医療現場におけるサイバー攻撃は、人命を危険にさらす可能性があります。
患者データは、身代金や名声を求めるサイバー犯罪者にとって価値があります。
医療がサイバー攻撃によって混乱させられるのを防ぐための3つの対策を紹介します。
今月初め、ランサムウェアによる攻撃により、米国全土の救急救命室が閉鎖され、救急車は他の病院への搬送を余儀なくされました。コネチカット州、ペンシルベニア州、ロードアイランド州、テキサス州で16の病院と166の外来診療所を運営するProspect Medical Groupは、システムを停止し、調査を開始する間、それらを保護しました。
IBMの「Cost of a Data Breach Report 2023（2023年版データ侵害コスト報告書）」によると、医療業界は最も高額なデータ侵害を報告しており、平均コストは1,093万ドルでした。しかし医療分野では、サイバー攻撃の影響は金銭的損失やプライバシー侵害にとどまりません。このようなランサムウェア攻撃では、患者データや医療機器へのアクセスを失うことで、人命が危険にさらされる可能性があります。また、NPRが最近報じたように、病院が復旧するまでに数か月かかることもあります。
残念ながら、これらは珍しい事例ではありません。先月、Check Point Researchは、医療機関の29分の1が平均してランサムウェアの影響を受けていることを明らかにしました。2022年には、医療業界で、サイバー攻撃が前年比78%増加し、組織あたり週平均1,426件の侵入未遂が発生しました。
医療分野において、サイバー攻撃が生死に関わる問題であることは、いくら強調しても足りません。実際、Ponemon Instituteが実施した調査では、侵害を受けた後、医療機関の20%超が患者の死亡率の上昇を報告したことがわかりました。
サイバー犯罪者が医療を標的にするのはなぜですか？
医療は不可欠であり、機微な医療データが大量に蓄積されています。サイバー犯罪者にとって、医療機関に侵入することは、こうした機微な医療データへのアクセスをもたらします。そのデータは身代金の対象にされることがあり、ハッカーにとってはメディアで取り上げられ、名声を得ることも確実です。この両方の要因により病院は大きな圧力にさらされ、高額な身代金が支払われる可能性が高まります。
医療分野が脆弱である理由はいくつかあります。第一に、サイバー攻撃の高度化と件数の増加は、これらの組織が対処できるように整えられていない脅威です。多くの病院は新旧の技術を組み合わせて利用しており、その大部分は直接管理されていないか、不適切な文書化により忘れられています。この問題は、設計段階から安全に構築されることがほとんどないにもかかわらず、時とともにモノのインターネット（IoT）や医療機器が追加されるにつれて、さらに深刻化しています。さらに、現在のサイバーセキュリティ人材不足により、この拡大する攻撃対象領域の管理を支える専門知識が不足しています。これらの要因が重なり、サイバー犯罪者にとって、広範な脅威の対象領域と多くの侵入経路を持つ、価値の高い標的となっています。モノのインターネット（IoT）
サイバーセキュリティに関して世界経済フォーラムは何を行っていますか？
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。進化するデジタル化された相互接続の世界において、理解と信頼の構築に重点を置いています。
セクター横断的な協力と知見の共有を可能にすることで、同センターは、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
患者は、身体的、知的、感情的な健康の成果を支える質の高い医療を受ける権利があります。その医療データの保護はその一部です。サイバー攻撃は、個人や集団の身体的健康に影響を及ぼす可能性があり、個人情報が漏えいして公の目に触れることになれば、社会的・感情的な困難を引き起こすおそれがあります。実際、患者は、患者データを漏えいしたサイバー犯罪者の侵入を受けた後、One Brooklyn Healthを現在提訴しています。患者らは、詐欺、ID盗難、医療保険給付の不正流用などのリスクが一層高まっていることを懸念しています。
サイバー攻撃が医療業務の流れを妨げないようにするためには
1. 組織文化
患者の受診の全過程のあらゆる面で、セキュリティ意識を確立します。衛生的な環境の維持と同様に、サイバーセキュリティが重要である理由や、良好な情報セキュリティ慣行を通じて患者を守る職員の役割について教育することが、医療機関にとって当たり前のことになるべきです。セキュリティ意識の高い文化を根付かせるため、サイバーセキュリティの教育と研修は頻繁かつ継続的に行う必要があります。
2. エンドポイント保護
医療制度における一人のユーザーは、電子医療情報にアクセスし送信する複数のエンドポイントを持つ場合があります。医療機器自体もデータを送信します。予防を最優先とするエンドポイント保護には、次の機能を含む多層的なアプローチが含まれます。フィッシング対策、ランサムウェア対策、ボット対策、コンテンツ無害化・再構築（CDR）、ならびに検知後の自動的な修復・対応です。米国保健福祉省（HHS）は、電子的に保護された医療情報の保護に関して実行可能なガイダンスを提供しています。
3. アクセス制御（ゼロトラストモデル）
医療データにアクセスできる人を単純に減らすことで、組織はサイバー攻撃の成功を防ぐことができます。ゼロトラストにより、医療機関は最小権限の原則を適用できます。これは、求められる業務に必要な最小限の認証情報のみを付与するものです。不正アクセスの機会を減らすため、あらゆるレベルのデータは必要最小限の者のみがアクセスできるようにすべきです。
病院を守る
医療分野のCISOとの最近の対話では、すべての人々の健康を、どこにいても確実に守りたいという強い思いが示されました。幸いなことに、業界には協力の文化が根付いており、取り組みのベストプラクティスや得られた教訓を共有しています。医療従事者は健康の大切さを理解しており、医療機関や医療提供者を守ることに引き続き注力しています。
医療提供者に対する最近のランサムウェア攻撃は、サイバーセキュリティが患者のケアと安全に不可欠であることを改めて示しました。あらゆる対策の中でも、医療機関はサイバーセキュリティ対策において予防的なアプローチを取るべきです。これは、投薬の5つの権利が患者の安全を確保するのと同様です。すなわち、適切な患者、適切な薬剤、適切な用量、適切な投与経路、適切な時間です。
臨床医は、デジタル医療記録にアクセスできるか、あるいは医療機器を信頼して使用できるかを心配する必要があってはなりません。患者とのケアの質の向上に注力することは、すでに大きな課題です。予防を最優先とするアプローチを病院、医療提供者、患者を守ることで、混乱や破壊そのものを未然に防ぐことができます。
