解決金10億円の公表を手掛かりに、委託先を含むサプライチェーンリスクと、サイバー被害で生じる損害を解説します。

2022年10月、大阪急性期・総合医療センターはランサムウェアによるサイバー攻撃を受け、電子カルテを含む総合情報システムが利用できない状態となりました。救急診療、外来診療、予定手術などに大きな支障が生じ、診療機能の完全復旧までには長期間を要しました。

公表された調査報告書では、院外の委託先を経由した侵入や、認証情報・権限管理に関する課題が被害拡大の背景として示されています。サイバー攻撃は、自社・自組織のシステムだけを守ればよいものではありません。委託先や取引先との接続、共有するID・パスワード、管理権限の範囲まで含めて備える必要があります。

和解金10億円の位置づけ

大阪府立病院機構は、2022年に発生したシステム障害に関して、和解金10億円を臨時利益として計上しています。

ここで注意したいのは、「和解」と「裁判所が損害賠償責任を最終判断した判決」は同じではないことです。和解は、関係者が紛争の解決に合意する手続きです。公表資料から確認できる範囲では、詳細な和解条件や責任分担の全てが公開されているわけではありません。

そのため、この事案を読む際は「誰にどの程度の法的責任があると確定したのか」と断定するのではなく、システム障害により生じた損害について、関係する民間事業者との間で解決金を伴う合意に至った事案として捉えることが重要です。

サイバー被害で発生する損害は、復旧費用だけではない

ランサムウェア被害では、機器の復旧費用や調査費用だけでなく、事業・診療の制限による収入減、取引先や利用者への連絡、原因調査、再発防止策の実施など、多くの負担が連鎖します。

特に医療機関では、システム停止が診療の継続や患者の安全に直結します。一般企業でも、受発注、請求、顧客対応、製造、物流などが止まれば、売上や取引先との関係に影響が広がります。

外部事業者が利用する機器や接続経路を一覧にし、不要な接続を残さないことが重要です。

共通アカウントや過剰な管理者権限は、侵入後の被害を大きくします。個人ごとのアカウントと多要素認証を基本にします。

バックアップだけでなく、連絡先、紙での代替手順、復旧判断を誰が担うかまで準備しておく必要があります。

サイバーリスクへの備えは、機器やソフトを導入して終わりではありません。委託先を含めた運用、権限管理、そして被害時の初動対応を、日頃から確認することが大切です。

※本記事は公表資料に基づく一般的な解説です。和解内容や法的責任についての個別判断を示すものではありません。

26/10/14

執筆者：