ドイツで、ランサムウェアのハッカーによって医師たちが治療を行おうとしていた病院が事実上機能停止に追い込まれ、患者が 2020 年に亡くなった際、世界中の医療界に警鐘が鳴らされました。
この攻撃は、サイバー犯罪者が を通じて直接的に誰かの死を招いたことが確認された、初めての事例でした。。 しかし、この悲劇は決して偶然の出来事ではありませんでした。 Cyberattacks on healthcare providers surged in 2020, driven in part by the astonishing growth in telemedicine in the age of COVID-19, which also led to the growth in the number of hackers looking to exploit that trend for their own gain. 例えば、ソフトウェアプロバイダーのチェック・ポイント（ ）によると、医療分野を対象とした世界的なランサムウェア攻撃は、 2020年の間に2倍に増加しました。チェック・ポイント。
ハッカーたちは、医療機関がレガシーシステムに依存していることから、かねてよりそれらを「攻撃しやすい標的」と見なしてきました。また、その保管庫には「情報の宝庫」が眠っているため、ハッカーたちにとっては「狙い目の標的」でもあるのです。 そのため、昨年、攻撃件数が急増したことを受け、医療業界のCIOやCISOは、ITの衛生管理やセキュリティへの取り組み方を見直すことになりました。 こうしたリーダーたちが注目している分野の一つは、医療の自動化といった日常業務における危険性です。
医療ITの自動化に向けた取り組み
医療機関は、効率の向上とコスト削減を図るため、自動化や人工知能（AI）に多額の投資を行ってきました。 These tools can help with surgery, radiology, nursing, administrative workflow, electronic health records, fraud detection, and dosage error reduction with spending expected to reach $6.6 billion in 2021, according to Accenture.
AIは、人間がケアをより賢く、より効率的に行えるよう支援する上で、特に有用です。 例えば、医療機関では、医療従事者やスタッフが薬剤の調剤、人工呼吸器の操作、人員配置の管理を行うのを支援するため、また、 保険会社による事前承認 や保険金請求の審査といった手続きに対応するために、AIや自動化を導入しています。こうした手続きは、患者が適切な医療を受けることを遅らせたり、さらには妨げたりする可能性があります。
「医師、スタッフ、そして患者にとっての［日常的な事前承認業務に伴う負担］を自動化し、軽減することで、AIは保険者の規則変更に対してより迅速に対応できるようになります」と、Chilmark Researchのシニアアナリストであり、『 』レポートの著者であるジョディ・ランク氏は述べています（）。 AIや自動化により、保険金請求の審査といった保険業務のプロセスを迅速化することができます。「以前は 20 日かかっていました」とランク氏は述べています。 「今や、ミリ秒単位の勝負です。」
自動化により、数十億ドルのコスト削減が可能になります。 Accenture estimates that the top three applications providing near-term value are robot-assisted surgery ($40 billion in savings), virtual nursing assistants ($20 billion), and administrative workflow assistance ($18 billion).
ガートナーが調査した「 」に名を連ねる医療提供機関のCIOのうち、 半数以上が、今後3年間でAIを活用したロボティック・プロセス・オートメーション（RPA）への投資を予定していると回答したのは、決して驚くことではありません。これは、 5年における 2020％から増加した数値です。
自動化の暗い側面
しかし、医療分野の自動化には、セキュリティ上の課題が伴います。 ポネモン・インスティテュートが実施した調査によると、回答者の 90％が、所属する医療機関が過去1年間に少なくとも1件のセキュリティ侵害を経験したと回答しました。 、SecurityScorecard、およびDarkOwl（ ）による、2019 年から2020 年にかけて30,000 以上の医療機関から収集されたテラバイト規模のデータの分析によると、IPアドレスのレピュテーション（フィッシング攻撃によるマルウェアを含む）、エンドポイント、およびセキュリティパッチに関連して、脆弱性や攻撃が急増していることが明らかになりました。
主要な政府機関や組織を標的とした、 SolarWindsのサプライチェーン攻撃 は、これらの脆弱性を浮き彫りにしました。 そして、彼らは盗まれた健康データの価値を浮き彫りにしました。 によると、消費者信用情報会社のエクスペリアン（Experian） によれば、患者記録には極めて機密性の高いデータが含まれているため、ダークウェブではハッキングされた医療記録1件につき最大1,000 ドルで取引されているとのことです。
エンドポイントは、セキュリティチェーンにおいて特に脆弱な部分です。 For the Sutter Health network of hospitals and clinics, serving more than 3 million Californians, a key issue was a lack of visibility into the thousands of endpoints on its network. エンドポイントを保護するため、ITチームは貸し出し用コンピュータを介して手動でデバイスにアクセスする必要があり、その結果、業務の流れが妨げられ、コストが増加していました。
[Taniumを活用して、貴組織がHIPAAコンプライアンスをどのように管理できるかをご覧ください]
AI自体は、膨大なデータセットを用いて学習されたアルゴリズムに依存しているため、安全性に欠ける可能性があります。 ハッカーは、アルゴリズムを再学習させて システムを妨害したり、データを自分たちの側へリダイレクトしたり、さらにはアルゴリズムを騙して悪意のあるコードを安全だと誤認させ、データを「汚染」することさえあることが知られています。 AIボットは、そのプログラミングにオープンソースのコードと、セキュリティの専門家によって記述されていない独自コードが組み合わされているため、セキュリティ面での脆弱性を抱えていることがよくあります。
さらに、アルゴリズムが利用するシステムにも脆弱性が存在します。自動化ツールは、システムへのアクセス権限を持つ、ネットワークに接続されたあらゆるデバイス上に存在し得るため、悪意のある攻撃者にとっての潜在的な侵入経路となり得ます。 一度中に入ってしまうと、悪者たちは悪さをする可能性があります。 その顕著な例として、チルマーク・リサーチのランク氏は、ハッカーたちが偽造した放射線画像を用いて、不正に保険金を受け取っていた事例を挙げています。
サイバーセキュリティ企業TrustedSecの研究部門を率いるカルロス・ペレス氏をはじめ、セキュリティの専門家たちは懸念を示しています。 「私が懸念しているのは、医療業界がコスト削減を進め、セキュリティ業務の外部委託をますます増やしているという傾向です」とペレス氏は述べています。 「医療業界において、AIの利用に伴う情報セキュリティ対策として、具体的な措置が講じられているのを見たことがありません。」
医療制度の弱点
医療などの規制の厳しい業界では、ビジネスのニーズと規制遵守との間でしばしば葛藤が生じます。 病院では、バグや脆弱性がある可能性のある古いバージョンのソフトウェアが、日常的に使用されています。 システムのアップグレードにより、企業はコンプライアンス上の問題に直面する可能性があります。
「病院では、運用しているシステムの性質上、コンピュータやサーバーのパッチ適用や更新に関して、より厳格なガイドラインが設けられています」と、Taniumの戦略アカウント担当ディレクター、マーク・モーリング氏は述べています。 「オペレーティングシステムを更新すると、人工呼吸器や点滴装置、薬剤投与システムなどが停止する可能性があり、命に関わる事態を招く恐れがあります。」 「病院は、ソフトウェアの更新やパッチの適用について慎重な姿勢をとってきたため、攻撃に対して極めて脆弱な状態になっています。」 そのため、 のパッチ管理（ ）およびの構成管理（ ）は、エンドポイントのITおよびセキュリティ戦略において極めて重要な要素となります。
医療ITのセキュリティ体制が脆弱である原因の一つは、組織体制にもあります。 のSkybox Security（ ）の研究者らは、サイバーセキュリティチームとインフラを監視する運用チームが分断されていることが、重大な脆弱性の原因となっていることを突き止めました。 「こうしたサイロ構造を解体するには、反復的な変革を通じて進める必要があります」と、著者らは『 2020 』レポートの中で指摘しています。 「機器の運用を担当するチームは、パッチの適用が極めて困難であるとされるこれらのネットワーク領域を保護するために活用できる基礎的な知識を身につける必要があります。」
Tanium社の「ITレジリエンス・ギャップ調査」では、こうしたリスクを軽減するのに役立ついくつかの機能が明らかになりました。 レジリエントな組織は、次のようなことを行っています：
- ITセキュリティ、運用、およびリスク管理の各チームが連携し、IT環境の簡素化とセキュリティ強化を図るようにしてください。
- 信頼性の高いデータを収集し、確かな判断を下すとともに、絶え間ない脅威や変化に対応するため、先を見据えた機動的な姿勢を維持します。
- インフラの整理整頓に取り組み、エンドポイント管理システムやプロセスの断片化された状況を解消してください。
- ネットワーク上のすべてのデバイスに対して真の可視性と制御を実現するため、実行可能な共通のデータセットを基盤として統一を図ります。
結局のところ、自動化とAIは今後も定着していくでしょう。 最近の進歩により、医療技術が実現できる可能性が広がっています。 そして、それらは同時に、警備を強化せざるを得ないというさらなる圧力を生み出しています。
「3年前、医師の間ではAIに対して懐疑的な見方が多くありました」とランク氏は述べています。 「今では、システムにAIが組み込まれている例が数多く見られます。」 同氏は、組織によって新たな脅威への対応状況はさまざまだと述べていますが、「しかし、リーダーたちは準備の必要性をますます認識しつつあります」。
