「安全」は状態ではない：ランサムウェア時代に必要なステータス設計

「信ステータス」という短い表示を見たとき、私たちは何を確認しているのだろうか。安全か、危険か。正常か、異常か。それとも、誰かが現在の状況を把握し、次に何をすべきか判断できる状態か。

医療機関のランサムウェア被害を考えるとき、最後の問いが最も重要になる。画像管理サーバーにウイルス対策ソフトが設定されていなかった。保守用のネットワーク機器がインターネット経由で接続できる状態だった。診療記録を含むPDFの一部が暗号化された。こうした事実は、単なる設定ミスの一覧ではない。組織が自分のシステムをどの程度見えているものとして扱い、どの時点で危険を危険として認識できるかを示している。

ここから導ける核心は明快だ。セキュリティとは、侵入を完全に防ぐ能力ではなく、システムの状態を正確に知り、状態の変化に応答する能力である。

「守られている」と「状態がわかる」は別のもの

セキュリティ対策は、しばしば機器やソフトウェアの有無で語られる。ウイルス対策ソフトが入っているか。ファイアウォールがあるか。バックアップがあるか。多要素認証が有効か。これらは重要だが、どれも「現在、安全である」という結論そのものではない。

たとえば、病院の建物に鍵が十個付いていても、裏口の一つが常時開いていれば防御は完成しない。さらに、その裏口の存在を誰も把握していなければ、鍵の数を増やすことは安心感を増やすだけになる。画像管理サーバーに対策ソフトが設定されていなかったこと、保守用ネットワーク機器へインターネットから接続できたことは、まさにこの問題を示している。

重要なのは、個々の弱点が存在したことだけではない。弱点が「例外」として管理されていなかったことである。対策ソフトが未設定なら、なぜ未設定なのか、誰が承認したのか、いつまでに是正するのかが記録されていなければならない。外部からの保守接続が必要なら、接続元の制限、時間帯、認証方法、ログの監視が必要になる。例外は、放置された瞬間に通常状態へ変わる。

ここで「信ステータス」という表示が持つ意味が浮かび上がる。状態表示は、単なるラベルではない。それは、組織が現実をどれほど細かく区別できるかを表すインターフェースだ。「正常」と表示されていても、何が正常なのかが不明なら、そこには判断材料がない。「接続中」も同じである。誰が、どこから、何の目的で接続しているのかが見えなければ、接続状態は安全性を保証しない。

見える状態と、意味のある状態は違う。

インシデントは突然起きるのではなく、状態遷移として起きる

ランサムウェア被害は、しばしば「ある日、攻撃を受けた」という一回の出来事として報じられる。しかし実際には、システムは複数の状態を経ている。

最初に、対策ソフトがない状態が存在する。次に、外部から到達可能な保守経路が存在する。その経路を通じて不審な活動が起きる。異常が検知されない、または検知されても判断されない。その後、ファイルの暗号化が始まり、診療記録の可用性が失われる。さらに、復旧、患者対応、原因調査、情報公開という別の状態へ移る。

この過程を、信号機にたとえてみよう。多くの組織は「赤になったか」だけを監視する。だが、実際の事故を防ぐには、青信号の点灯時間が異常に長くないか、黄色への切り替えが機能しているか、信号機の電源や制御装置が誰から操作できるかまで確認しなければならない。

サイバーセキュリティで言えば、暗号化が始まった時点は、すでに最終段階に近い。そこへ至る前には、認証の失敗、通常と異なる接続、管理者権限の利用、大量のファイル変更など、状態変化の兆候があった可能性がある。防御を「侵入前」と「侵入後」に分けるだけでは不十分で、状態が変わるたびに、誰がそれを知り、どの判断をするのかを設計しなければならない。

この観点では、セキュリティの成熟度を次の四段階で考えられる。

1. 存在を知る: どのサーバー、経路、アカウントがあるかを把握する。
2. 状態を知る: それらが現在どう設定され、誰に利用されているかを確認する。
3. 変化を知る: いつ、何が、どの程度変化したかを検出する。
4. 変化に応答する: 変化の重要度に応じて、自動または人間が行動する。

多くの対策は第一段階か第二段階で止まる。資産台帳はあるが、更新されていない。ログは保存されているが、見られていない。バックアップはあるが、復元できるか試していない。そこでは情報が存在していても、判断に変換されていない。

「身代金を要求されていない」は安全の証拠ではない

被害後の状況にも、状態と意味を混同しやすい落とし穴がある。3月4日時点で病院に身代金の要求や交渉の申し入れがなく、支払いにも交渉にも応じない方針だったとしても、それは被害が軽いことや、攻撃者が存在しないことを意味しない。

攻撃者がまだ要求を出していないだけかもしれない。暗号化されたデータが一部にとどまっているだけかもしれない。あるいは、情報の窃取と公開を別の段階で行う計画かもしれない。観測されていない状態は、無害な状態ではない。

この区別は、医療現場では特に重い。診療記録は、企業の一般的な文書とは異なる。患者の継続診療、服薬、検査結果、紹介状、法的な記録性に関係する。ファイルが暗号化された時点で、情報漏えいが確認されていなくても、可用性の喪失という重大なリスクが発生している。

ここで必要なのは、二値判定ではなく、複数の軸によるステータス設計である。たとえば次のように分けることができる。

「被害なし」という一つの表示では、これらの違いが消えてしまう。診療記録が漏えいしていないとしても利用できなければ問題であり、利用できても改変されていれば問題であり、どちらも確認できなければ、まず不確実性そのものをリスクとして扱う必要がある。

セキュリティにおける最も危険な表示は、「問題なし」ではない。根拠のない「問題なし」である。

良いステータスは、責任と行動を含んでいる

状態表示を改善するだけでは、ダッシュボードが増えるだけで終わる。優れたステータスには三つの要素がある。事実、解釈、次の行動である。

たとえば「保守接続: 有効」という表示は事実を伝えるが、判断には不十分だ。より実用的な表示は、「保守接続: 有効。接続元は登録外。直近の利用は深夜。担当者による確認が必要」となる。ここには観測、危険度の解釈、行動の提案が含まれている。

同じように、「画像管理サーバー: 対策ソフト未設定」だけでは不完全である。「未設定。医療画像処理との互換性を理由に例外承認済み。代替監視は未実施。期限を過ぎているため、隔離または補完対策を決定する」と記録されていれば、初めて組織はその弱点を管理できる。

この考え方を、ステータスの四点セットとして運用できる。

1. 現在地: 何が起きているか。
2. 確信度: どこまで確認できているか。
3. 影響範囲: 何が使えず、誰に影響するか。
4. 次の期限: いつまでに誰が何を決めるか。

特に重要なのは確信度である。「暗号化されたPDFは一部」とわかっていても、全サーバーを調査できていないなら、その不確実性を明示するべきだ。確信度を表示しない報告は、確定情報と推測を同じ色で塗りつぶす。

また、責任者の名前と期限がないステータスは、情報に見えるが実際には通知にすぎない。「対応中」は誰も反対しない便利な言葉だが、対応の内容も期限も不明である。状況を動かすには、「隔離の判断者」「復旧テストの担当者」「患者や職員への連絡基準」を明記しなければならない。

今日からできる「状態を守る」設計

大規模なセキュリティ投資を待たなくても、状態管理の質は改善できる。重要なのは、対策を増やすことより、例外と変化を放置しない仕組みを作ることだ。

1. すべての接続経路を地図にする

インターネットから直接、または間接的に到達できる機器を洗い出す。保守用機器、遠隔操作装置、古いサーバー、管理画面など、通常業務で意識されない経路を含める。経路ごとに、接続元、認証方式、利用時間、ログの保管場所、停止判断の責任者を記録する。

2. 「対策なし」を例外として期限管理する

ウイルス対策ソフトを入れられない機器があるなら、理由を書いて終わりにしない。ネットワーク分離、アプリケーション制御、ファイル変更監視、通信制限など、代替策を明示する。そして例外の有効期限を設ける。期限のない例外は、実質的に恒久設定である。

3. バックアップを「存在」ではなく「復元」で評価する

バックアップがあることと、診療を再開できることは同じではない。攻撃者がバックアップまで暗号化できないか、復元先は確保されているか、必要なPDFを実際に開けるかを定期的に試す。復旧時間と、失っても許容できるデータ量を具体的に決める。

4. 「要求がない」ことも一つの不確実性として記録する

身代金要求がない、情報公開が確認されていない、追加被害が見つかっていない。これらは安心材料になり得るが、結論ではない。確認できた範囲、確認できていない範囲、次に調べる時刻を分けて報告する。

5. 現場が理解できる言葉でステータスを作る

「重大度2」「異常なし」といった抽象語だけでは、医療現場の判断につながらない。「この端末では記録を閲覧できる」「この経路は停止中」「紙運用へ切り替える」「患者対応への影響は未確認」といった業務上の意味に翻訳する。セキュリティの表示は、技術者だけでなく、医師、看護師、事務職員、経営者が読めなければならない。

Key Takeaways

1. 安全を二値で判定しない。機密性、完全性、可用性、到達可能性、復旧可能性を分けて確認する。
2. 未設定や未確認を例外として管理する。理由、代替策、責任者、期限がない例外は放置と同じである。
3. 「要求がない」と「被害がない」を混同しない。観測されていない状態には、必ず確信度を添える。
4. ステータスに次の行動を埋め込む。現在地だけでなく、影響範囲、担当者、期限まで表示する。
5. 復旧を実演する。バックアップの有無ではなく、実際に診療に必要な情報を復元できるかで評価する。

ランサムウェア対策という言葉を聞くと、私たちは強固な壁を想像する。しかし、現実の組織に必要なのは壁だけではない。壁のどこに穴があり、誰が通り、内部で何が起き、どの時点で業務が止まり、どう戻れるのかを共有するための、精度の高い状態認識である。

最初に戻ろう。「信ステータス」とは何か。それはおそらく、信頼できる状態を一言で示すための表示なのだろう。だが、本当に信頼できるステータスとは、安心させる表示ではない。何がわかっていて、何がわからず、次に何をするのかを隠さず示す表示である。

安全とは、危険が存在しないことではない。危険の存在と変化を、組織が見失わずに扱えることである。守るべきなのは、無傷という幻想ではない。状況を正しく知り、正しく伝え、正しく動ける能力なのだ。