8月10日、マニトバ州最大の病院が、この業界ではめったにこれほど率直に公表されることのない事実を明らかにした。同州の保健当局であるシェアード・ヘルス（Shared Health）は、ウィニペグのヘルス・サイエンス・センター（HSC）が、「HVAC（空調設備）やドアのアクセス制御システムなど、一部の施設維持管理システムに影響を及ぼすランサムウェア攻撃」に対応していることを確認した。患者ケアや臨床業務は中断されることなく継続されており、州当局にも通報が行われ、外部の専門家も招へいされた。 本稿執筆時点では、犯行声明を出した攻撃者はおらず、初期の侵入経路も公表されていない。
Shared Healthの声明をもう一度お読みください。名指しされたシステムは、ランサムウェア攻撃で通常影響を受けるファイルサーバーや請求データベースのようなITシステムではなく、また、保護対象の医療情報が満載の患者ケアシステムに対する標的型攻撃でもありませんでした。後者のような攻撃の場合、医療提供者はしばしば迅速に身代金を支払うことになります。今回のインシデントは、建物の電力供給を維持し、手術室への空調を管理し、どのドアから誰が通行できるかを制御する「OT 」および「IoT 」といったビル管理システムに直接影響を及ぼしました。 病院において、建物は医療チームの一員であり、このような攻撃の影響は壊滅的なものになりかねなかった。
いわゆるスマートビルの中でも、医療施設は最もスマートな建物の一つです。病院のHVACシステムは、単に快適性を制御するだけでなく、感染対策の役割も果たしています。HVACの「V」（換気）がこれほど重要となる場所は他にありません。
医療施設の維持管理システムは臨床システムである
インシデント報告においては、施設の保守管理システムやビル管理システムに対する攻撃を、電子カルテよりも重要度の低い標的として、単なる付記扱いにしてしまう傾向があります。しかし、そのような考え方は誤りです。いわゆる「スマートビル」の中でも、医療施設は最も高度なスマートビルの一つなのです。
病院のHVACシステムは、単に快適性を制御するためだけのものではなく、感染対策の役割も果たしています。HVACの「V」（換気）がこれほど重要となる場所は他にありません。ANSI/ASHRAE/ASHE 170-2025などの医療施設向け換気基準では、部屋ごとに圧力関係、ろ過レベル、1時間あたりの換気回数が規定されています。手術室では、これらに加えてさらに高いろ過性能と気流が求められ、飛沫感染隔離室は、感染性のある患者が吐き出す飛沫が室内に留まるよう、負圧に保たれています。
170-25規格は、具体的には部屋の要件や部屋間の気圧関係について規定していますが、医療施設の空調設計における一般的な慣行として、ろ過されていない外気が室内へ侵入しないよう、建物全体をわずかに正圧に保つことが挙げられます。この設計全体は、院内感染（またはノソコミアル感染症）を予防するために存在しています。 薬局、新生児病棟、精神科病棟などへの出入り管理も重要ですが、空気の管理を失うことの方が、おそらくさらに深刻です。ドアの故障はリスクに過ぎませんが、空調システムの故障は、すでに感染管理上の緊急事態そのものです。これらのシステムを監視・管理する能力を失うと、スタッフは手動による巡回、物理的な鍵、紙の記録に頼らざるを得なくなり、その間も時間は刻々と過ぎていきます。
HSCの臨床業務が継続できたことは評価すべき点であり、これは臨床ネットワークと施設ネットワークの分離が維持されていたことを示唆している。これが今回の出来事における朗報だ。しかし、なぜ施設ネットワークにアクセスできてしまったのかという、気まずい疑問が残る。
BMSや施設管理システムが魅力的な標的となる理由
BMSがなぜ見落とされ続けてしまうのかについては、以前にも記事で取り上げたことがあります：
- 物理的な設備資産は、多くの場合、企業のIT部門の管轄外となっています。
- それらの基盤となるプロトコル（とりわけBACnet）は、セキュリティよりも相互運用性を重視して設計されたものである。
- コントローラ自体は、パッチを適用せずに10年以上も稼働し続けることがよくあります。
- 設備部門が機器を管理し、IT部門がネットワーク全体を管理していますが、ネットワークの施設面については、どの部門も責任を負っていません。
病院という環境は、この課題をさらに深刻化させる可能性があります。当社の医療サイバーセキュリティガイドでも指摘したように、現代の病院では、従来の臨床機器に加え、IP接続されたビルオートメーション、CCTV、エレベーター、物理的セキュリティシステムなどが多層的に導入されています。その多くは管理対象外であり、組み込みOS上で動作しており、すでに数年前にサポート終了（EOL）を迎えている可能性もあります。これらのデバイスは一つひとつが資産であり、防御策を講じるには、まずその存在を把握しておく必要があります。
ウィニペグ病院へのランサムウェア攻撃は、前例となるのか、それとも予兆なのか？
ウィニペグでの事件を、攻撃者が現在、病院やその他の場所のビル管理システムを特に標的にしている証拠だと解釈するのは誤りである。正しい見方は、意図よりも結果に焦点を当てるべきだ。つまり、ビルネットワークが標的であるかどうかにかかわらず、結果として被害を受ける可能性があるということである。以下に、ニュースで報じられた2つの事例を紹介する：
- 2016年、フィンランドのラッペーンランタにある2棟のマンションがDDoS攻撃を受け、ビルオートメーション制御装置が再起動ループに陥ったため、氷点下の気温の中、運営者が手動制御に切り替えるまでセントラルヒーティングが停止した。
- 2021年、FBIは、イラン政府が支援する犯行グループによるボストン・チルドレンズ病院への攻撃未遂を未然に防いだ。これはシステム全体の停止を狙ったもので、FBIのクリストファー・レイ長官は後に、これを「自身がこれまで目にした中で最も卑劣なサイバー攻撃の一つ」と評した。
攻撃者は異なっても、動機は異なっても、根本的な脆弱性は同じです。ネットワークに接続されたビルシステムは、接続先のネットワークが抱えるあらゆるリスクをそのまま引き継いでしまいます。
防御は、BMS資産とその動作状況を可視化することから始まります
ウィニペグの報道を読んでいるすべての病院のサイバーセキュリティ責任者への課題はこれです。今日、自施設のネットワークに接続されているデバイスの完全な一覧と、それらがどのように、誰と通信しているかを示したマップを作成できますか？ 空調装置、ドア制御装置、冷凍機――そして、それらのメンテナンスを行うベンダーへのリモートアクセス経路などを考えてみてください。もし答えが「いいえ」なら、侵入者がどこにアクセスできるかを確信を持って言うことはできませんし、月曜日の午前2時にインシデント対応チームも同様です。
OT およびIoT のサイバーセキュリティ対策の全体像は以下の通りです：
- 医療機器の資産管理と同様に、資産台帳を自動的に作成・管理したいものです。スプレッドシートだけでは不十分です。
- ネットワーク上に何が存在し、どのように通信が行われているかを把握すれば、施設内のシステムをITネットワークや臨床ネットワークからどのように分離すべきかがわかります。継続的な監視を行うことで、分離ポリシーが設計どおりに機能しているかを確認することができます。
- 資産の通常の動作を基準として、ITトラフィックを監視するのと同じように、ネットワークトラフィック内のBMSプロトコルを監視して異常がないか確認してください。なぜなら、新しい宛先との通信を開始したコントローラーは、何かしらの兆候を示しているからです。
HSCの事例が示すように、建物システムに障害が生じてもケアが中断されなかったという結果は、適切なセグメンテーションによって得られるものです。BMSネットワーク自体に対する完全な可視性と、脅威および異常の検出機能があれば、HVACや物理的アクセス、その他の重要な建物システムに影響が及ぶ前に、脅威を阻止することができます。
当社独自のテレメトリデータは、これが実際にどのような状況であるかを示しています。Nozomi Networks のセンサーによって監視されているある医療機関では、今年7月のある1日だけで、施設全体およびOT ネットワーク上で160件以上のアラートが発生しました。その内容には、15台の異なるエンジニアリングワークステーションからの数十件に及ぶコントローラプログラムの変更、16の送信元からの内部ポートスキャンやpingスウィープ、フィールドコントローラへのプログラムダウンロード、そしてブルートフォース攻撃と一致する繰り返しのSMBログイン失敗などが含まれていました。 これらの活動のほとんどは、おそらく日常的なメンテナンスだったでしょう。しかし、そこが重要な点です。監視を行わなければ、その判断を下すことはできないのです。
BMS資産のセキュリティ対策を始めましょう
Nozomi Networks このソリューションは、医療機関がまさにこれを実現できるよう支援します。すなわち、単一のプラットフォームから、ビルオートメーション、IoMT、OT 環境全体にわたる継続的な可視化、脅威の検知、リスク分析を可能にするものであり、政府機関や重要インフラ施設の建物における数千件の実装実績によってその有効性が実証されています。
施設のメンテナンスやビル管理システムのセキュリティ確保について、弊社がどのようにお役に立てるかについては、ぜひ今すぐお問い合わせください。
