医療業界は、保有する機微な患者データの膨大さと業務の重要性のため、サイバー犯罪者の主要な標的となっている。
2023年には、医療業界で報告されたデータ漏えい1件あたりの平均コストは1,093万ドルに上った。これは、平均コスト590万ドルで2位となった金融業界のほぼ2倍である。
医療機関へのサイバー攻撃は、患者の生命や組織全体を危険にさらしかねない。
医療業界は、保有する機微な患者データの膨大さと業務の重要性のため、サイバー犯罪者の主要な標的となっている。
医療分野は、電子カルテ（EHR）、遠隔医療、モノのインターネット（IoT）機器などのデジタル技術を急速に導入してきた。これらの技術は多くの利点をもたらす一方で、攻撃対象領域も拡大させ、サイバー犯罪者が侵入できる経路を増やしている。
2023年は、13年連続で医療業界が最も高額なデータ漏えいを報告した。平均コストは1,093万ドルで、平均コスト590万ドルで2位となった金融業界のほぼ2倍にあたる。これらのデジタル資産を保護することは、患者情報の機密性、完全性、可用性を維持するうえで不可欠である。
現代の医療システムとサイバーレジリエンス
現代の医療は、サービスを効率的に提供するために相互接続されたシステムとネットワークに依存している。これらのシステムが相互に接続されているということは、ネットワークの一部でのセキュリティ侵害が医療インフラ全体を危険にさらす可能性があることを意味する。業務の継続性を維持し、連鎖的な障害を防ぐためには、サイバーレジリエンスの確保が不可欠である。医療システムへのサイバー攻撃は、患者の安全に直接的な影響を及ぼしうる。
重要な医療サービスの中断、医療記録の改ざん、医療機器への不正アクセスは、患者の生命を危険にさらしかねない。患者の安全を守り、被害を防ぐためには、サイバーレジリエンス対策が不可欠である。
しかし、これは医療機関にとって存続に関わるリスクでもある。その実例が2023年6月に起きた。米国のセント・マーガレット病院は、ランサムウェア攻撃の余波などが一因となり、恒久的に運営を停止した初の医療機関となった。同じ月には、180の病院と2,300の外来施設を運営するHCAヘルスケアにも侵害があり、最大1,100万人の患者に影響が及んだ。
2020年1月から2021年2月の間に、健康記録が流出したことが判明している293件の侵害のうち、影響を受けた組織の57.34%が、流出した記録数を公表している。この期間に流出した記録数は合計で約1億600万件に達した。したがって、重複を除いても、分析対象となった14か月の間に、米国人の3人に1人にあたる人々の健康記録が侵害された可能性がある。
2015年、アンセム社は、患者と従業員のデータを含む7,900万件の記録がハッカーに盗まれたと公表した。流出したデータには、氏名、住所、社会保障番号、生年月日、医療ID、保険加入番号、所得データ、雇用情報が含まれていた。アンセム社は複数の民事集団訴訟に直面し、2017年に1億1,500万ドルの費用で和解した。
医療提供者は社会において信頼される立場にある。データの極めて高い機微性と、この分野に対する社会の高い期待があるため、患者データの漏えいやサービスの中断は、こうした信頼を損ない、医療機関の評判を傷つけかねない。患者、パートナー、そして社会全体からの信頼を維持するためには、サイバーレジリエンスが不可欠である。
サイバー脅威の増加、医療のデジタル化、相互接続されたシステム、患者の安全への懸念、規制上の要件、財務上の影響、そして社会的信頼の維持の重要性が重なり合い、医療分野におけるサイバーレジリエンスの必要性が極めて高いことを総合的に示している。
分野横断的なサイバーレジリエンスが鍵となる理由
医療業界の重要性、規模、相互の結びつきを考えると、単一の組織や政府機関だけでサイバーセキュリティの問題に対処できないことは明らかである。エコシステム内での協働的かつ体系的なアプローチが鍵となる。サイバーレジリエンスは、いずれか一つの組織の枠を超えて捉えられなければならない。
医療業界のサイバーレジリエンスを構築するには、官民の協力が不可欠である。サイバーセキュリティに体系的に取り組むとは、医療エコシステムが組織、技術、個人から成る相互接続されたネットワークであると認識することを意味する。サイバーレジリエンスの構築には、個々の主体を保護するだけでなく、エコシステム全体の堅牢性を確保し、サイバーインシデントに耐え、そこから回復できるようにすることも求められる。
今年のダボス年次総会で開催された「サイバー不安定性の分析」ワークショップでは、リーダーらが3つの重点課題に焦点を当てた。取締役会へのサイバーレジリエンスの重要性の周知と、経営層の関与を促すこと、エコシステムを守るための組織間の関係とコミュニティの構築、そして、さまざまなステークホルダー間で共有される実践を盛り込んだ業界の行動指針の策定である。
これらの知見は医療業界に関連するものであり、同業界のサイバーレジリエンス強化に直接寄与するだろう。
しかし、他の産業にも、サイバーセキュリティを強化するための資源がある。世界経済フォーラムの産業横断的なサイバーレジリエンス・イニシアティブは、次の方法でレジリエンスを高めている。
リーダー層の意識向上: 意思決定者を啓発し、戦略的優先事項としてのサイバーセキュリティの極めて重要性を再認識させる。
デジタル変革の安全確保に向けた行動の促進：産業の安全かつレジリエントなデジタル変革を可能にするため、行動と取り組みを促す議論を推進する。
リーダーシップ思想、ツール、能力の開発：戦略的トレンドとベストプラクティスに沿ってサイバーセキュリティを組み込むための知見、能力、ツールを創出する。
概要：サイバーレジリエンス・イニシアティブ
現在のイニシアティブ：
今後のイニシアティブ：
都市のサイバーレジリエンス
交通分野のサイバーレジリエンス
過去のイニシアティブ：
サイバーレジリエンス・イニシアティブへの参加
世界経済フォーラムのサイバーセキュリティ・センターの目的は、すべての個人と組織が、継続的なデジタル化と技術進歩の恩恵を安全に享受できるよう支援することである。
サイバーセキュリティ・センターは、サイバーセキュリティを戦略的優先事項として重視することを促し、システム全体に及ぶサイバーセキュリティ上の課題に対処するため、世界的な官民の行動を推進するための、独立かつ公平なプラットフォームを提供している。同センターは、より強靭な未来を築くために専門知識とリーダーシップ思想を共有できる、民間部門、公共部門、市民社会、学術界、国際機関からの参加を歓迎している。
