こんにちは。mrnkです。
本記事は、AWS Summit Japan 2022 のセッション「医療業界に求められるセキュリティ対策と AWS が提供するソリューション」のレポート記事です。

セッション概要

タイトル

医療業界に求められるセキュリティ対策と AWS が提供するソリューション(AWS-18)

スピーカー

AWS パブリックセクター技術統括本部 シニアソリューションアーキテクト
岡本 真樹 氏

概要

医療分野でのクラウド活用の領域は日々拡がってきています。個人情報も扱うこの業界においては、医療情報に対する各種ガイドラインに沿ったセキュリティ対策を実施することが非常に重要です。このセッションでは、ガイドラインに沿ったセキュリティ対策の検討の考え方と、特に昨今重要となるランサムウェアリカバリや、脅威検出の対策について関連する AWS のサービスとともにご紹介します。

レポート

セッション内容

• 医療情報システムに対するガイドラインに沿ったセキュリティ管理を AWS サービスを⽤いて実現する考え⽅を学ぶ
• リスクベースの対応としてランサムウェアに対するバックアップ対策と、様々な脅威をモニタリングから検知する⽅策についての関連サービスと技術を習得する
• 省庁のガイドラインの中⾝そのものの詳細な説明はしません

セッション対象者

• 医療情報システムのクラウド移⾏を検討している IT 部⾨のご担当者、事業者
• クラウド上の医療情報システムのセキュリティ運⽤管理を担当する⽅

セッションアジェンダ

• 医療業界のクラウド活⽤とガイドラインへの対応
• セキュリティのリスクに対応するためには
  • ランサムウェア対策としてのバックアップ
  • 脅威を継続的に検知するモニタリング

医療業界のクラウド活⽤とガイドラインへの対応

前半は、医療情報システムのガイドラインに対する対応や、クラウドとしての責任共有モデル
また、ガイドラインに沿ったセキュリティ対策を考える上で重要なことや、
AWS Trusted Advisorについてのお話です。

AWSと医療分野の関わり – 患者を中心に

• 医療業界において、電子カルテやオンライン診療が開始されたようにIT化を促進してきた
  →IT促進化の中で、常に患者が中心にいることが、本業界の重要ポイント
• AWSも患者の情報を安全に取り扱うことを意識し、インフラサービス、セキュリティソリューションの
  提供している
• このような状況下で、多くの医療関連事業者(病院や、ヘルスケア関連サービス事業者含む)が
  クラウドの活用を始めている

医療情報の取り扱い

• 医療現場の情報システムにおいて、大切な要件とは、「患者に関する情報としての医療情報をいかに安全に扱うか」
• 医療情報は、個人情報保護法における要配慮個人情報に該当
  →本情報の扱いは、オンプレミス/クラウド問わず、一定の要件を満たす必要がある
• 医療情報システムに対では、厚生労働省、総務省、経済産業省の3つの省から2つのガイドラインが
  定められている
• ガイドラインは、患者・医療機関・情報システム/サービス提供者の3つが主体
• 厚生労働省は、医療機関と情報システムに関わる全ての関係者が遵守すべき、安全管理の要求事項を定めたガイドラインを策定
• 総務省・経済産業省は、システムに近い部分での情報システムサービスの提供者が
  対応すべきガイドラインを策定

では、クラウドプロバイダーは？という疑問があると思いますが、
位置付けとしては、「情報システムのインフラとしての外部調達先」にあたるため、
ガイドラインに沿って要求事項を満たす必要があります。

医療システムにおける責任共有モデル

• クラウドに関しては、責任共有モデルをもとに考える必要がある
• 責任共有モデルでは、お客様とAWSとの間で、セキュリティとコンプライアンスへの対応を共有している

AWS利用者はこれらの情報をもとに、ガイドラインの要求事項への対応を
確認・実装していくことが重要なポイントです。

医療情報システム向けAWSリファレンス

• ガイド欄に沿ったシステムの構築・運用を進めるために、まず確認すべきは「医療情報システム向けのAWS利用リファレンス」
  医療情報システム向け AWS 利⽤リファレンス
• 本リファレンスを活用することで、3省2ガイドラインで求める個々の要求事項やリスクに対する対処として
  AWS側の管理がどう実施されているのか、医療情報システムとしてどのような対処が求められるのかを把握することができる

5つの機能をもとにしたセキュリティ対策の基盤

• 実装するセキュリティ機能の選択において、セキュリティを5つの機能としてみる視点も求められる
• 5つの機能とは、「識別」「防御」「検知」「対応」「復旧」のこと
• これらの機能を組み合わせて、重要な医療情報を守るセキュリティ設計を考える

リスクへの対応は「防御」の機能について検討することが多かったため、
「検知」や「対応」や「復旧」も検討する視点は大切だと実感しました。

まず見ていただきたい – AWS Trusted Advisor

• 課題
  クラウド上のシステムの状況がセキュリティ対策として有効に機能しているか、心配になったり即座に確認したい！という場合
• 解決ソリューション
  AWS Trusted Advisorの活用が有効！
• AWS Trusted Advisor
  • AWSの環境をベストプラクティスに基づき判定し、推奨の設定をレコメンドしてくれる
  • 例えば、セキュリティでは、IAMのパスワードポリシーの設定状況、Amazon S3のバケットの許可の状況について、GUIで分かりやすく表示してくれる
  • 管理者にレポートを定期的に送ることも可能

AWS Trusted Advisor

まず何を始めたらいいか悩んだ場合は、
現状の確認をAWS Trusted Advisorからスタートしてみてはいかがでしょうか。

セキュリティのリスクに対応するには

後半は、ランサムウェア対策としての「バックアップ」と
脅威を継続的に検知する「モニタリング」についてのお話です。

バックアップの重要性

• 厚生労働省のガイドラインには、医療情報の「見読静」「保存性」の確保という視点で、
  バックアップの重要性が触れられている
• 現在ではランサムウェアによるデータ破壊・暗号化も意識すべき重要な課題になっている

医療情報に対するガイドラインの改定の中でも、昨今のランサムウェアの被害拡大を鑑みて、
「ランサムウェアの被害がバックアップデータまで拡大しないような対策」という点まで
触れる可能性が示されている、とのことで、ランサムウェア対策を見据えたバックアップの戦略が、
今後セキュリティ対策を考える上では重要になります。

ランサムウェア対策

• 対策としては、「防御」として日頃のシステムのパッチ適用や、
  「検知」として感染を素早く気づける仕組み・体制が重要
• 「防御」に加え、病院業務におけるデータが使えない状況からの迅速な業務再開を目指すため、
  レジリエンスに軸足を置き、「復旧」のための準備をしておくことが重要

ランサムウェア”復旧”のポイント

ランサムウェアからの「復旧」に求められる技術的な要件は3つあります。

１．イミュータブル（不変）

• バックアップデータが作成後に変更されない状況を作り出す
• ランサムウェアに感染しても、復旧に活用できる以前の完全なデータを保持することは、業務再開のための命綱になる

２．分離（復旧の準備）

• ネットワークの構成を含め、インフラやアプリケーションを復旧するための手段を用意する
• クラウドの場合、感染が確認された環境を分離し、新たに複製サイトを再構築して素早い復旧を目指すことが可能

3．インテリジェンス（分析機能）

• 分析機能として、データの破壊や兆候・状況に築く仕組み
• 復旧の過程において、感染する前の安全なデータであることの確証をもって作業を実施することが重要

それぞれに対応する仕組みや関連するサービスを活用することがAWSでは可能です。
1番重要なイミュータブル(データを変わらなく維持するための方法)を以下でご紹介します。

オンプレミスからのバックアップ

オンプレミスからのバックアップ用途としては、コストと機能面から、Amazon S3が最適のソリューション。
Amazon S3にはイミュータブル(不変)なデータの保存行うために活用できる機能があります。

Amazon S3 Object Lock

• 本機能を適用すると、指定した保持期間においてオブジェクトが削除または上書きされることを防止することが可能
• Write Once Read Many（いわゆるWORM）モデルの状態をつくる
• 2つのモードがある
  • 特別なアクセス許可を持たない限り、オブジェクトの上書・削除やロックの変更ができない
    ガバナンスモード
  • Rootを含めた全ユーザーが変更を行えないコンプライアンスモード

S3 オブジェクトロックの使用

クラウド上でのバックアップ

既にAWSを利用している場合はAWS Backupが最適のソリューション。
AWS Backupにも、バックアップデータをイミュータブルにする機能があります。

AWS Backup Vault Lock

• ボールトロックのボールトは、貴重品保管庫や金庫といった意味合いをもつ
• この機能もAmazon S3 Object Lockと同様に、WORM設定を適用できる

AWS Backup のボールトロック

Amazon S3 も AWS Backupもイミュータブルなデータ保存が可能な機能があります。
バックアップの保全を考えると、ぜひどちらも活用したいサービスですね。

AWS ランサムウェア リカバリソリューション

Amazon S3を利用してより高度な実装パターンを紹介します。

• 事例
  ランサムウェアの被害の回復に向けて、データの検証を取り込んだプロセス
  4つのアカウントを活用し、データへのアクセス権、認証の分離を行うことにより、データの保護を行う
• 保護対象
  オンプレミスのデータセンター
• 構成
  AWSアカウントのステージングアカウントがオンプレミス側からのデータのコピーを
  最初に受け取る場所と想定
  ステージングアカウントから、Amazon S3 Object Lock機能を使用したボールトアカウントに
  定期にコピーを作成する
  • ボールトアカウントは完全に分離されており、ステージングアカウントからのみデータを受け取る
  • オンプレミスシステムからはデータを直接プッシュできない
    →これにより、オンプレミスシステムはランサムウェアによる直接の被害を受けない、
    隔離されたデータ保管の場所となる
• データ復旧のプロセス
  • ボールトフォレンジックアカウント（フォレンジックはデータの検証の意味)にデータをコピーし、
    保管されているデータがクリーンで、マルウェアの影響を受けていないかの検証を
    Amaozn EC2やAWS Lambdaを活用して実施する
  • フォレンジックが完了後はそのデータを消去し、ボールトアカウント上のクリーンなデータをリカバリ用に活用していく
    →どのデータコピーがクリーンかを把握することが重要
  • リカバリアカウントに読みだした確認済みのクリーンなデータをオンプレミスもしくはその他クラウドの場所に提供し、
    データの復旧に活用していく

このように、Amazon S3 Obfect Lockを利用し、アカウントを分離しデータの保護を行う、
復旧前にデータの安全性を確認し、復旧プロセスに入ることが、
ランサムウェアのリカバリを実現する環境のポイントです。

モニタリングの重要性

経済産業省のガイドラインにあるように、「業務上通信する必要のないIPアドレスやTCP/UDPポートにより
ネットワークを経由した攻撃を受ける」というリスクに対して、クラウド上でも対策を検討することが必要です。

• 医療情報のシステムが、通常はインターネット経由での接続を行わない環境であっても、
  パッチの適用や保守管理者のアクセスなどで外部との通信が発生することからリスクにつながる恐れがある
• 今後、医療情報システムも適切な対策をもとに、外部の医療機関やヘルスケアのベンダーと相互に接続する機会も想定される
  →脅威を継続的に検知する仕組みは非常に重要

AWSログ保管・モニタリングの基本

AWS上でシステムを構築する場合はログを管理し、モニタリングするためのさまざまなサービス機能が提供されています。

• AWS Cloud Watch：メトリクスの収集と追跡、ログのモニタリングと保存、アラームやダッシュボードの設定
• AWS CloudTrail：アカウントのAPIコールを記録
• AWS Config：リソースの設定変更を継続的に記録
• VPCフローログ：ネットワークトラフィックのログ記録

これらの機能を活用することで、システムのパフォーマンスやシステムの状態を詳細に把握することが可能ですが、
先ほどのリスクに対応するためには、セキュリティの視点で状況を監視・可視化する機能が必要になります。

変化する環境に対して脅威を検知するには

変化する環境へのモニタリングはAmazon GuardDutyが有効です。

Amazon GuardDuty

• 脅威インテリジェンスを取り込み、継続的な監視を行い、AWSのアカウントやリソースを保護することに役立つ
• 設定は非常にシンプルで、ワンクリックで有効化が可能
• 既知の脅威と未知の脅威をそれぞれ検出できる仕組みを兼ね備えていることがポイント

Amazon GuardDuty

更なる調査のために – 情報の集約と分析

様々なデータソースの集約には、AWS Security Hubが有効です。

• AWS Security Hub
  他のデータソースからの検出結果も含めて情報を集約
• 一元的に可視化して組織のセキュリティリスクを評価できる

AWS Security Hub

より深い調査を行いたい場合は、Amazon Detectiveが有効です。

Amazon Detective

• 正しい検出かどうかの、検出結果の分析
• インシデントの影響範囲の特定
• 障害痕跡の調査

Amazon Detectiveは、GUIベースで操作が可能なため、検出結果の詳細な分析が行えます。
原因特定の手助けになるサービスなので、ぜひ活用したいサービスです。

Amazon Detective

セキュリティアカウントによる集中管理

• 大規模な医療機関の場合、クラウドの活用が進むと複数のシステムを持ち、
  それらの開発・試験環境をもつような環境に発展する
  →AWS Organizationsによりマルチアカウントとして、適切にアカウントの分離を実施することが
  AWSのベストプラクティス
• セキュリティの観点でも、各部局の本番システムを分離することで、アクセス件をシステムごとに適切に管理することや、障害やセキュリティインシデントの影響範囲を限定していく効果がある
• セキュリティ管理は分離ではなく統合を行う
  • セキュリティのモニタリングは専用のセキュリティアカウントを作成し、
    各システムをもつメンバーアカウントからの情報を集約していく
    →セキュリティ管理者が医療機関全体の状況を一元的に把握し、適切な対応につなげることが可能

まとめ

• 医療業界のクラウド活⽤と医療情報ガイドラインへの対応
  • 責任共有モデルをもとにお客様のシステム側のセキュリティ対策を⾃ら実施
  • 医療情報ガイドラインへの対策の AWS 利⽤リファレンスをパートナーが提供
  • 5 つの機能をもとにセキュリティ対策の設計をすることも⼤切
• セキュリティのリスクに対応するためには
  • ランサムウェア対策としてのバックアップ
    → Amazon S3 Object Lock / AWS Backup Vault Lock の活⽤
  • 脅威を継続的に検知するモニタリング
    → Amazon GuardDuty の活⽤

感想

医療業界にフォーカスされたセッションでしたが、セキュリティコンプライアンスを求められる昨今において
業界問わず、どのシステムにも適用が可能な考え方やAWSサービスを学ぶことができたセッションです。

中でも、セキュリティは「防御」に焦点を当てがちですが、その後の「対応」「復旧」も視野に入れた設計を行う重要性を学ぶことができました。

今回紹介したサービス以外にも、AWSにはセキュリティサービスが沢山ありますので、
どんどん活用していきたいと思いました。