本記事は、
公開されている事故報告書をもとに、
特定企業を批評するものではなく、
事故の構造と判断の前提を読み解くことを目的としている。
事故のポイント
岡山県精神科医療センターで、ランサムウェアによるサイバー攻撃が発生した。
最大約4万人分の患者情報が流出した可能性がある。
電子カルテそのものの流出は現時点で確認されていないが、共有フォルダ内の医事統計や議事録などが抜き取られた。
外部接続に利用していたVPN（仮想専用線：外部から内部ネットワークへ安全に接続する仕組み）の機器が、脆弱と通知されていた機種であったことが明らかになっている。
なぜ事故が起きたか
今回の事故は、「高度なゼロデイ攻撃」だったという話ではない。
脆弱と通知されていたVPN機器が更新されないまま使われていた。
攻撃者は特定の病院を選んだのではない。
インターネット上のIP（機器の住所）を自動でスキャンし、脆弱性のある機器を見つけて侵入する。
「狙われた」のではなく、「開いていた」のだ。
しかし、機器の更新は業者と協議中のまま進まず、最終的には棚上げになっていた。
ここにあるのは技術不足ではなく、リスクを上位に置かなかった判断である。
原因の分類
運用のズレ
脆弱性は通知されていた。
つまり、情報はあった。
しかし、
・今すぐ止まるわけではない
・他にも優先案件がある
・次回更新時にまとめて
こうした運用上の判断の積み重ねが、結果として「放置」になった。
これは設定ミスでも管理ミスでもない。
リスク評価と優先順位付けのズレである。
本当の問題
多くの組織はこう考える。
「うちは狙われないだろう」
だが現実は違う。
攻撃者は組織を見ていない。
穴を見ている。
脆弱性のある機器があれば、規模や知名度に関係なく自動で攻撃される。
問題は、
「狙われる」という誤解の上に判断を置いてしまうことだ。
防げた可能性が高い対策
脆弱性通知が届いたとき、
「いつやるか」ではなく「いつまでに終えるか」を決めること。
期限のない対策は、実行されない。
一般向けの再発防止ポイント
- 機器やソフトの更新通知を放置しない
- 外部接続機器の一覧を把握する
- 更新の担当者を明確にする
- 「後で」は日付に変換する
- セキュリティ案件を会議の最後に回さない
特別な専門知識は不要だ。
優先順位の置き方の問題である。
文系セキスペの視点
セキュリティ事故は、技術の敗北ではない。
多くは判断の敗北だ。
脆弱性は抽象的だ。
今すぐ痛みを感じない。
だから会議の中で弱い。
売上や診療の課題に比べて、具体性がない。
しかし攻撃者にとっては違う。
脆弱性は「今、叩ける入口」だ。
この認識の差が、事故を生む。
読者への問い
あなたの組織で「分かっているが未対応」の脆弱性は、いくつあるだろうか。
判断変更ログ
今回の事故を通じて、私は改めて確信した。
「先送り文化」という曖昧な言葉では足りない。
問題は、
脆弱性対策の優先順位が極めて低かったことだ。
ゼロデイかどうかではない。
既知の脆弱性を放置する構造こそが最大のリスクだと、判断がより明確になった。
本質の一行まとめ
脆弱性は技術の穴だが、放置は判断の穴である。
コメント