ITセキュリティとリスク管理の考え方
Clinic-Netでは一般的なリスク管理の考え方をベースに院内ネットワークのセキュリティ対策のご提案をしています。
リスクの管理策は大きく下記の3種類に分けることができるのですが、どれかひとつがあれば十分であるとは言えません。
3種類全てが揃うことで最大の効果を得ることができ、複数組み合わせて「多層防御」を構築することで強固なセキュリティ機構をつくることができます。
予防的コントロール
事故が起こらないようにするための管理策です。医療では予防接種、ITセキュリティではマルウェア対策ソフトのインストールなどが代表例になります。
一般的に3種類のコントロールのなかでは投資コストが最も低く、費用対効果の高いリスク管理になります。
発見的コントロール
予防が難しいリスクを早い段階で検知し、対応するための管理策です。医療では定期検診、ITセキュリティでは定期的な通信記録の監査などが代表例になります。
3種類のコントロールのなかでは投資コストも費用対効果も中程度のリスク管理になります。
訂正的コントロール
発生した事故の被害を封じ込め、復旧するための管理策です。医療では病気や怪我の治療、ITセキュリティではシステムの復旧作業や情報漏洩時の訴訟対応・損害賠償が代表例になります。
一般的に3種類のコントロールのなかでは最もコストが高く、マイナスをゼロに戻す作業となるため費用対効果の低いリスク管理になります。
一般的な院内ネットワーク構成とセキュリティ対策例
図1は「電子カルテ」と「診察予約システム」を導入しているクリニックを想定した院内ネットワーク図です。赤色の線がインターネット接続用のネットワーク、緑色の線が電子カルテ用のネットワークです。
セキュリティ対策の種類と数
- 予防的コントロール：5つ
- ① ルーターのファイアウォール機能による通信の取捨選択
- ② インターネット用と電子カルテ用のネットワークを分離
- ③ 電子カルテ用ネットワークのインターネット接続禁止
- ④ PCのパーソナルファイアウォールで通信を取捨選択
- ⑤ PCのマルウェア対策ソフトで悪意のあるプログラムを防御
- 発見的コントロール：2つ
- ルーター通信ログのリアルアイム監査
- 週次通信ログ監査
- 訂正的コントロール：0
訂正的コントロールがない状態は、事故が起きてしまった場合の想定と準備をしていない状態と言えます。泥縄的な事後対応となってしまうため、院内でのマルウェア感染の拡大や情報漏洩リスクが高くなります。
セキュリティの高い院内ネットワーク構成例
図2では新たに3つのセキュリティ機器・ソフトが追加されています。
⑥ 次世代ファイアウォール(UTM)
次世代ファイアウォール(UTM)は通過する通信の内容をチェックし、マルウェアが含まれている通信や、悪意のあるサーバーとの通信を遮断し、管理者へ通知することができます。マルウェア感染や情報漏洩を未然に防ぐことができ、マルウェア感染などのセキュリティ事故発生後の被害拡大も防ぐことができる対策となるため、「予防的・発見的・訂正的コントロール」になります。
⑦ セキュリティスイッチ
セキュリティスイッチは通信の振る舞いをチェックし、怪しい挙動を検知するとLANポートをシャットダウンしたり、管理者に通知することでマルウェアの感染拡大や情報漏洩を防ぐことができます。マルウェア感染などのセキュリティ事故発生後の被害拡大を防ぐ対策となるため「発見的・訂正的コントロール」になります。
図2の例ではセキュリティリスクの高いインターネット接続用ネットワークにのみセキュリティスイッチを導入することで、コストを抑えています。電子カルテ用ネットワークにもマルウェア感染等のリスクはありますが、USBメモリなどの外部記憶媒体を禁止する運用ルールを定めることでセキュリティリスクを受容できるレベルまで低減し、セキュリティスイッチを導入しないという運用方法と意思決定を想定しています。
⑧ SandBlast Agent for Browsers
Google Chrome(グーグル クローム)などのウェブブラウザにインストールするセキュリティ対策ソフトで、マルウェア対策・フィッシング対策をすることができます。ウェブブラウザの通信のみ監視するため、従来のセキュリティ対策ソフトと同時にインストールして利用できることが大きな特徴です。マルウェア感染やフィッシング詐欺などのセキュリティ事故を防ぐための対策となるため、「予防的コントロール」となります。
リスク管理策の種類と数
3種類全てのコントロールがバランス良く網羅されています。
- 予防的コントロール：8つ
- ① ルーターのファイアウォール機能による通信の取捨選択
- ② インターネット用と電子カルテ用のネットワークを分離
- ③ 電子カルテ用ネットワークのインターネット接続禁止
- ④ PCのパーソナルファイアウォールで通信を取捨選択
- ⑤ PCのマルウェア対策ソフトで悪意のあるプログラムを防御
- ⑥ 次世代ファイアウォール(UTM)
- ⑦ セキュリティスイッチ
- ⑧ SandBlast Agent for Browsers
- 発見的コントロール：4つ
- ルーター通信ログのリアルアイム監査
- 週次通信ログ監査
- 次世代ファイアウォールのアラート通知
- セキュリティスイッチのアラート通知
- 訂正的コントロール：2つ
- 次世代ファイアウォール
- セキュリティスイッチ
まとめ
完璧なセキュリティ対策はありません。
どのようなセキュリティ対策にも長所と短所、できることとできないことはありますし、全ての攻撃を100%完全に防ぎきることは不可能です。しかし、事前にできるだけの対策を講じることで防御を突破される確率は下げることができますし、仮にマルウェア等に侵入されてしまったとしても被害の規模を小さくすることはできます。
ITセキュリティの不備が怖いのは、被害者が直接被害を被ることだけでなく、セキュリティの不備を利用されて被害者が知らないうちに加害者にもなってしまうところです。セキュリティ対策は何をどこまでやればよいか分からない、予算の範囲内でできるだけの対策をしたいなど、院内ネットワークに関するご相談があれば是非お気軽にお問い合わせください。
ご依頼はこちらから
