医療業界におけるイノベーションとコンプライアンス
The use of big data to assist providers with patient care decisions, 3D printed skin for burn victims and enabling patients’ instant access to their medical records are just some examples of amazing technology advances transforming the healthcare industry. しかし、これらの技術はいずれも、患者のプライバシーや保護対象医療情報（PHI）に対して潜在的なリスクをもたらします。このリスクに伴い、米国に拠点を置くすべての 医療機関 は、「医療保険の相互運用性と説明責任に関する法律（HIPAA）」を含め、遵守が義務付けられている規制に従わなければなりません。
医療機関がコンプライアンスを達成するために講じるべき、適切なHIPAAセキュリティ保護措置の具体的な実施方針は、「セキュリティ規則」と呼ばれています。 HIPAAコンプライアンスに関する規則がますます増え続ける中、組織はエンドポイント管理に関する考え方において、常に課題に直面しています。
モバイルワーカーの増加に伴い、特に医療機関のユーザーの間では、ネットワーク上のすべてのエンドポイントデバイスを正確に追跡することが課題となっています。 デバイスは、ネットワーク内を絶えず移動したり、ネットワーク外に出たり、自宅やカフェ、あるいはVPN接続中になったりしています。 この変動の激しい環境を把握するのは困難であり、企業で現在使用されているツールでは、データを十分に迅速に収集できない上、そのデータの正確性についても高い信頼性を確保できていません。
In fact, KlasResearch found in a study of 600+ healthcare organizations that the top medical-device-security struggle is a lack of asset and inventory visibility due to insufficient tools and the large number of devices that must be secured1. 正確かつ最新の資産リストがなければ、環境の適切なリスク分析を行うことや、脆弱性を軽減するためにデバイスにパッチを適用すること、また基準に沿って適切に設定することは、ほぼ不可能です。
ご自身の環境における脆弱性とリスクの評価
HIPAAセキュリティ規則では、医療機関に対し、自組織の環境における脆弱性やリスクを評価し、それらに対処するための方針や手順を策定・実施することが求められています。 あまりにも多くの組織が、どのパッチが適用されていないか、どれほど脆弱であるか、またどのエンドポイントにどのような設定が適用されているかを把握できていません。 これは、セキュリティインシデントや情報漏洩によってエンドポイントがPHIの漏洩リスクにさらされることになるため、極めて大きなリスクとなります。
今日のエンドポイント管理システムの現状としては、その多くが単にデータ収集の速度が遅すぎたり、迅速な対応ができなかったり、あるいはもはや本来の目的通りに機能していないという状況にあります。 With zero-day vulnerabilities being released and exploited on average 22 days after found2, organizations are often required to break traditional monthly patch cycles or vulnerability assessment and move quickly. このジレンマは、大規模な環境では十分に拡張できず、必要なパッチ適用や脆弱性スキャンを実際に実行するのに時間がかかりすぎる、時代遅れのツールによってさらに深刻化しています。
その一例として、 2017 年には、パッチが適用されていなかったsystems3が原因で、世界中の多くの病院がEternalBlueのエクスプロイトやWannaCryランサムウェアの影響を受けました。 このため、病院では業務停止が発生し、患者の安全にも影響が及び、多くの病院が患者の受け入れを断らざるを得なくなりました。 組織がエンドポイントのリアルタイムな状況を把握できていれば、ランサムウェアによる被害は回避できたはずです。そうすれば、調査結果に基づいて迅速かつ大規模に即座に対応することができたでしょう。
Tanium を使用して HIPAA コンプライアンスを管理するために、今日から実践できるおすすめの対策を 3 つご紹介します：
- お使いのデバイスの 100％を可視化しましょう。 Tanium Discover を使用すると、1日に複数回、全社規模の継続的なスキャンを実行して、すべてのデバイスを特定し、エンドポイントを管理下に置くことができます。 管理下に置かれると、Tanium Assetは、ソフトウェア、ハードウェア、およびユーザーの詳細に関する、デバイス上のすべてのデータのロックを解除します。 これにより、PHIにさらされているデバイスの詳細を把握できるため、即座に安心感を得ることができます。
- お使いのすべてのデバイスにおけるパッチ適用状況や脆弱性の状況を、即座に把握できます。 Tanium Comply を使用すれば、すべての脆弱性の現在の状況を確認できます。 Tanium Patchは、これらのシステムに対して数分以内にOSのパッチを配信し、脆弱性を軽減します。 Tanium Deployは、 のサードパーティ製ソフトウェア用パッチ（ ）と同様に、Adobe、Java、Chrome、Firefoxなどの脆弱性のあるすべてのソフトウェアに対しても、迅速に配信します。
- すべてのエンドポイントの構成状況を把握し、あらゆる場所でのセキュリティルールの保護措置を追跡できるようにします。 Tanium Comply は、すべての設定状態を即座に可視化し、エンドポイントのセキュリティ設定の経時的な変化を追跡します。
医療機関がセキュリティ規制をより適切に順守できるよう支援するため、当社の「 」に関する医療業界向けソリューション概要（）をご覧ください。 いつでも無料でダウンロードできます。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
1 「医療提供組織は、医療業界のサイバーセキュリティ慣行（HICP）にどの程度準拠しているか」 https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587.
2 “『ゼロ・デイズ、千の夜：ファインディング #5”』 https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 “「NHSに対するサイバー攻撃 - Parliament.uk」 https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
