ボストン・サイエンティフィックのサイバー攻撃、国内受注・出荷は再開。復旧の範囲と確認点

まず初めに

「復旧しました」は、便利な見出しだ。だが、それだけでは出荷の再開なのか、個々の注文が届いたのか、監視への接続が戻ったのかが分からない。IT Postでは、大きな完了の札を一枚貼るより、機能と日付を分けるほうが読者の確認に役立つと考える。看板は立派でも、納品書の代わりにはならない。※個人の感想です

何が起きたのか

ボストン・サイエンティフィックは、8月25日に一部のITシステムに影響するサイバーセキュリティ事案を検知したと、翌26日に公表しました。ネットワーク障害によって、一部の業務システムやアプリケーションへのアクセス、顧客注文の処理・出荷に支障が生じました。その後の公式発表では製造への影響も説明されています。

一方、8月30日の発表では、EDI（企業間の電子的な取引データ交換）や地域のアプリケーションを通じた注文受付は続け、後日の処理待ちに入れていると説明していました。注文を受け付けることと、製品を出荷できることは別の工程です。

出荷業務の復旧と、個別の納期

9月9日の公式発表は、製造・注文履行・出荷の業務が完全復旧し、物流網で通常水準以上の製品が流れていると説明しています。同時に、障害前から保留されていた注文と障害中に受け付けた注文を処理しており、一部顧客には一時的な遅延が続く可能性があるとしています。

ここでの「完全復旧」は、同社が挙げた製造・注文履行・出荷業務の稼働についての9月9日時点の説明です。すべての注文が配送済みであることや、個々の製品の納期を示す発表ではありません。同日の発表では、業務アプリケーションの復元も進めており、利用可能になった際に対象者へ直接通知すると説明しています。

9月9日の米国本社の復旧発表と、日本の受注・出荷制限の解除日は異なります。日本法人の案内は下で分けて整理します。医療機関や取引先が必要とする製品別・注文別の納期は、通常の営業担当者や取引窓口で確認する事項です。

受注残じゅちゅうざんは、受け付けたものの、まだ出荷や納品が完了していない注文です。処理能力が通常水準へ戻ることと、停止中に積み上がった注文がすべて届くことは別です。9月5日の発表も受注残の削減を課題に挙げていました。ここでは件数や解消日数を推計していません。

機器の動作、既存の遠隔監視、新規接続への影響

心臓デバイスについては、体内に植え込まれた機器の動作と、その情報を医療機関へ送る遠隔監視の接続を分けて理解する必要があります。9月8日付の公式案内は、次のように説明しています。

確認する対象	公式案内の説明
植込み機器の動作と、プログラマーによる機器との通信	今回のネットワーク障害による影響はありませんでした。
障害前から遠隔監視に登録されていた心臓デバイスの監視能力	今回のネットワーク障害による影響はありませんでした。
心臓デバイスのコミュニケータや植込み型心臓モニタ（ICM）の新規遠隔監視の接続	障害による影響がありましたが、9月8日に接続能力の復旧と再開可能であることが発表されました。

この説明は同社の公式案内に基づくもので、IT Postが機器の動作や患者ごとの接続状況を独自に試験したものではありません。米国向けの公式資料には医療従事者向けの接続手順がありますが、日本での設定や個別の治療予定については、担当医療機関と地域の公式案内を確認してください。

発生から復旧発表までの時系列

以下は米国本社の発表と日本法人の案内を分けた時系列です。米国本社の日付は各資料の現地日付です。

日付	発表された内容
8月25日検知・8月26日公表	一部ITシステムの障害と、注文処理・出荷への影響を公表しました。当時の完全復旧時期は不明でした。
8月30日	EDIや地域アプリケーションで注文受付を続け、一部製品の出荷機能の回復を目指していると説明しました。
9月3日	主要物流拠点で大半の製品の出荷能力を回復させ始めたと説明しました。受注残の処理には時間がかかるとしていました。
9月5日	主要物流拠点の処理・出荷が通常水準以上に回復し、全滅菌施設が稼働、大半の製造施設が再開したと説明しました。受注残の削減や残る製造能力の復元は継続していました。
9月8日	心臓デバイスの新規遠隔監視の接続能力の復旧を発表しました。
9月9日	製造・注文履行・出荷業務の完全復旧を発表しました。一部顧客の一時的な納期遅延の可能性も説明しました。
9月22日	CrowdStrikeの最終調査概要を公開しました。
9月28日・日本法人	本事案による国内受注・出荷制限を全面解除し、全製品を再開。注文集中等による納期遅延の可能性を併記。

9月22日の調査結果で分かった範囲

同社の9月22日更新によると、CrowdStrikeは、攻撃者が外部向けのネットワーク機器へアクセスし、その後、一部のオンプレミス（自社設備内で運用する）IT環境に侵入したと判断しました。8月25日の封じ込め措置後に、攻撃者の活動が続いていたことを示す証拠は見つからなかったとしています。

また、Microsoft Office 365（メールを含む）、その他のクラウドアプリケーション、製造保守・製品とソフトウェア開発・医療機器保守・人事と福利厚生に関わる業務システム、SCADA（監視制御システム）の環境について、侵害の証拠は見つからなかったと説明しています。これらのシステムやアプリケーションから、顧客・患者データを含むデータに攻撃者がアクセスし、持ち出しの準備をしたり、持ち出したりした証拠も見つからなかったとしています。

この調査結果は、列挙されたシステムやデータについての説明です。攻撃者による一部環境への侵入があったという説明と併せて読み、あらゆる環境について「データ流出は絶対になかった」と言い換えないことが大切です。この記事は同社の公表本文を紹介しており、調査証拠そのものを独自に検証したものではありません。

日本の受注・出荷制限は9月28日に解除

日本法人の9月28日付案内は、今回の事案で一部製品に設けていた国内の受注・出荷制限を同日から全面的に解除し、全製品の受注・出荷を再開したと説明しています。

同時に、解除後は注文の集中などで、出荷・納品まで通常より時間がかかる場合があるとしています。「制限解除」は、個別の注文がすべて配送済みになったことや、すべての納期が通常に戻ったことを意味しません。

IT Postは10月5日にこのPDF本文を確認し、10月24日の記事統合時にも再確認しました。注文別の納期や受注残の解消状況を独自に検証したものではありません。

初心者が知っておくべき用語

遠隔監視えんかくかんしは、機器が記録した情報を通信機器などを介して医療機関へ送り、離れた場所で確認する仕組みです。今回の事案では、機器自体の動作、障害前から登録されていた機器の監視、新規の接続を分けて説明しています。

オンプレミスおんぷれみすは、クラウドではなく自社設備内でシステムを運用する形態です。クラウド側のシステムに侵害の証拠が見つからなかったという説明だけで、受注・製造・出荷も止まらなかったことにはなりません。

インシデント対応は、問題の検知後に影響を封じ込め、調査し、復旧する一連の対応です。デジタルフォレンジックは、機器や記録を調べて経緯や影響を明らかにする技術的な調査を指します。稼働の回復と調査結果の公表が別の日付になる場合があるため、どの段階の発表かを確認します。

医療機関・患者が確認できること

• 医療機関・取引先：注文した製品の処理状況や個別納期は、通常の営業担当者・取引窓口へ確認できます。9月9日の公式発表は、従来のメールやデジタル接続など、通常の経路で連絡・情報交換を続けられると説明しています。
• 患者・家族：個別の遠隔監視の接続状況や治療予定は、担当医療機関の説明を確認してください。日本の公式問い合わせページにも、医療従事者・患者向けの製品問い合わせへの案内があります。
• 公式更新を読みたい方：米国本社の更新ページで最新発表と過去の発表を確認できます。日本の公式トップページにも、米国の最新情報や日本語の出荷案内へのリンクがあります。

IT Postの見方

IT Postでは、停止の記録を残すだけでなく、復旧した機能と残る確認事項を同じページで読めるようにする必要があると考える。受注・出荷制限の解除を個別納期の保証に変えず、機器の動作と監視への接続も分ける。「全部戻った」の一言で済ませれば紙面は軽くなるが、確認する側の仕事は重くなる。復旧の札には、日付と対象も添えたい。※個人の感想です