まじか
ひどいな

わぁ。なんて完成度の高い情報漏洩システム😑
もっと以前から漏らしてた可能性。
あ、横流し、とは言ってませんよ。

気の毒な被害者ではなく、平和ボケ認知症の単なる馬鹿であったか😂>>>

付箋の写メが流出し、会社の全業務がお亡くなりになる。

VPNからの侵入は多いけど、ユーザー利用ではなくリモートメンテナンスのために設置していたVPNがメンテされていなかったの？？？

教科書の「悪い例」そのまんまじゃん！ある程度のシステムを置くからには、（多少、目先のお金はかかっても）管理できる優秀な人材を配置して仕事をさせることが必要。仕事をさせるっていうのは、それなりの権限と資金を与えるってことね。

マジですげーな…。ここ大阪の三次救急の拠点やで。高度救命救急センター持ってるのはここと…天王寺の大阪公大病院あったかなあ？しっかりせんと！

“同センターではユーザー全てに管理者権限を付与していた他、数あるサーバやPCなどで共通のIDとパスワードを使用しており、侵入経路となったVPN機器は脆弱性が放置されているなどずさんな管理体制だった”

ここまでザルということは、ミスや手抜きなどではなく、「仕様」だろうな

情報管理者を置いていないか重要視していないかなんだろうなぁ・・歪んだ現場優先主義が招いた事故だと思う。機微情報だろうに。

これの1年くらい前に半田病院でランサムウェア問題になってたのに「うちは大丈夫なのか」とか病院経営者はならないんですねぇ。

共用IDとパスワードくらいは分かる範囲だけど、全員に管理者権限は狂ってるねぇ。

給食委託業者だけではなく病院側にも問題があったということで、半田町立病院の教訓がまったく生かされなかったということ。

「ユーザー全てに管理者権限を付与していた他、数あるサーバやPCなどで共通のIDとパスワードを使用しており、侵入経路となったVPN機器は脆弱性が放置されているなどずさんな管理体制だったことが分かった。」
( ﾟдﾟ) 医療センターのずさんな体制

これは酷い…
危機管理がしっかりとなされていなければならない医療機関でこれだと診療業務も怪しいと疑われても仕方ない
︙

なかなかだな…

えー、マジで？？？ にわかには信じがたいんですが…。

サーバ、PCのIDとログインが全て共通というだけでも恐ろしいのに他にもあるとは・・・😱
起こってからでは遅いので、
皆さま、脆弱性をそのままにしないよう気をつけてくださいね🙌

挙がってる課題それぞれまずいはまずいけど、安価で利便性を保持してセキュリティを固められる仕組みを提供してあげたいよねぇ(今んとこない)

これは数え役満クラス…
具体的な再発防止策に対して「ITガバナンスの確立に全力で取り組んでいく」てコメントも、なんか不穏に聞こえてくるな。

モニターにIDとパスワード付箋で貼り付けてたりもするんちゃうの？

役満。攻撃してくださいと言ってるようなもん。 ―

あまりにステキな環境なので、1-2日だけ出勤して辞めちゃった人たちがいそうな気がしますね。（何

昨年10月に話題になっていたサイバー攻撃で、大阪急性期・ 医療センターが調査報告書を公開したという記事！

サーバとパソコンでパスワードが共通のものになっていたりと、かなりずさんな管理がされていたようです！

備えあれば憂いなし！


“ユーザー全てに管理者権限を付与していた他、数あるサーバやPCなどで共通のIDとパスワードを使用”

ダメじゃんこれ。

苦笑してしまうレベルの内容ではあるが、現実的に同じようなレベルの会社も多かろうなあ…セキュリティは大事。

「ユーザー全てに管理者権限を付与していた他、数あるサーバやPCなどで共通のIDとパスワードを使用しており、侵入経路となったVPN機器は脆弱性が放置」

コレは杜撰過ぎるけど、システム運用にコストかけない組織は近しい状態になってそう。何か起きた時の影響考えると運用にコストかけた方が良い👇

-VPN機器の脆弱性を放置していた
-リモートデスクトップツールを常に稼働させていた
-全ユーザーに管理者権限を与えていたため、攻撃者も管理者権限で行動できた
-サーバやPCのログインIDとパスワードが全て共通だった

「サーバーに侵入して
ウイルス対策ソフトをアンインストールして、
暗号化」

驚きを通り越して
面白すぎる。

ウイルス対策ソフトの意味〜

いやいや、、まず"管理者"権限とは...🤔

他にも、関係事業者間で責任分界点の明確化ができていなかった、リスク評価ができていなかったなどの問題も

あのさあ(呆れ)

怖すぎる

>VPN機器の脆弱性を放置していた
>リモートデスクトップツールを常に稼働させていた
>全ユーザーに管理者権限を与えていた
>サーバやPCのログインIDとパスワードが全て共通だった
>システムのサーバにウイルス対策ソフトを設定していなかった

ツッコミどころしかない（笑）

なんぼ何でもこれはダメすぎる…恐ろしい…

うわぁ…

流石にアホだと思うwww

流石に杜撰すぎる。

((( ；ﾟДﾟ)))

役満感すごい・・・。
・VPN機器の脆弱性放置
・RDP、常に稼働
・全ユーザー、管理者権限
・サーバやPCのログイン、値全て共通
・電子カルテシステムのサーバにウイルス対策ソフトを未設定

セキュリティ対策は経営責任

こういったニュースが取り上げられても、ずさんな体制を見直さない企業はたくさんありそう😢

後悔先に立たず…

これ、現場混乱したみたいな記載あったけど、本当に混乱するんだよな・・・
ログのフォーマットや責任、体制とか整ってないとどにもできないもん

勇気付けられる。こんな事やってりゃ侵入されるよな。

全員にwwwww管理者権限wwwww

うわぁ……脆弱過ぎる…
クラッカーにとっては格好の獲物だな…

これはスゴいw

全ユーザーに管理者権限を与えていたため、攻撃者も管理者権限で行動できた
そ。そやろな。想像したないわ。

おもしろい

なんちゃってIT会社に頼むとよくある、とブーメランを飛ばしてみる。

金がないならITを導入しちゃダメな事例。
医者もいないのに病院を開業するレベルのお話や。

あぁ……医療人は機械に弱い人多いから、苦渋の運用設計だったんだろうなとは思うけど、こう言われても仕方ない体制ではあるな……

これだけの規模のユーザがセキュリティ担当者を置いていなかったか、十分な権限を与えていなかったんだろうな。多分置いて…

病院のITの杜撰さは知っているつもりだったかど想像の上をいってたわ

ランサム攻撃受けた大阪急性期・ 医療センターのずさんな体制

●全員に管理者権限
●パスワードは全部共通
●脆弱性は放置

マジで現場猫は何処にでも生息しよると

ゼロトラストだの（権限）最小の原則なんていうけれども、このレベルまで来るとITガバナンスって言葉の空虚さが凄い

ダメだこりゃ… →

医療機関や教育機関などの閉鎖されたところでは、このようなコントでもやらない低レベルのことが常態化していて、違法行為でも平然と罷り通るルールや運用が適用されていることを世間は知った方が良い。特に病院では医師や歴の長い職員による陰湿な言動が多い。

これはひどい

反省文は良いのですが、さっさと「パスワードレス」にシステムを作り変えないと、また発生します。

こういう時、日本人は「体制強化」とか「再教育」って単語が好きですが、再発防止に本気なら、方向性はそっちじゃない。

一般ユーザー全員に管理者権限とか正気か
---

「ユーザー全てに管理者権限を付与していた」
もはや管理者がいない。
重大な個人情報を扱う所で、これはヤバ過ぎる。
説教案件。

何だかわからんが、とりあえず、ヨシ！( ｰ`дｰ´)ｷﾘｯ
で決まった感じがある‥

ガバガバガバナンス

こりゃひどい。

全員管理者すごっ……と思ったけど、この管理者権限は端末のローカルアカウントのことかな。それなら珍しくもなさそう。

全サーバーでユーザーごとのパスワードが共通なのも、端末と合わせるため普通かも……？（ADなし運用なのかな？）

>
(´ﾟдﾟ｀)

＊＊＊
ランサム攻撃受けた大阪急性期・ 医療センターのずさんな体制

ずたずた、がばがば。現場医師でなく経営者の責任はでかく重い。

「いつでもどこでも誰でも使えて便利」な状態にしていたんだろなぁ

【気になる話題】

むしろよく今まで無事だったなってレベル

ガバガバな管理で草。
だれも疑問に思わなかったのかな？思ってもだれも上澄みは耳を貸さない雰囲気なんだろうなあ。

内容を見て・・・
こ れ は 酷 い (病院側の管理体制が)

(;ﾟдﾟ)ｪ…
家族がこの病院に手術する予定が、この騒ぎで転院となりてんやわんやだった昨秋。なんちゅう管理体制や……。

全サーバ共通の特権アカウントで一台目にアクセスされた時点でウィルス対策ソフトの導入有無なんて些細な違いでしかないですねぇ。

なんかもうモビルスーツ相手に丸裸で殴りかかってるようにしか見えないけど、このシステム構築と運用設計やった会社名は晒していいと思う。

まあ、やられて当たり前の状態だったわけね… "

そら攻撃されるわ

＞ユーザー全てに管理者権限を付与していた他、数あるサーバやPCなどで共通のIDとパスワードを使用しており

ガバナンスのガバはガバガバのガバ！

誰が設計したんやろね😱

独立行政法人の情シスの意識レベルが問われる案件。

やっぱり一番のリスクはそれを使う人間なんだよなぁ -

こんなひどい情報管理をしても現行法ではペナルティないのだろうなぁ。
医療DXするなら、法の整備はされるんだと思うけど。

「全員管理者」というパワーワード

すげーなw →

昔はクローズド環境のセキュリティ意識なんてこんなもん。rootがノーパスワードのところもあったからなー
↓

芸術点高すぎる

フルコンボだドン！
数えトリプル役満くらい？

脆弱性云々もあるが、この4つがやばいだろ。
「リモートデスクトップツールを常に稼働させていた」
「全ユーザーに管理者権限を与えていた」
「サーバやPCのログインIDとパスワードが全て共通だった」
「一定時間でアカウントがロックされるように設定していなかった」

本件でNECが責められるのは若干酷な気もするなぁ。本質は「こうだったはず」がそうなってないことであり。

( ﾟдﾟ)ﾎﾟｶｰﾝ
(つд⊂)ｺﾞｼｺﾞｼ
（；ﾟДﾟ） …！？

こういう現場山ほどあると思う。

Windows XPとか今だに使ってる警備室とかみたことあるし。被害を想像できないと対策はできないわけで。システムに詳しくない人は想像ができないわけで…。

VPN機器の脆弱性を放置していた
リモートデスクトップツールを常に稼働させていた
全ユーザーに管理者権限を与えていたため、攻撃者も管理者権限で行動できた
サーバやPCのログインIDとパスワードが全て共通だった

あまりにもアホすぎる

ぜんいんに……かんりしゃけんげん…… -

うーん、どうなんですかね。攻撃者は侵入できたのであれば従業員に管理者権限を与えていようが、与えていまいが、攻撃は出来た気がします。

もちろん内部統制的に、システム管理者権限みたいな強い権限を、その権限保...

いやいやいやいやどういう体制してたんよ

医療システムのセキュリティはザル。これはガチ

ガバガバガバナンスで笑う