はじめに
近年、医療機関を狙ったランサムウェア等によるサイバー攻撃が急増しており、数ヶ月にわたって電子カルテが使用不能になる深刻な被害が相次いでいます。
そんな中、2026年4月に発生した市立奈良病院のサイバー攻撃疑い事案は、被害を最小限に食い止め、数日で通常診療を再開させるという「インシデント対応の理想形」とも言える結果を残しました。
本記事では、このニュースを「ITインフラの運用監視」および「インシデントレスポンス（IR）」の観点から紐解き、我々エンジニアやシステム管理者が自社のシステム運用に活かせる教訓をまとめます。
事案の概要
報道（2026年4月24日付）から読み取れる、時系列と対応の概要は以下の通りです。
| 項目 | 内容 |
|---|---|
| 発生日時 | 4月21日 深夜 |
| 検知 | ネットワーク監視装置が異常な通信を検知 |
| 初動対応 | 関係するサーバをネットワークから物理的に切り離して調査 |
| 被害状況 | 電子カルテ・眼科・生理検査の3システムがダメージを受けるも、個人情報の漏えい、データ破損、ウイルス感染（他システムへの蔓延）は確認されず |
| 業務継続 | 処方や処置は「手書き運用と二重チェック体制」でしのぐ |
| 復旧 | 24日午前8時30分から、段階的にシステムを復旧させながら通常診療を再開 |
なぜ「大惨事」を防げたのか？（技術的・運用的視点）
この事例が「ファインプレー」である理由は、以下の3つの運用体制が完璧に機能していた点にあります。
1. 深夜帯における異常通信の検知（監視体制の確立）
攻撃の多くは、システム管理者が手薄になる「深夜・休日」を狙って行われます。
本件でも21日の深夜に異常通信が発生していますが、ネットワーク監視装置がこれを即座に検知しました。24時間365日の監視体制（あるいは自動発報の仕組み）が正しく機能していなければ、翌朝の始業時に「システムが動かない」という最悪の形で発覚していたはずです。
2. 即座の「物理的切り離し」（ラテラルムーブメントの阻止）
ランサムウェアなどのマルウェアは、システムの一部に侵入した後、内部ネットワークを横滑り（ラテラルムーブメント）してADサーバやバックアップデータを次々に暗号化します。
アラート検知後、**「関係するサーバをネットワークから物理的に切り離す」**という判断が迅速に行われたことで、被害が3つのシステムに局所化されました。
3. 「システムを止める」決断を支えたBCP（事業継続計画）
ITエンジニアにとって、稼働中の本番システム（特に病院の電子カルテ）のネットワークを遮断することは非常に勇気がいります。
しかし、システム停止中に**「手書き運用と二重チェック体制」へ切り替えるBCPが現場レベルで想定されていた**からこそ、運用側もためらわずに「物理的な遮断（＝システムの意図的な停止）」を決断できたと推測できます。
エンジニアが持ち帰るべき3つの教訓
この事例を踏まえ、我々が自身の管理するシステムで実践すべきポイントをまとめました。
💡 1. 「侵害前提（Assume Breach）」の監視設計
「境界防御で侵入を100%防ぐ」ことは不可能です。侵入されることを前提とし、MTTD（平均検知時間）をいかに短縮するかにフォーカスした監視設計が必要です。
- EDR（Endpoint Detection and Response）やNDR（Network Detection and Response）の導入
- 平常時のトラフィックのベースライン化と、異常値（C&Cサーバへの通信や大量のデータ転送など）のアラート設定
💡 2. インシデント対応プロセスと「権限委譲」
夜間にアラートが鳴った際、「誰の許可を取ればネットワークを遮断してよいか」が曖昧だと、確認待ちの数十分〜数時間の間に被害が拡大します。
- 「特定の深刻度のアラートが出た場合、現場の判断（または自動）でネットワークを遮断してよい」というポリシーの策定と権限委譲が不可欠です。
💡 3. 「アナログ・フォールバック」のテスト
システムがダウンした際、業務部門がどう動くか（事業継続）はIT部門だけの問題ではありません。
- システムが完全に使えなくなった状態を想定し、手作業での運用切り替え訓練を行う。
- ビジネス側（現場）との日頃からのコミュニケーションと、BCPの共同策定。
おわりに
市立奈良病院の事例は、「優れたセキュリティ製品を導入していること」以上に、「それを運用し、有事に迅速な判断を下せる体制が整っていること」の価値を証明してくれました。
日々の地道な運用監視と、インシデントを想定した準備がいかに重要か。現場のIT担当者、そして混乱の中で手書き運用を遂行した医療スタッフの方々の対応は、全てのシステム運用者が目標とすべき事なのかも知れません。