原田 義昭氏 「日本の医療の未来を考える会」最高顧問（元環境大臣、弁護士）当勉強会も今回で99回を数え、来月にはいよいよ100回の節目を迎えます。「何でも学べる会」との尾尻代表のご発案を受け、以来月1回、皆様と研鑽を重ねてきました。常に共に学びながら、良い国を作る為に努めてきたと思います。単に回数を重ねるのみならず、活動に見合う成果も残していきたいと存じます。今後もご指導下さい。

鈴木 馨祐氏 「日本の医療の未来を考える会」国会議員団メンバー（衆議院議員、自由民主党副幹事長）現在、衆議院内閣委員会の筆頭理事を務めており、サイバーセキュリティの議論も行っています。病院には機微情報が多く、サイバー攻撃で情報が漏洩してしまうと社会への影響が大きい。実際、病院に対しては、数多くの攻撃が試みられています。これらの攻撃を如何に防ぐか、万が一、被害に遭った時にどう対応するのかというのは、喫緊の課題です。

尾尻 佳津典 「日本の医療の未来を考える会」代表（『集中』発行人）20数年前、病院へのサイバー攻撃の実態を米国で取材しました。当時は攻撃を受けると金銭で解決するのが主流で、被害額は恐らく年間2000億〜5000億円に上るだろうとの事でした。今は10倍以上になっているでしょう。病院には医療情報から決済カード情報まで数多くの情報が有り、国家レベルで対策を講じなければならない時期に来ていると思います。

講演議事録

■巧妙化し対策が難しいサイバー攻撃

最近の我が国に対するサイバー攻撃は、被害の規模も内容も年々深刻さを増しています。多いのは情報の窃取やシステムダウン等で、それらを脅迫の材料に用いた資金要求も行われています。公表されていない事案を含めると、その被害は私達が認識している以上に拡大していると考えざるを得ません。

国立研究開発法人情報通信研究機構（NICT）の観測によると、サイバー攻撃の試みと見られる数は約13秒に１回という頻度になっています。攻撃の内容も、2000年代はサーバーを攻撃して、ネットバンキング等のサービスを停止させたり、情報を漏洩させたりするものが中心でした。しかし10年代に入ると、システムの脆弱性を突いて内部に侵入、情報を暗号化する等といった手法へとエスカレートし、暗号化した情報を悪用する「身代金要求」は、サイバー犯罪ビジネスの常套手段にもなっています。更に最近は、後述する「ゼロデイ攻撃」や「システム内寄生戦術」といった高度な攻撃も確認されています。国内では、政府機関や医療、港湾、金融等の分野が標的となり、病院の診療や港のコンテナの搬入搬出が出来なくなるといった事態も起きました。飲料メーカーや通販企業のシステム障害では、取引先を含めてサプライチェーン全体に影響が及びました。

特に、データを暗号化して身代金を要求するランサムウェア攻撃は、国民生活に多大な影響を及ぼします。医療分野では、病床数100を超える中規模・大規模な病院に対して、複数の攻撃事例が確認されています。これらの病院は地域医療を支えており、命に関わる病状の患者も少なくありません。当該事例では、何れも保守系のVPNや委託業者とのシステム接続点から侵入されており、システムの全面復旧まで１カ月から２カ月を要した事例もあります。

規模の大きな病院では、多くの部門が存在し、システムが別々に稼働している事等により、外部ネットワークとの接続点を網羅的に把握出来ていない点が課題です。その為、ネットワーク機器の脆弱性等を管理し切れず、監視機器等の効果的な導入も困難な状態です。又、推測し易いパスワードの使用やパスワードの使い回しも見られ、ネットワークに侵入された後、容易にセキュリティを突破された例も有りました。

これを受け、厚生労働省では医療機関のサイバーセキュリティ対策状況の実態調査を行っており、外部との接続点が多数有る病院に対しては、接続点の集約や適正化を支援する事も検討しています。

■国家を背景とするサイバーテロと攻撃の手口

世界では、国家の関与が疑われる高度なサイバー攻撃が増加しています。特にロシアによるウクライナ侵攻後、衛星通信網サービスや高圧変電所に対するサイバー攻撃で、通信網の遮断や停電等が起きています。代表的な例としては、北朝鮮を背景とする「トレイダートレイター」と呼ばれるサイバー犯罪集団が知られています。同グループは、暗号資産取引所やブロックチェーン関連企業を狙う事で知られており、日本ではDMM Bitcoinから当時約482億円相当を窃取したとして、FBIと警察庁が当該集団の関与を共同で特定しています。又、国家支援型の攻撃者集団については、「ソルトタイフーン」や「ボルトタイフーン」といった攻撃グループも複数知られており、米国や英国、豪州等で重要な社会インフラ等のシステムへの侵入が確認されています。こういった様々な脅威を踏まえ、日本は、米国や英国、EU、インド、東南アジア諸国連合（ASEAN）、豪州、NATO等とサイバー分析や対処の能力向上に向けた協力も進めています。

企業や病院等がこの様なサイバー攻撃の被害を防ぐには、基本的な対策を徹底する必要が有ります。例えば、「パスワードは長く複雑にし、使い回さない」「多要素認証やパスキーを設定する」といった対策でもリスクを減らせます。多要素認証とは、パスワードに加えてスマートフォンアプリでの認証を用いる等、知識情報、所持情報、生体情報等の複数要素を組み合わせる方式で、その中でもパスキーは、一度の動作で生体情報と所持情報を満たす為、パスワードの入力自体を不要にする仕組みです。「今時、当たり前ではないか」と思われるかも知れませんが、不正アクセスの検挙件数の約９割は、単純なパスワードやパスワード管理の甘さに付け込んだ犯行です。闇サイトで取引されているアカウントでも「123456」や「password」といった単純なパスワードが多いと言われています。

政府機関で言えば、国家サイバー統括室の前身、内閣サイバーセキュリティセンター（NISC）でも、23年にメール関連システムに対するゼロデイ攻撃によってメールデータの一部が漏洩する事件が起きました。

所謂ゼロデイ攻撃とは、ベンダー等の修正プログラムが未公表で、対策が講じられていない段階で脆弱性を突く攻撃です。脆弱性の発見から対策公開迄の日数が０日であるという意味で「ゼロデイ」と呼ばれます。この為、NISCでは機器を入れ替えた上で、システム内部の通信も監視する等の対策を強化し、その後は、新たな不正通信の試みも遮断する事が出来ました。これらの対策は内部のネットワークを含めて、全てのアクセスを疑い監視するという意味で「ゼロトラスト」と呼ばれています。次に、「システム内寄生戦術」も巧妙な手法です。攻撃対象のパソコンやサーバーに標準で搭載されている正規のツールや機能を悪用し、機密情報の収集、パソコンの遠隔操作、権限の変更等を行う攻撃手法です。一見、通常のシステム操作と区別が付かない為、セキュリティ製品による検知も非常に難しい手口です。これに対しては、既にシステムが侵害されているとの想定に基づいた「脅威ハンティング」という手法が対策として有効です。我々NCOも現在、脅威ハンティングに関する基本方針の取り纏めを進めています。

■官民連携で迅速に情報を共有

欧米諸国では、主な対策は「官民の連携」「外国からの通信情報の利用」「アクセスの無害化」の３点に集約されます。法整備も進んでおり、官民連携では政府からの情報提供やインフラ事業者からの報告を義務付けています。外国からの通信情報については、米国の「外国情報監視法」や豪州の「通信情報傍受およびアクセス法」等の法に基づき専門の独立機関が設けられ、安全保障等の目的の為に通信情報を利用しています。

又、攻撃者の海外サーバーを無害化するという措置も各国で行っています。以上の欧米諸国の取り組みを参考に、有識者会議での議論を経て、昨年国会で成立したのが「サイバー対処能力強化法」です。本格的な施行は今年10月を予定しています。

法律では、能動的なサイバー防御を実施する体制を整備する為、官民の連携強化を進め、通信情報の利用、攻撃サーバーの無害化を行う事としています。

特に重要な官民連携には、大きく分けて３つの方針が有ります。それは、「基幹インフラ事業者によるインシデント報告等」と「情報共有・対策の為の協議会の設置」「脆弱性対応の強化」です。

電気、ガス、水道や鉄道、空港、放送、金融等の基幹インフラ15業種の事業者は、特定重要電子計算機を導入した時に製品名等を政府に届け出ると共に、当該計算機に対するサイバー攻撃を確認した時は政府に報告しなければなりません。又、基幹インフラ事業者には医療分野も追加される予定です。

サイバー攻撃は非常に短時間に様々な業界に対して行われますので、情報の収集と提供が欠かせません。こうした情報共有を行う組織として内閣総理大臣が設置するのが、「情報共有・対策の為の協議会」です。協議会の構成員には、基幹インフラ事業者やベンダー等が含まれます。協議会の構成員には守秘義務が有り、秘密を担保した上で情報共有を行う事が出来ます。これによって被害を受けた企業等も情報提供し易くなると考えています。

脆弱性対応の強化では、政府が重要電子計算機に用いられるソフトウェア等の脆弱性を認知した際に、ベンダー等に対し情報提供や対応方法を公表・周知、更に、対応策の開発等を要請します。この枠組みを成功させるには、官民の信頼関係の構築が重要です。最も重要なのは政府側の意識改革と率先垂範です。サイバーセキュリティの最前線にいる民間事業者からは、彼らだけでは入手出来ない付加価値の高い情報を、政府が迅速に提供する事への期待が寄せられています。政府はこれを踏まえ、セキュリティクリアランス制度を含めた内部の体制整備を進めます。

又、基幹インフラに指定される事業者は現在15業種257事業者となっています。経済安全保障推進法の改正を受け、今後、医療分野の事業者が追加されます。「重要インフラ行動計画」に基づく枠組みの対象事業者には届け出や報告の義務は有りませんが、法律に基づいた最低限のサイバー攻撃対策が求められます。その他の事業者については、各省庁がNCOと協力して情報収集を行い、必要に応じて対策を支援していきます。

サイバーセキュリティに対する政府全体の体制ですが、昨年７月、内閣官房に国家サイバー統括室が発足しました。内閣サイバー官をトップに、局長級の統括官が３人、審議官が５人という体制で、職員数も現在230人を超える規模になっています。国のサイバーセキュリティ戦略本部の本部長は内閣総理大臣が務め、全閣僚が本部員となっています。

■医療機関が講じるべき基本対策

最近、重要な課題となっているのは、高性能AIへの対応です。高度な脆弱性発見能力を持つアンソロピック社のミュトスが開発・公表された事で、脆弱性対応の高度化が期待される一方で、悪用も懸念されています。只、同様の能力を持つAIは、オープンAIの「GPT-5.5-Cyber」を始め様々なものが有ります。現在、アンソロピック社が「Project Glasswing」を通じて重要インフラ等に、オープンAI社が「Trusted Access for Cyber」という枠組みを通じて、利用者を制限する等の慎重な対応を取っています。

政府の対応ですが、高市早苗内閣総理大臣の指示を受け、5月18日に対策パッケージ「Project YATA-Shield」を纏めました。「YATA」とは「脅威の可視化」を英語で表記した時の頭文字で、物事を正確に写す「八咫鏡（やたのかがみ）」にも掛けています。

高性能AIが登場したからといって、民間事業者が直ちに特別な対応を取る必要は有りません。先に述べたパスワード管理や多要素認証の導入等、基本的な対策をこれ迄以上に徹底する事が大切です。又、逆に高性能AIを活用して、サイバー対策を進める事も重要です。ソフトウェア企業に対しては高性能AIを活用しながら脆弱性を早期発見し、対応を進める様に促しています。政府は重要インフラ事業者や政府機関への注意喚起を行うと共に、各業界団体や金融機関との意見交換や短期的な対応の要請等を行いました。

又、6月12日に、「政府機関等の対策基準策定のためのガイドライン」を改定しました。国の行政機関が、最低限維持しなければならない情報セキュリティの水準を示したもので、新たに高性能AIの悪用によるサイバー攻撃の高度化、自動化に備えたシステムの運用設計の見直しや、脆弱性対策を求めました。更に、事態が悪化した場合の情報システムの運用の一時停止の検討も盛り込みました。一時停止は従来には無い踏み込んだ内容と言えますが、米国も同様の対応措置を既に定めています。更に、NCOや外務省が同盟国や同志国等に日本の取り組み状況を説明する、国家間で意見交換する等、諸外国とも連携した対応を進めています。日本のサイバー対処能力を強化し、日本が得た情報や知見を国際的にも共有していく事で、世界全体のサイバーレジリエンス向上に貢献していけると確信しています。

医療機関に対しては、5月27日に厚生労働省が注意喚起を行いました。その中で、最も重要なのは「経営層の関与」「インシデント対応と教育訓練」「リスク管理・脆弱性対応」「サプライチェーン対策とBCPの確保」の４点です。医療機関にお願いしたいのは、未知の脆弱性を自ら発見するという事ではありません。厚生労働省が公開している「医療情報システムの安全管理に関するガイドライン」に記載されている対策を確実に実施出来る体制を確保する事です。

サイバーセキュリティを巡る状況を把握し、自院の体制を見直した上で、組織全体で実効性の有る対策を進めていく。そして、現場任せではなく経営層が主体的に関与していく事が欠かせません。医療機関の現状や課題認識を私達にも聞かせて頂き、政策の検討に生かしていきたいと考えています。

質疑応答

尾尻　官民連携を進めるに当たって、政府はどの様な課題が有ると考えているのでしょうか。

川内　サイバーセキュリティを進めるに当たって、難しいのは情報共有です。どの様な被害が有り、どの様な対策を取る必要が有るのかといった情報をスピーディーに共有しなければ、被害の拡大を防げません。被害に遭った企業が、対処を進める中で情報を出していくのは難しい判断が有ります。そうした中、せっかく企業が政府に情報を提供しても、これ迄は民間側への見返りが無かった。こうした反省に立って、官民連携の協議会を設けて、積極的に情報提供出来る様にしていく事になりました。

小﨑慶介　（福）心身障害児総合医療療育センター 所長　今後、基幹インフラ業界の中に医療も追加されるとの事ですが、福祉業界が加わらなかった事には何か理由が有るのでしょうか。又、医療や福祉業界は財政的に厳しい状況が続いています。その上、サイバーセキュリティ対策を求められると、医療・福祉サービスに充てる人員や予算が圧迫される恐れも有ります。是非、政府で費用負担についても議論して頂きたいと思います。

川内　福祉業界が何故、基幹インフラ業界に含まれなかったかについては、厚生労働省と法案の取り纏めに当たった内閣府の議論を詳細に聞いていませんので、私の立場ではお答えするのが難しいという事を理解頂ければと思います。只、官民連携の協議会は、様々な枠組みを設け、基幹インフラ業界以外の分野からも参加出来る様、現在制度設計を進めています。そこには、福祉業界も含まれ得る事になると思います。

織本健司　（医）健齢会ふれあい東戸塚ホスピタル 病院長　人工衛星等を使ったサイバー攻撃も国際的な課題となっていますが、サイバー対処能力強化法の中では、どの様な対策が講じられるのでしょうか。

川内　宇宙分野でのサイバーセキュリティ対策は重要だと考えています。例えば人工衛星が攻撃を受けた場合のインフラへの影響を把握する等、対応の検討等も進められています。一方で、宇宙開発では海外の企業が重要なシステムを担っている事が多く、宇宙分野については、慎重な検討が必要だと思います。

高橋泰　国際医療福祉大学大学院医療福祉経営専攻 教授　医療機関へのサイバー攻撃が増えていますが、セキュリティに詳しい人材が乏しく、どう対応すれば良いのか分からない病院が多いというのが実状です。私自身、講義等を通じて現場に接する事が有りますが、実際に被害に遭った病院は、極めて対応が杜撰でした。基幹インフラ業種に医療も加えるとの事ですが、他の業種に比べて、総じてセキュリティに対する意識や対応のレベルが低い。こうした実情を踏まえ、医療分野の対策を進めていく必要が有ると思います。

川内　実際に中小企業からも、情報担当者を確保出来ないといった声をよく聞きます。只、具体的な課題の内容迄は、詳細に把握出来ていないのが実状です。今後は、医療機関を含め、中堅・中小企業の声やご意見も広く拝聴したいと思います。

松下正　日本赤十字社血液事業本部 血液事業経営会議委員　サイバー対処能力強化法の施行に合わせて、警察官職務執行法も改正され、警察官が攻撃者のサーバーに直接アクセスして無害化措置を行う事が可能になりますが、今後は全てのサイバー攻撃事案への対応に警察が関与する事になるのでしょうか。又、米国がミュトスの輸出を禁止し、米国籍以外のユーザーからのアクセスを全面禁止しましたが、これによって日本のサイバーセキュリティ対策も見直されるのでしょうか。

川内　警察が無害化を行うのは、重大な危害が発生する恐れが有る等、緊急の必要が有る場合を想定しており、全ての事案に警察が関与する事にはならないと思います。ミュトスの輸出禁止ですが、現在、各国が米国と交渉や協議を行っている最中であり、今後の推移を見守っていく必要が有ると思います。