Thread by @leemanoid

半田病院の報告書これか。

契約がどうなってたか知らんから何とも言えんけど、

「病院側はインシデント対応に不慣れな中めっちゃ頑張ってたのに、どの事業者は危機感がなく専門家も寄こさなかった！」

って終始ベンダーのせいにしてるのが目立つなぁ…

handa-hospital.jp/topics/2022/06…

ログ保全もせずアップデートした事業者は論外だけど、「機器を導入したんだから専門家として脆弱性情報も説明すべき」というのは乞客によくある「我々は素人なんだから（そっちが全部やってもらわないと）」の姿勢だなぁ。

これも保守契約がどうなっていたかが分からないので何とも言えないけど。

半田に都合が悪い部分は全部言い訳つき

「サポート切れのOSを使用していたことは望ましくない一方で、電子カルテを始めとしたシステムを支障なく動かすためには、継続し続けるしかなかった現実も」

「半田病院に限らず、未だに続く閉域網の安全神話、閉域網によるセキュリティ対策の思考停止と言える

やっぱり保守契約なかったんかい！そりゃ無理やで～～

てか保守契約ないのにベンダーを呼びつけてあれこれやらせてる時点で無茶やのに、よくもまぁここまで人のせいにできるなぁ。

要約：何もしていませんでした

金がなくて増員なんてする気はない。ベンダーに頼るしかないけど保守契約はできない（？？？）

ｵｵｯ

「保守契約がなかったんだからベンダーに責任はないけど、病院側がITリソース不足で丸投げされてることを知ってたんだから善意で助けるべきだった。最悪の事態に至らしめた責任は重い。」

金も払ってないのにそりゃないっすよ…

いや、2000年当時の古いシステムをリプレースもせず保守費用も出さずに使い続けて、いざあぼーんしたら「地域の医療を崩壊させ、かつ多額の税金を投じさせた」って酷くないすかね？

20年間ずっとまともに車検してなかった車が事故を起こしたら自動車メーカーの責任っすか？

閉域網のクラサバ間のHTTP通信もHTTPSじゃないとダメなの？（これは純粋に知らないだけ）

でも20年前のシステムだよね…？

これはまぁその通り。いくらユーザーが動作優先を希望したとしても、セキュリティリスクを伴う事と「正直もうリプレースした方がいいよ」は伝えるべきだった（伝えてたかもしれないけど）

なんというかしきりに「ステークホルダーが多い」ことを言い訳にしてるけど……

再度事業者の知識不足と。いや保守契約がなければセキュリティ意識もクソも無いて…

「情報セキュリティに関する専門知識が不足するため、それを補うパートナーシップが必須」なら猶更ちゃんと契約しようよ

結局最後まで「病院は限られたリソースの中で頑張った、何もしなかったベンダーが悪い」だったわ

契約がなきゃ人は確保できないし、当然インシデント対応も想定できないよ

「情報の非対称性」を盾にしてるけど、それなら猶更日々フィードバックが得られるようコストをかけるべきやね

補足というかお願い→眠い中で斜め読みしかしてない上にかなり端折ってるのでぜひ原文を読んでね。

（適切な契約が無かったから仕方ない部分もあるとは思うけど）事業者側のインシデント対応は正直スムーズだったとは言い難いように見えるので、反面教師としても参考になるかと。

特に保守関係について（その他も）こちらのスレッドが詳しい。分析も非常に分かりやすい。

ハードの保守契約はしているけど、運用支援契約はなかった、ということみたい。

これ「保守契約なしに無茶やらせた、ベンダーに責任をおっかぶせた」ことに集中しちゃったけど、一番ひどいのは「有識者会議」に副町長も参加してる事

町立病院なので予算も町の責任。根本原因である「金・リソース不足」を放置してきた張本人が何したり顔でこんな報告書作っとんねんという思いが強い

まとめられていた

すだちの国からIT界隈をざわざわさせる、徳島県つるぎ町立半田病院のランサムウェア調査報告書（災害拠点病院でIT担当者が1人）。 togetter.com/li/1903531 #Togetter

はてブにも色々な意見が寄せられている。

「この規模の病院でIT担当がいるだけマシ」「公立病院は金がない、予算つくはずがない」等、地方病院ではよくある状況のようで。

となるとどこも金ない人材もいないわけで、このままではどう捻ってもシステムを維持できないぞ…

b.hatena.ne.jp/entry/s/togett…