病院に対するサイバー攻撃とベンダの責任

■1　病院に対するサイバー攻撃の現状

　近年，病院に対するサイバー攻撃が増加しています．特にランサムウェア^★1攻撃の増加が顕著^★2であり，2021年10月には徳島県のつるぎ町立半田病院^★3が，2022年6月には徳島県の医療法人久仁会鳴門山上病院^★4が被害を受けました．2022年10月には，地方独立行政法人大阪府立病院機構大阪急性期・総合医療センターがランサムウェア攻撃の標的となり，電子カルテに関連する全てのネットワークの遮断と利用停止を行う事態となりました．公表された報告書^★5によれば，この事例では，部門システムを含めた全体の診療システム復旧までに73日を要し，調査・復旧費用は数億円，診療制限に伴う逸失利益としては十数億円以上が見込まれています．

　病院がサイバー攻撃を受けた直後には，被害状況の把握，代替運用手段への切換，証拠・証跡の保全，被害拡大の防止，原因の究明，復旧計画の策定，所管官庁への連絡^★6，法令に基づく対応（個人情報保護委員会への漏えい等の報告^★7など），本連載第16回^★8で解説した身代金要求に関する検討など，さまざまな対応が必要となります．しかしながら，これらの対応を適切に行い，システムの完全復旧に至ったとしても，それで解決というわけではありません．病院がサイバー攻撃を受けた場合，甚大な損害が発生することが少なくないところ，この損害を誰が負担するかという問題が残ります．サイバー攻撃による損害は，本来，攻撃を実行した犯人が賠償すべきですが，通常，外国に所在するであろう犯人を特定し，賠償を受けることは困難です^★9．そこで，ベンダの責任を検討することになります．