ランサムウェア イベントとその医療への影響

Jeff Thomas 氏、Sentara Healthcare 社 CTO

Sentara Healthcare が最新のランサムウェア机上演習を実施したとき、幹部らは時計の音が鳴り始めるのを聞きました。評価だけでも 72 時間かかります。ダウンタイムのコンピューター (通常はフォールバック) は、封じ込めプロトコルの一環として電源がオフになりました。 CEO 評議会は、すべてのデジタル システムが停電した場合、医療システムはどのようにして臨床医を患者の治療に継続させるのかという問題に直面しました。

Sentara Healthcare の CTO である Jeff Thomas は、その答えに向けて取り組んでいます。 Sentara のソリューションは、隔離された回復環境 (IRE) であり、クラウドベースでエアギャップされた EHR のコピーで、約 2 時間でアクティブ化でき、臨床医に治療を提供し続けるのに十分な機能を提供します。この概念は、実稼働システムのほぼ同一のレプリカを維持するだけでなく、ランサムウェアが悪用できるネットワーク接続も複製する従来の災害復旧とは異なります。 IRE は、限定された範囲と完全な分離で動作します。

Thomas 氏は、HIMSS26 グローバル カンファレンスで、AWS のグローバル エピック リーダーである Matthew Dinger 氏とともにアーキテクチャと初期の結果を発表しました。Dinger 氏は、IRE が組織の最悪の日に通常の機能の約 67% を提供すると説明しました。

オンデマンドで拡大するシード

IRE の核心は脱水環境です。休止状態では、最小限のクラウド リソースを消費し、オンデマンドでコア臨床システムを再構築するために必要なすべてのアーキテクチャ コンポーネントを含むシードとして存在します。インシデント コマンド センターがアクティベーションを承認すると、自動化されたオーケストレーションによって環境が強化され、運用能力に合わせて拡張されます。 IRE に流入するデータは、一方向のパイプを通過します。継続的なミラーリングにより、臨床記録が目標復旧ポイントのゼロにできるだけ近く保たれますが、エアギャップ アーキテクチャにより、マルウェアの横方向の移動がバックアップに到達することが防止されます。この概念は、医療システムが何十年にもわたって依存してきたテープベースのバックアップ戦略からの根本的な脱却を表しています。これらのテープは存在していましたが、そこからリカバリするにはまず環境を立ち上げる必要があり、そのプロセスには 1 週間以上かかる可能性があり、運用システムがオンラインに戻るのをただ待つよりも費用がかかります。

「私たちはIREを環境を潤すものだと考えています」とトーマス氏は語った。 「将来的に構築やシードを開始し、イベントから回復するために必要なすべての要素が揃っています。」

完全に独立したコントロール プレーンがアクセスを管理し、最初に資格を取得したスタッフは少数で、イベントの展開に応じて追加のアクセスが許可されます。ゼロトラスト原則が設計全体を支えており、最小限の特権アクセスとマイクロセグメンテーションによるデータ フロー全体の制御が行われます。このアーキテクチャでは、アクティブ化時に除外される WebBLOB や Active Directory など、既知の攻撃ベクトルを表すコンポーネントも排除されます。悪意のある攻撃者は、これらのシステムを監視する目が少ないことを知って、まず従来の DR 環境をターゲットにし始めました。 IRE は、一方向の同期と運用ネットワークからの物理的な分離によってこの脆弱性を回避します。

iOS、プライベート 5G、そしてラスト マイル

臨床医が病院のフロアから IRE にアクセスできない場合、IRE をアクティブにしても問題の一部しか解決されません。ランサムウェア イベントが発生すると、病院内のネットワーク インフラストラクチャがほぼ確実に侵害され、従来のアクセス パスが使用できなくなります。 Sentara は、Windows ベースのエンドポイントよりも攻撃対象領域が小さい iOS デバイスをプライマリ アクセス ポイントとして選択しました。専用デバイスは Epic の Rover、Haiku、Canto モバイル アプリケーションを実行し、完全に管理され、ロックダウンされ、一般的な使用は禁止されています。 Sentara の臨床医はすでに、Mobile Heartbeat を通じて約 12,000 台の専用 iPhone を持ち歩き、同数の iPad を維持しており、そうでなければ方向感覚を著しく失うような経験でも、使い慣れたインターフェースを提供しています。

ラストマイル接続の問題を解決するために、Sentara は病院全体にすでに設置されている分散型アンテナ システムを引き継ぎ、ネットワーク ベンダーと提携してプライベート 5G 機能を追加しました。テスト中、チームは管理対象の iPad に eSIM をプッシュし、プライベート携帯電話ネットワークを通じて臨床アプリケーションを IRE に直接接続し、侵害された病院のインフラストラクチャを完全にバイパスしました。 Web ベースのアクセスはイベント後半には拡大しますが、依然としてモバイル デバイスが初日の優先事項です。 IRE が読み取り/書き込みモードでアクティブになると、臨床医はケアを直接文書化でき、イベントが終了すると、双方向同期によってその書き込まれた情報が本番 EHR にプッシュされ、事後に紙の記録を調整したり文書をスキャンしたりする必要がなくなります。

10 週間で構築、毎月テスト

Sentara は、構築を加速するためにパートナーの専門知識に大きく依存し、約 2 か月半で IRE を実装しました。このプロジェクトは、新しい機能やベンダー ソリューションが利用可能になるにつれて継続的に機能強化を行う反復開発モデルに従っています。小規模な臨床グループによる月次テストは 2026 年初めに始まり、完全なアクティベーションから回復までのライフサイクルを検証する完全な読み取り/書き込みゴールデン トランザクションが 5 月に予定されていました。 IRE は CEO 評議会のダッシュボードに設置されており、上級リーダーは臨床医がどれだけ早くアクセスを回復して文書化を再開できるかを追跡します。

IRE を検討している組織にとって、2 つの前提条件が重要です。レガシーインフラストラクチャは大きな障壁を生み出します。 AIX や HP-UX などのプラットフォームで実行されているシステムは、クラウドベースの回復力モデルにうまく変換できず、多大な技術的負債を抱えている組織にとって、その道はかなり困難になるでしょう。強力な FinOps 規律も同様に不可欠です。枯渇した IRE におけるクラウド コストは低いままですが、それはアクティブな管理が必要な場合に限られます。クラウド プロバイダーは顧客に代わってコストを監視しないため、管理されていない使用量は急速に拡大する可能性があります。

IRE アクティベーションの決定は、IT 部門ではなく、インシデント コマンド センターにあります。技術チームはプロセスを計画しリハーサルしますが、指示を出すのはインシデントの指揮官です。このガバナンス構造は、トーマス氏が IRE の特徴であると考えているものを強化します。つまり、IRE は一時的な橋渡しであり、組織が被害を評価し、完全な復旧に向けて取り組む間、臨床業務を維持する緊急機能です。まだクラウドで運用していない組織でも、クラウドベースの IRE を構築できます。レプリケーションはオンプレミスのデータセンターから機能します。 IRE は、高可用性システムや包括的な災害復旧計画に代わるものではありません。これらのシステムが侵害された場合に生き残るメカニズムを提供します。

テイク・イット・アウェイ

• 隔離された回復環境は、ランサムウェア イベント中に臨床業務を維持する一時的な橋渡しとなります。
• デハイドレートされたクラウド アーキテクチャにより、アクティブ化されるまで IRE コストが低く抑えられます。アクティブ化されると、自動化されたオーケストレーションによって環境が約 2 時間で運用能力まで拡張されます。
• iOS デバイスは、Windows エンドポイントよりも攻撃対象領域が小さく、イベント中の主要な臨床医のアクセス チャネルとして機能します。
• プライベート 5G ネットワークと管理対象 iPad への eSIM の導入により、病院のネットワークが侵害された場合のラストマイル接続の問題が解決されます。
• クラウド プロバイダーは顧客に代わって支出を管理しないため、強力な FinOps プラクティスが不可欠です。

トーマス氏にとって、IRE の価値は、医療システムのリーダーに、最悪のシナリオでも臨床ケアを継続できるという自信を与えることに尽きると考えています。 「これはまさに救命ボートと呼ばれるものです」と彼は言いました。 「それはギャップを埋めるのに役立ちます。」