大阪大学のCISO（最高情報セキュリティ責任者）を務める現役教授が、2022年に発生した大阪急性期・総合医療センターへのランサムウェア攻撃の調査委員長として得た教訓を語る。攻撃により救急や外来診療が2カ月にわたり麻痺したこの事案から、組織のセキュリティ意識の在り方を問う。
ベンダーへの過信が招いた大規模被害
調査委員長を務めたCISOは、この事案の最大の課題として「ベンダーへの過信」を挙げる。高額な費用で大手ベンダーが構築したシステムだから大丈夫だろう、何か起きてもベンダーが何とかしてくれるだろうという感覚が組織にあったと指摘する。
さらに、事件の1年前に徳島県の病院でほぼ同じ原因による被害が発生し、分厚い調査報告書が公開されていたにもかかわらず、多くの組織でそうした報告書を細かく読む人はごくわずかで、同じような事故が続いていると警鐘を鳴らす。医療業界に限らず、「自分たちは大丈夫」と考えてしまう姿勢が問題であり、日頃の準備をしていない企業や組織が多すぎると述べている。
サプライチェーン攻撃と上流の責任
同総合医療センターの事案は、給食提供事業者のシステムを経由して侵入されたことから、サプライチェーン攻撃として扱われた。しかし、CISOは「単純に『請負業者が悪い』と片付ける風潮には問題がある」と語る。請負業者は大きな利益を得ていない中で事業を回しており、潤沢なセキュリティ対策を求めるのは別問題だという。
自組織のネットワークに外部業者を接続している以上、発注元がリスクを把握し管理する責任がある。サプライチェーンの話になると下流の業者が悪いという論調になりがちだが、上流側にも相応の責任があるからこそ、経営者のセキュリティ意識が重要になると強調する。
セキュリティは「投資」ではなく「必須コスト」
CISOは、セキュリティを「投資」として捉えない方がよいと主張する。セキュリティ対策のツール導入には莫大な費用がかかるが、投資と考えていると、事故が起きなければ費用が無駄になったと錯覚してしまう。しかし、セキュリティは何も起きなかったことこそが最善の成果であり、費用対効果を求める投資ではなく、組織を守るための「当たり前の必須コスト」として意識を転換する必要があるという。
また、セキュリティ担当者の評価についても言及する。何も起きないことが最善の成果であるにもかかわらず、功績が見えにくいために評価やキャリア形成で不利になっている人が少なくない。組織を守るために日夜奮闘する人たちを正当に処遇する仕組みを組織内に作るべきだと訴えている。
