放射線科とランサムウェア：画像診断部門をサイバー攻撃から守る方法

医療は現在、サイバー犯罪者にとって最も標的とされる分野となっています。2024年には、EUの医療提供者に影響を与えたサイバーセキュリティ事案が少なくとも289件発生し、欧州委員会のNIS指令インシデント年次報告によると、他の重要なセクターより多い事例数となっています。身代金型ランサムウェア攻撃は、患者ケアを妨げ、診断と治療を遅延させた事案の推定でおよそ71%を占めていました。¹ 2025年1月には、EUの医療セクターのサイバー耐性を強化するため、欧州委員会が病院・医療提供者のサイバーセキュリティ行動計画を策定しました。²

米国における状況もこの動向を反映しています。FBIは、2025年に医療機関が182件のデータ漏えいと460件のランサムウェア攻撃を経験したと報告しており、これらはすべての重要インフラ部門の中で最も多い数となっています。³ 

「病院の放射線部門に対する攻撃の成功事例に関する公表データは特に存在しないが、1990年代以降急速に増加している」とSIIMのセキュリティ委員会長であるPo-Hao Chen, MDは述べた。その年は米国の病院放射線部門が全デジタル機能へと広く移行した時期と一致している。 

これらの高まる脅威に対応して、American College of Radiology (ACR)とSIIMは、放射線部門のスタッフとIT/PACS管理者を対象に、放射線データと機器をサイバーセキュリティ脅威から守るための総合的なガイドラインを2025年に公表しました。⁴ 

なぜ放射線診断は特に脆弱なのか

放射線診断部門は、多様な脆弱性と転送リスクを含む大きな攻撃面を抱えており、サイバー攻撃の機会が豊富に存在します。AdventHealthの画像診断部門の最高医療情報責任者であり神経放射線科医・医療AIの専門家でもあるReza Forghani, MD, PhDは、「サイバー攻撃は単なる不便さやIT上の問題ではなく、患者の安全と運用上の課題である」と語っています。

脆弱性のカテゴリには、人、プロセス、物理的機器、ソフトウェア・ハードウェア技術、サプライチェーン、第三者ベンダーが含まれます。データ転送リスクの場所は、電子カルテのオーダー入力、放射線情報システム（RIS）、モダリティ映像取得、PACS、アーカイブストレージ、VNA、ワークステーションの使用、放射線レポートの作成、そして他の放射線専用ソフトウェアツールとの相互作用に及びます。

もう一つの脅威はAIシステムの利用です。これらはモダリティの画像再構成に影響を与え、アーティファクトを追加・削除し、放射線科医が正確な診断や他の評価を行うのを妨げることがあります。「AIは放射線科医に利便性を提供しますが、これらの便宜と近道はサイバーセキュリティリスクを高めます」とForghani博士は述べました。見落とされがちな脆弱性には、オフサイトで盗まれた認証情報が含まれ、それを巧妙なフィッシングと組み合わせると扉を開くことがあると指摘しています。USBドライブやDICOM CD/DVDなどのモバイルデータ源は、機微なデータを盗むのに適しているか、マルウェアを注入するために利用される可能性があります。これらのデータ内容は、厳格な保護審査なしに病院のシステムへ直接入力すべきではないと警告しています。 

層状防御の構築

内部運用とベンダーエコシステムの双方に対して、防御策は多数かつ層状で、常に最新の状態に保つ必要があります。物理的・技術的な統制は完全に整合していなければなりません。監視は継続的で、新しい技術やサイバー攻撃の変異的な性質に即座に適応できるものでなければなりません。侵害の影響を受けるすべての病院スタッフに対して、定期的な訓練が不可欠です。

「人はサイバー攻撃保護の最も弱い要素です。社会的交流や巧妙なフィッシングの際に惑わされ、厳格な物理的セキュリティ標準のプロトコルを遵守することが緩くなることがあります」と、モントリオール大学附属病院センター（CHUM）とペンシルベニア大学の放射線科教授・医療情報責任者・医療サイバーセキュリティ責任者を務めるデジャルダン教授は述べました。「主要な防御策は物理的、技術的、および行政的です。スツールの脚のように、いずれかが弱くなると全体の構造が不安定になります。」

第一線の防御となる物理的対策には、複数層のアクセス制御が必要です。施錠されたドア、鍵カード、生体認証スキャナ、カメラ、USBポートの無効化、ファイアウォール、侵入検知システムなどです。モダリティのパッチやソフトウェア更新は直ちに実施するべきです。時代遅れのワークステーションやハードドライブ、CD/DVDといったメディアは、回復可能なデータを含むおそれがあるため、セキュリティ手順に従って処分するべきです。

継続的なガバナンスの必須性

技術的なデータ保護には、継続的に更新される方針と手順が求められます。パスワードは頻繁に変更する必要があります。データへのアクセスは、職員の異動ごとに調整されるべきです。アラートを含む監査ログは厳格に監視されるべきです。 breachesの影響を受ける可能性のある全職員の定期的な訓練は、サイバー認識を強化するうえで不可欠です。訓練のテーマには、インシデントの認識と報告、パスワード管理、ワークステーションのセキュリティ、ソーシャルエンジニアリング対策を含めるべきです。

デジャルダン教授は、アクセスとデータをライフサイクル全体で管理する管理上の安全対策が不可欠であると強調しました。「サイバーセキュリティリスクを継続的に評価せよ。脅威は絶えず進化する。サイバー攻撃の性質が変化し続ける中で、プログラムはそれに合わせて進化するよう設計されなければならない」と彼は説明しました。「継続的なガバナンスなしには技術的コントロールは無力化される。攻撃がすでに進行中であると想定し、それに備えるのが実用的な考え方だ」と述べました。

資源は優先順位をつけて配分する必要があります。定期的なリスク評価とプロトコル評価を明確に定めたセキュリティ方針は、脆弱なシステム、ネットワーク、データ保管ネットワークを特定する必要があります。アクセス制御、データ暗号化、デバイス管理のリーダーシップ方針が求められ、放射線記録のアクセス、保持、廃棄のためのプロトコルも遵守を確保するために必要です。

すべてのベンダーおよび第三者請負業者は、同じ基準と方針を適用されなければなりません。ベンダーエコシステムは運用リスクの露出を高めます。『サイバーセキュリティの部品表（BOM）をサイバー機器に求めるべきです。契約には侵害通知と要請時のベンダーログへのアクセス権を、頻度に関係なく常に組み込むべきです』とデジャルダン教授は推奨しました。

災害が発生したとき：インシデント対応と回復

最善の努力を尽くしても、病院が攻撃を受けて放射線ネットワークが数週間にわたり機能停止した場合、どうなるのでしょうか。HonorHealthのシニア・バイスプレジデント兼最高変革責任者であり、アリゾナ州に拠点を置く非営利医療システムで9つの病院を持つ専門家のJames T. Whitfill, MDは、放射線部門のサービスに依存する病院の臨床医やスタッフがどれほど情報不足であるかを示しました。

「病院の同僚にサイバーテロ事件へどう対応するかを尋ねてください。最も一般的な回答は『ネットワークが復旧するのを待つ。IT部門が修復するだろう』というものです」とWhitfill教授はコメントしました。「最終的にはそうなることもありますが、人々が気づいていないのは、ランサムウェア攻撃による障害がネットワーク全体を止め、保護のために機能していない部門も含めて停止させてしまう可能性があるということです」。彼の経験では、重大なサイバー攻撃の事後処理には、事実関係を特定し復旧を正確に行うための法医学的作業だけでも少なくとも1週間を要することが多いといいます。放射線科医はモダリティから直接画像を解釈できますが、多くのモダリティはストレージがいっぱいになると自動削除モードに入り、データ損失を防ぐために外部ストレージの追加を装備しておくべきだと専門家は指摘しています。復元を試みる際には、レポートと画像がどのように同期されているかを明確にしておく必要があります。

最悪のケースに備える方法

Whitfill教授は、病院のインシデント指揮が運用を維持し、ニーズを優先することを目標とすると説明しました。技術対応チームは攻撃の規模を評価することから始め、バックアップのコピーへと遡って攻撃がいつどこで始まったのかを特定し、復元を始める安全な場所を探します。バックアップの実用性を評価することが不可欠です。さまざまなシナリオに対応した復元計画、例えば bare metalリストアやファイル復元などが必要となる場合があり、汚染されたハードウェアの交換やソフトウェアの再インストールが求められることがあります。

専門家は、準備の具体的なリストを示しました。『放射線ネットワークのダウンタイムがもたらす影響を、潜在的に影響を受ける可能性のあるすべての指導層を同じ部屋に集めて聞き取り、フィードバックを得る。シミュレーション演習を作成し、実施する。ダウンタイムの仮想イベントとダウンタイム計画の食い違いを比較し、修正を施す』

「回復は非常に断片的になることがあります。システムの復元と回復は異なる概念です。最初に復元する臨床システムを事前に定義します。即興的な作業は誤りを招くことがあり、それを特定する必要があります。レポートと画像を調整し、重要な所見を手動で追加する必要がある場合があります。これらすべてを計画しておく必要があります。教育を、教育を、教育を。定期的かつ繰り返し、シミュレーションを実践してください」と Whitfill教授は結論づけました。

プロフィール： 

Po-Hao Chen, MD, は、米国オハイオ州のクリーブランド・クリニックのEnterprise Diagnostics Instituteにおける人工知能担当副委員長および企業放射線診断情報学の医学ディレクターです。彼はSIIMのセキュリティ小委員会を率い、放射線データと機器をサイバーセキュリティの脅威から保護するACR/SIIMのホワイトペーパーの主著者です。

Benoît Desjardins, MD, PhD, はカナダ・クォベック州のモントリオール大学病院センター（CHUM）の放射線科教授、及び米国ペンシルベニア大学の放射線科・医学部の教授です。

Reza Forghani, MD, PhD, は AdventHealth の画像領域最高医療情報責任者であり、9州にわたる57の病院キャンパスを持つ米国の大規模な非営利医療システムに所属します。神経放射線医かつ医療AIの専門家として、AdventHealth Medical Group Central Florida Divisionの画像情報学部門長も務めています。

James T. Whitfill, MD, は米国アリゾナ州フェニックスのアリゾナ州立大学ジョン・シューベルツ医学部・医療工学部の医学教授です。さらにHonorHealthのシニア・バイスプレジデント兼最高変革責任者でもあり、アリゾナ州に拠点を置く非営利医療システムです。

出典： 

1. Annual report NIS Directive incidents 2024. CG Publication. August 2025. https://ec.europa.eu/newsroom/repository/document/2025-31/Annual_Report_NISD_Security_Incidents_2024_lLl8Yt8at5UKGOymYgsc0rxZrpQ_118680.pdf
2. Goodger S, Kuiper E. From ransomware to statecraft: Protecting EU healthcare in the new threat landscape. Policy Brief. European Policy Centre. 21 November 2025. https://d1xp398qalq39s.cloudfront.net/uploads/ckeditor/2025/11/21/healthcybersecurity-policybrief-21112025.pdf
3. Federal Bureau of Investigation. Internet Crime Complaint Center. Internet Crime Report 2025. https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
4. Chen P-H, Desjardins B, Strassner B, Forghani R, et al. Protecting Radiology Data and Devices Against Cyber Security Threats: a Joint White Paper of the ACR and Society for Imaging Informatics and Medicine. J Am Coll Radiol 2025;22:1160-1172. (Open Access)