医薬品の効力や研究試料の品質も、保管温度の異常で失われ得る
同じ脆弱性は、バイオテクノロジーや製薬の分野に、さらに深刻な被害をもたらしかねない。ワクチン、生物学的製剤、細胞治療・遺伝子治療に用いる製品、臨床試験の材料は、途切れない低温管理に依存している。医学研究のために生体試料を保存するバイオバンクの検体も同様だ。温度が変動すれば、医薬品の効力が失われ、研究が無効になり、規制要件を満たせなくなる可能性がある。最悪の場合、人々が必要な医薬品を入手できなくなる。
製薬企業などは、在庫の追跡、遠隔診断、規制順守の記録作成のために、保管設備をネットワークにつないでいる。自動保管システム、極低温冷凍庫、監視機能を持つ冷却設備にも、遠隔アクセスの経路が設けられる。攻撃者が侵入して温度を上げたり監視機能を停止したりすれば、異常を発見する前に高価な在庫の品質が損なわれかねない。経済的損失だけでなく、公衆衛生への悪影響や信頼の低下も招きかねない。
委託先への攻撃でフランス血液機構の3施設に異常、損失は回避
フランスで献血の受け入れや血液製剤の供給を担う公的機関、フランス血液機構（EFS）の3施設でも、11月2日に冷却設備の異常が発生した。EFS自体ではなく、冷却設備を管理する委託業者がサイバー攻撃を受けた。保管室の温度や霜取り運転の設定値が、遠隔操作によって極端に高く変更された。
EFSは11月3日、独自の監視・警報システムが異常を早期に検知したと発表した。担当者が設備を制御または停止し、輸血用や医薬品製造用の血漿などを別の設備へ移すか、安全を確保した。血液製剤や検体の損失、健康被害は確認されず、献血の受け入れと製剤の供給も継続された。冷却設備の異常を早く見つけ、保管品を守る仕組みが実際に働いた事例だ。
機器メーカーや保守業者との接続も攻撃の入口に
供給網が複雑になるほど、脆弱性を管理する範囲も広がる。ソフトウェア企業、機器メーカー、外部の保守業者との接続は、それぞれ新たな侵入経路となり得る。外部の取引先との接続が管理対象を増やすことは、サプライチェーンのサイバーリスクについて以前から指摘してきた問題だ。企業は設備を制御するOT機器の一覧に加え、ファームウェアの出所や遠隔アクセスの手順まで把握しなければならない。
