【背景】昨年10月末、委託先である給食業者の保守回線用のVPN機器の脆弱性を悪用され、ランサムウェアに感染、完全復旧に2か月以上要した事例があった。 当院でも、同様の機器を導入しておりその脆弱性については随時対応してきていたが、様々な業者が各々リモート保守を行っており、業者導入の機器の脆弱性調査については行ってきていなかった。 【目的】当院での保守回線とVPN機器の脆弱性対応の状況を確認・対応を行うことで、サイバー攻撃からのリスク回避を図る。また、情報システム室で把握していない保守回線についても併せて確認する。 【方法】当院では、できるだけリモート保守の方法を統一するため、「インターネットVPN」でMACアドレス認証、利用者認証、特定サーバのみアクセス許可を行う方式を提供している。この方法で保守を行っている業者については、情報システム室で管理・対応を行っている。そこで、この方法以外でリモート保守を行っている業者と情報システム室管理外の把握できていないリモート保守を行っている業者の調査を行うことにした。 【結果】情報システム室で把握している調査対象業者が7社、各部門で独自接続が判明した業者が7社あった。そのうち、VPN機器の脆弱性確認行っていない業者が1社であった。この1社については、2023年3月にファームウェアアップデートを行ない、今後は3ヶ月に1度の割合で確認・対応することになった。 【考察】常にファームウェアの脆弱性情報は更新されるので、今後も注視していく必要がある。当院では、年に1回各システムベンダに対して、導入更新作業や保守管理、リモート接続、情報機器等の持ち出し、サーバ点検、マニュアル提示などについて必ず守って頂きたい内容をまとめたシステム厳守事項を送付し、承諾書を受け取っている。この中に、VPN機器の脆弱性に対する対応も追記しリスク回避を行うことにした。