続報が突き付けた「被害者連絡」の限界
東北大学の不正アクセス事案の続報では、連絡が取れない元入院患者や治験医師に対し申し出を呼びかけた。これは被害の有無以上に、医療機関が抱える「連絡不能リスク」を可視化した点が重要である。退院や異動で連絡先が変わる、研究・治験関係者が通常の連絡網に乗らないなど、個別通知だけでは対象者保護が完結しない。
情シスは、インシデント時の通知設計を「連絡できる人」中心から「連絡できない人が一定数いる」前提に改めるべきである。広報、相談窓口、FAQ、本人が自己照会できる導線を準備しておくことが、説明責任の実務となる。
医療情報が狙われる理由と二次被害の現実
医療機関のデータは個人識別情報に加え、傷病名や検査結果など機微情報を含む。大学病院等では治験データ、共同研究情報、アカウント情報など戦略的価値のある資産も混在する。攻撃はランサムウェアだけでなく、窃取データを用いた二重恐喝や詐欺への転用も現実的である。
特に連絡不能者が残ると、本人が注意喚起を受けられず、医療機関を装ったフィッシングや電話詐欺の被害を受けやすい。「追加検査」「返金」など不安を煽る文言は典型であり、治験手続きや倫理審査を装うケースも想定すべきである。
初動で押さえるべき実装ポイント
初動は技術対応と対外対応を並行させる。封じ込めではネットワーク隔離や侵害アカウント停止を行いつつ、ログやディスク等の証拠保全を優先する。診療継続圧力が強い環境ほど、拙速な復旧で原因究明が破綻しやすい。
影響範囲は「漏えい確定」を待たず、可能性段階でリスク評価と注意喚起を検討する。加えて相談窓口は情報漏えいの二次起点になり得るため、本人確認手順、回答範囲、折り返しルール、記録化を標準化し、委託先にも同等の統制を適用する必要がある。
再発防止と信頼回復に必要な運用設計
再発防止はEDRや多要素認証の導入だけでは完結しない。診療・研究・事務の混在、外部共同研究者や委託業者のアクセスを踏まえ、アカウント統制と権限管理を最優先に置くべきである。特権ID管理、セグメンテーション、バックアップ分離と復旧訓練、パッチ可視化、手順の定期演習が基礎となる。
信頼回復の鍵は透明性と継続対応である。連絡不能者への配慮を含め、状況更新、相談導線の維持、注意喚起の継続を組織の運用として回すことが、二次被害を減らし説明責任を果たす最短ルートになる。参照