こんばんは。今日は医療機器のIoT化に関するセキュリティについて書いてみます。zdnetからの記事です。
こちらにはIoMTと書かれていますね。「IoMT」という表現は初めて聞きました。推測ですが、Internet of Medical Thingsの略なんでしょうね。医療機器ですし。
（ここからはIoMTと表現します）
さて、ここからが本題になります。IoMTですが、ネットワークに接続された機器がボット化して一斉に攻撃し始めるという懸念があることも理解出来ます。また、簡単にアクセスして乗っ取ることは困難だとも書かれています。
ここで問題になるのは、乗っ取られたIoMT機器がボット化して、外部に対して一斉に攻撃を仕掛けるということだけではなく、内部（院内）で使われているIoMT機器に直接攻撃を仕掛けてくることです。
たとえば、無線接続しているIoMT機器に対して、偽APを設置して悪意あるサーバに誘導するということも考えられます。無線接続しているノートPCやタブレットであれば、クライアント証明書をインストールすることで、正当なクライアントであることをサーバ側は認識出来ます。仮に偽APに誘導しようとしても、証明書での認証が出来ずに接続に失敗します。
しかし、一般的にIoT機器は非力です。過去に何度もありましたが、23/tcpポートが開いたままになっていて、telnetを使って遠隔操作されてしまう事例が報じられました。
sshだと通信経路が暗号化されるので、telnetよりも格段に安全なのですが、暗号化/復号するだけのリソースを割けないという問題があり、telnetにしているということなのだろうという推測が成り立ちます。
この点はIoMT機器も同じではないかと考えられます。当たり前ですが、医療機器としての確実かつ安定した動作が要求されます。その関係で、どうしてもセキュリティに回せるリソースが少なくなってしまうという問題があります。
このへんは院内全体の予算的な話でも同じことが言えます。医療機器を購入する場合に「医療機器として適切に動作すること」に予算が割かれます。セキュリティに関しては、「余った予算でなんとかしろ」という風になりがちではないでしょうか。
医療従事者としては、「医療そのものを確実に遂行する」ということが第一義にあることは十分理解出来ます。ただ、IT化の進展により、それに伴う情報セキュリティ対策という意識が働かない、もしくは実感が湧かないということなのだろうと思われます。
この記事にもありますように、医療機器本体のコストが莫大なものだった場合、制御するOSのサポートという点は矮小化されてしまいます。補償契約の問題で泣く泣く使い続けないといけないということも起こり得ます。場合によっては、ソフトウェアやハードウェアの更新が「改造扱い」とされ、法律違反になることも考えられます。
医療機関における高度IT化や、IoMTという概念が登場する前の法律が足枷になってしまっていることもあります。実態に即した形で対応出来るように法整備がなされれば、また変わってくるのかなとも思います。