医療業界では、重大なセキュリティ侵害が相次いでいます
セキュリティの面において、医療業界はこの2年間、極めて厳しい状況に直面してきました。 米国保健社会福祉省（HHS）の「 」オンラインデータベース（ （新しいタブで開きます））によると、現在、病院や医療保険会社に対するハッキングがほぼ毎日のように発生しています。 Over 100 million patient records were reportedly breached in 2015 — equivalent to a third of the U.S. population. 今年も状況は改善されていません。医療IT業界の業界団体であるヘルスケア情報管理システム協会（HIMSS）が実施した、 の最近の調査 （新しいタブで開きます） によると、プロバイダーのほぼ 80 パーセントが「重大なセキュリティインシデント」を経験したとのことです。
この問題は、そう簡単には解決しないでしょう。 医療記録と医療機器の連携は、今後ますます進み、その規模も急速に拡大していくことでしょう。 こうしたシステムの相互接続化が進む傾向は肯定的なものですが、業界がサイバーセキュリティを優先的に取り組まなければ、医療提供者がハッキングの被害に遭うリスクがさらに高まることになります。
朗報なのは、医療提供者と政府の双方が、深刻な問題が存在することを認識し始めているということです。 そのHIMSSの調査によると、医療提供者は情報セキュリティをより優先事項として位置づけていることが明らかになりました。具体的には、急性期医療提供者の 87％、非急性期医療提供者の 81％がそうしています。 一方、HHSは「 」サイバーセキュリティ・タスクフォース （新しいタブで開きます） を立ち上げ、今月初めには、 500 件未満の記録漏洩についても 調査を行うと発表しました — 医療記録に関しては、どんなに小規模な漏洩であっても、対応を要するものであることを認めた形です。
しかし、医療業界には依然として、ハッカーにとって格好の標的となってしまっている、いくつかの深刻かつ根深い問題が存在しています。 多くのプロバイダーは、依然としてセキュリティを念頭に置いて設計されていないレガシーシステムを使用しています。 多くの場合、より安全なシステムへの更新や、専門スタッフを雇用するための資金が不足しています。 また、電子カルテの導入をめぐる苦労が示すように、医療業界は技術の面では一般的に他の業界に比べて遅れをとっています。
医療記録は、ハッカーが盗み出すことができる情報の中でも最も高値で取引されるもののひとつであり、闇市場では、盗まれたクレジットカード情報や単体の社会保障番号よりもはるかに高額で取引されています。 健康記録があれば、その人物の身元に関するあらゆる情報にアクセスできるだけでなく、多くの場合、その家族の身元情報にもアクセスできます。 こうしたすべてが、私たち――医療従事者、サイバーセキュリティ企業、政府――が、医療分野のサイバーセキュリティを最優先課題とすべき理由を物語っています。
では、解決策は何でしょうか？
端的に言えば、基本をしっかりと整え、アップグレードが進むにつれて医療システムの強靭性を高めていくことです。 Taniumに入社する前は、6年間にわたりサイバー攻撃の調査に従事しておりました。 当時私が関わっていた企業の多くは――そして、現在のHIMSS調査の回答者の 61％は――「高度な脅威」を懸念していました。 しかし、セキュリティ侵害の大部分は――高度な脅威が関与するケースであっても――基本的なセキュリティ対策さえ講じれば防ぐことができます。
業界がサイバー衛生状態を改善するための5つの方法
業界がサイバー衛生状態を改善するための5つの方法をご紹介します。 ：
- について詳しく知ってください。 多くのインシデント対応担当者が証言しているように、ほとんどの組織は、自社が管理しているコンピュータの台数を正確に把握できておらず、ましてやそれらのコンピュータに存在するすべてのセキュリティ上の脆弱性を特定することなど到底できません。 ネットワーク（ハードウェアやソフトウェアの資産状況、脆弱性、設定などを含む）を完全に把握するには、すべてのデバイスにタイムリーにアクセスできる必要があります。
- を通じて、リアルタイムの可視性を確保してください。 ネットワークを常時、リアルタイムで可視化することで、組織は攻撃を数分以内に迅速に特定し、阻止することが可能になります。 私がセキュリティ侵害を調査した際、多くの場合、ハッカーたちは調査の数ヶ月あるいは数年も前にすでにアクセス権を取得していました。 セキュリティ侵害の深刻度やコストは、多くの場合、攻撃者が検知されずにネットワーク内に潜伏していた期間に正比例します。
- 「あるべき姿」 を決定します。これは、セキュリティと使いやすさのバランスが取れた状態です。 設計においては、多要素認証、ネットワークのセグメンテーション、アプリケーションのホワイトリスト化、特権ユーザーの数の制限といった業界のベストプラクティスを取り入れる必要があります。 ネットワークに関するリアルタイムの情報は、多くの組織がやむを得ず行っている「推測」とは対照的に、予算の優先順位付けにも活用できます。
- 従業員の行動をより安全な方向へと導きましょう。 システムの正しい使い方や、悪意のある可能性のあるメールを見分ける方法を、従業員に指導してください。 さまざまな脅威や、機密データを保護する方法について、彼らに指導してください。 これですべての攻撃を防ぐことはできません――誤解のないように申し上げますが、どのようなセキュリティ対策でも完全には防げないものです――しかし、攻撃の件数を減らすことができ、従業員が発見した攻撃を報告できるようになります。
- を実践しましょう。 組織が成熟するにつれて、第三者機関に依頼して自社のシステムを継続的にテストしてもらうべきです。これは「レッドチーム活動」と呼ばれています。 これにより、サイバーセキュリティの専門家はお客様のネットワークの回復力を継続的に検証することができ、組織は防御体制を絶えず調整し、専門的な技術を磨くことができます。
医療業界は重要な岐路に立っています。 今後5年のうちに、その様子は今日とは驚くほど異なるものになるでしょう。 医療提供者が自社のシステムをIoT（モノのインターネット）にさらに多く接続するにつれて、患者はより容易に、かつ幅広く医療サービスを受けられるようになります。 アップグレードが行われる際こそ、より安全で耐障害性の高いアーキテクチャを導入する絶好の機会です。
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
