の製品でも回避は難しいだろう。幹部も含めて、そう評価しています」と同病院の中野 実氏は強調します。

今後も、同病院はCisco XDR を中心に据えたセキュリティ運用を行いながら、止まらない医療を目指します。