このニュースでは、厚生労働省が発出した、オンライン診療サービスでの不正ログイン被害を受けたセキュリティ対策強化通知について解説します。リスト型攻撃への対策となる多要素認証の導入や現場で求められる具体策を整理します。
- ・オンライン診療サービスにおけるリスト型攻撃事例の発生
- ・厚生労働省による多要素認証（二要素認証）の速やかな導入要請
- ・パスワード使い回しの点検や不審ログ確認などの具体対策の提示
- ・国家サイバー統括室やIPA等のセキュリティ重点対策との連動
- ・医療情報システムの安全管理に関するガイドラインに基づく確認徹底
オンライン診療サービスでの被害発生と多要素認証の導入要請
10月28日、厚生労働省は国内のオンライン診療サービスで発生した不正ログインの被害を受け、セキュリティ対策強化に関する通知を発出しました。特に、二要素認証・多要素認証に関する対応が急がれます。
今回の被害は、攻撃者が不正に取得したIDとパスワードを使う「リスト型攻撃」によるものです。この事案では、医療機関側のアカウントと、患者側のアカウント両方からの不正ログインが確認されており、患者の個人情報や診療情報を閲覧される被害が生じています。
こうしたリスト型攻撃を防ぐには、ID・パスワード以外の要素を組み合わせる「多要素認証」が有効な対策とされています。厚生労働省は、医療機関に対し、多要素認証の速やかな導入を呼びかけています。
現場で求められる3つの具体的対応
この他に、現場で求められる具体的な対応は、次の3点が挙げられます。
1つ目は、パスワードの使い回しの点検です。他のサービスと同じパスワードや似たパスワードを使っていないか確認します。
2つ目は、アクセスログの確認です。深夜帯のアクセスや海外からの接続、短時間での連続ログインなど、不審なログがないかをチェックします。
3つ目は、院内への周知と警戒です。システム事業者や公式サポートを名乗る不審な連絡に注意するよう、院内全体で共有します。
セキュリティガイドラインの確認と徹底
また、今回の通知だけでなく、国家サイバー統括室やIPAなどもセキュリティの重点対策をまとめています。医療機関に対しては、「医療情報システムの安全管理に関するガイドライン」を改めて確認し、徹底することが求められています。
