- 導入事例
医療を支える「絶対にやられてはいけないシステム」をAppGuard Serverで死守
EDRとの棲み分けで
診療業務継続
に取り組む津山中央病院
医療業
津山中央病院 様
規模：病床約500床
医療機関がランサムウェアに感染し、長期間にわたって診療業務を停止せざるを得ないケースが複数報道されています。この事態を踏まえ津山中央病院では、万一に備えた手順の整備やクライアントPC対策の強化とともに、院内の中でも「絶対にやられてはいけないシステム」を守る手段を検討し、「AppGuard Server」を導入しました。大きな安心感が得られ、万一被害に遭うことを考えれば安い投資だと評価しています。
- 深刻なランサムウェア被害を目の当たりにして高まった危惧
-
500以上の病床数を備える津山中央病院は地域の中核病院として、津山市はもちろん、岡山県北部の高度な医療を支えてきました。
最近はしばしば「医療のデジタル化」が話題になりますが、津山中央病院は、1990年代後半という他の病院はもちろん社会全体で見ても早い時期から院内とインターネットを接続し、IT技術を活用してきました。いわゆる「クローズドなネットワーク」ではなく、ネットワーク境界での防御と、アンチウイルスソフトによる各端末での保護を組み合わせ、大規模なセキュリティ事故を起こすことなく運用してきました。
しかし「この数年、病院がランサムウェア攻撃に遭うケースが頻繁に報道されています。我々以上に大規模な病院でも被害を受けているのを目の当たりにし、インターネット系と電子カルテなどの情報系を分けていない我々の場合、万一侵害されたら甚大な影響を受けてしまうだろうという危惧が高まっていました」（津山中央病院 法人本部 システムグループ、村上公一氏）
しかも「パターンマッチングに基づくウイルス対策ソフトでは、ランサムウェアをはじめとする最近のウイルスは防げません」（村上氏）。こうした危惧に加え、厚生労働省がサイバーセキュリティ対策に関する新たなガイドラインを示したこともあり、津山中央病院はいくつかの対策に取り組み始めました。
まず、万一ランサムウェアに感染した場合でも診療業務を継続できるよう、以前から取得してきたデータのバックアップをより徹底するとともに、紙ベースで病院の運用を継続するためのマニュアルを整備しました。また各端末の保護も、いわゆるパターンファイル型のアンチウイルスソフトからAI技術も搭載したEDR製品に入れ替え、SOCサービスを活用して監視する体制を整えました。
- 絶対にやられてはいけないシステムの保護にAppGuard Serverを選択
-
しかし、それでも一抹の不安は拭えませんでした。
「EDRの検知に引っかかる時点で、すでに悪意あるソフトウェアが院内で活動していることになります。もし電子カルテの情報が攻撃され、暗号化されて使えなくなってしまっては、どうしようもありません」（村上氏）。長期間に渡って診療業務を止めることになれば、想像もつかない損害が生じる懸念がありました。
津山中央病院では、電子カルテにはじまり、各医局・検査システムなど約200台のサーバーが仮想基盤上で動作していいます。「中でも、病院の中でどうしても守らなければいけないものがあります。電子カルテ、オーダリングシステム（医事会計）、そしてPCを動かすためのドメインサーバーです。これらが使えなくなれば何もできなくなるため、絶対にやられてはいけないと考えました」（村上氏）
その対策として選択したのが「AppGuard Server」でした。
始まりは、2022年にベンダー側からの提案で、放射線システムの一台に「AppGuard Solo」が導入されたことでした。
かつては、安定稼働やメンテナンスを重視するあまり、医療機器ベンダー側が「勝手にパッチを適用したり、セキュリティソフトウェアは導入しないでほしい」と強く主張する時代がありました。しかしランサムウェアが猛威を振るうにつれてそうした空気は一変し、ベンダー側もセキュリティ対策に積極的になっています。あるベンダーがその手段としてAppGuardを提案し、一緒に納品してきたのです。
「詳しく聞いてみると、AppGuardは他のセキュリティソフトとはコンセプトが全く異なっており、そもそもマルウェアを活動させないところが大きなポイントだなと感じました」（村上氏）
そこで3つの中核システムの保護に「AppGuardが使えるのではないか」と検討を開始しました。国内の有力民間病院が集まって運営されているVHJ研究会の共同購入WG事務局を務めるアスメディックスからもAppGuardに好意的な意見が得られたこと、全日本空輸（ANA）など国内の大手企業で導入されていることも背中を押し、採用決定に至りました。
- クライアントはEDR、
死守すべきサーバーはAppGuardと適材適所で活用 -
こうして津山中央病院では、クライアントPCはEDRでモニタリングしつつ、電子カルテをはじめとする中核システムが動くサーバー群にAppGuard Serverを導入しました。
導入に当たって細かい設定が必要になるのではないかという懸念は杞憂に終わりました。「ベンダー側の設定もあり、こちらは本当に何もせずに導入できたため、『あれ、これで大丈夫なの？』と拍子抜けするぐらいでした」（同、谷田涼介氏）。パートナーの支援を得ることで、ログを提出する以外に目立つ作業を行う必要もなく、三ヶ月程度という短期間で導入作業は完了しました。
「ウイルス感染などのリスクを下げるには、不必要なソフトウェアを導入せず適切に管理することが重要です。ですので当院では、サーバーにあれもこれもと入れることなく、クリーンな環境を保つようにしてきました」（村上氏）という元々の方針も相まって、導入はスムーズに進みました。メモリ使用量が少なく軽く動作する点も、サーバーの保護には有効だと考えています。
本番運用に移ってからも、導入時に実施したチューニングが功を奏し、これまで誤検知・過検知に悩まされることはありません。クライアント側に導入したEDRと共存する形で運用できています。
「最初の侵入口となるのはクライアントなので、そこはEDRの検知で脅威を見つけ、潰していきます。同時に、万が一にも止まってはいけないシステムをAppGuard Serverで守るという具合に棲み分けて活用しています」（村上氏）
以前と変わらず、万一に備えたバックアップも取得しています。「しかし、バックアップはサーバーに負荷がかかり、パフォーマンスが低下するため夜間に行わざるを得ません。つまり、一日に一回程度しか取得できず、感染のタイミングによってはその後のデータは失われてしまいます」（村上氏）。AppGuard Serverによってそうした懸念が一掃され、今までとは比べ物にならない安心感が得られています。
写真はイメージです
- 他のサーバーや仮想基盤の保護にもAppGuard Serverを検討
-
「クライアントPCならば、仮に侵害されてしまっても再インストールすればすみます。しかしサーバーはそうはいきません。ひとたびデータが失われ、再構築を迫られると病院の業務を1〜2ヶ月は止めることになり、数億円もの診療報酬が飛んでいくでしょう」（村上氏）
コストパフォーマンスだけを考えれば、パターンマッチング型のウイルス対策ソフトが浮上します。しかし万一の損失を考えるとAppGuard Serverの導入は十分見合う投資であり、むしろ安いものだと捉えています。「はっきり言うと、EDRでキャッチした時点ですでにウイルスは活動しています。EDRで侵入経路や感染状況を把握することも重要ですが、入ってきても活動させないという全く異なるコンセプトに基づくAppGuardは、EDRと組み合わせたセキュリティ対策として他の病院にも推奨できます」（村上氏）
また、サイバー攻撃の形態は日々進化しています。パターンファイルに頼らず、入ってきたマルウェアをそもそも活動させないAppGuardのコンセプトならば、この先新たな攻撃形態が登場しても大丈夫だと考えているそうです。
今後は、今回導入した3つのクリティカルなシステムに加え、同じく仮想基盤上で動作している他のサーバーにもAppGuard Serverの導入を広げていくほか、仮想基盤そのものの保護策としても検討していきます。同時に、スタッフの教育やマニュアルの整備、それに基づく訓練といった手も打ちつつ、サイバー攻撃も含め不測の事態が生じても医療業務を継続できるよう弛まぬ努力を続けていきます。