医療サイバーセキュリティの包括的ガイド

医療業界は、進化し続けるサイバー脅威の世界において、独自かつ差し迫った課題に直面しています。各分野の企業がデジタル防御を強化する中、医療は、相互接続されたデバイスへの依存と、膨大な量の機微な患者データを保有していることにより、重要な標的として際立っています。電子カルテ、ネットワークに接続された医療機器、通信システムなど、医療のデジタル基盤を守るには、このリスクの高い業界に合わせて設計された強固なサイバーセキュリティ戦略が必要です。サイバー攻撃は高度化しており、医療業務の完全性を保護することは単なる技術的な要請にとどまらず、患者の信頼と安全に直接影響する基本的なビジネス上の優先事項です。医療のデジタル資産と、それらを利用するプロセスは、サイバー耐性（サイバーレジリエンス）を備えていなければなりません。

医療におけるサイバーセキュリティの重要性

医療機関は、必須のサービスを提供しながら、機微な患者情報を保護するうえで重要な役割を担っています。電子カルテ、遠隔医療、IoT デバイスなどのデジタル技術への依存が高まるにつれて、サイバー攻撃のリスクは急増し、重要な業務と患者の安全の両方を脅かしています。医療分野で効果的なサイバーセキュリティを実現することは、業務の中断を防ぎ、機微なデータを保護し、公的な信頼を維持し、HIPAA、HITECH、HITRUST のような規制への準拠を確実にするために不可欠です。

この記事では、今日のデジタル環境において医療提供者にとってサイバーセキュリティがなぜ重要なのか、そして組織が備えるべきサイバーセキュリティ上のリスクについて考察します。

医療分野で広がる脅威の状況

なぜ医療はサイバー攻撃の格好の標的なのか

米国保健福祉省（U.S. Department of Health and Human Services）によると、2018年から2022年に報告された重大な侵害は93%増加し、ランサムウェア攻撃は278%増加しました。2023年には、1億3,300万件を超える healthcare records が何らかの攻撃によりさらされました。なぜ医療はサイバー犯罪者にとってこれほどの格好の標的なのでしょうか？

• 医療記録には、ダークウェブ上で高値で売買できる包括的な個人情報が含まれています。Social Security number が約 15 ドル、クレジットカードが約 3 ドルで取引されるのに対し、医療記録は約 60 ドルで売れることがあります。
• 医療機関は、セキュリティ機能がほとんど備わっていない旧式のソフトウェアを動かすレガシー医療機器を多く保有しています。
• 停止できない生命に関わるサービスがあるため、身代金を支払うよう強い圧力がかかります。
• 医療は 24/7 体制であるため、患者のケアを妨げずに包括的なセキュリティ対策を導入するのが難しくなります。
• 患者データには社内外の多くの関係者がアクセスするため、アクセス制御が課題になります。

医療提供者が直面する主要なサイバーセキュリティ課題

医療提供者がデジタルトランスフォーメーションを受け入れるにつれて、患者の安全、データの完全性、そして重要なプロセスを脅かす独自のサイバーセキュリティ上の課題に直面しています。以下では、医療システムを確保することが複雑で緊急の優先事項となる、特に差し迫った問題をいくつか紹介します。

• レガシーシステムと古い技術: 医療機関は、サイバーセキュリティよりも医療サービスや機器に対する予算を優先しがちで、その結果、アップデートが遅れ、レガシーシステムへの依存が高まります。これらのシステムは重要な業務フローに深く組み込まれているため、サービス停止のリスクを負うことなく置き換えるのは困難です。2021 年の Kaspersky Lab のレポートでは、世界の医療システムの 73% がレガシーOS を搭載して動作する医療機器を使用していることが明らかになりました。これらの機器は、現代的なセキュリティ機能が欠けていることが多く、悪用に対して非常に脆弱です。
• IoMT（医療モノのインターネット）による接続性の向上: IoMT デバイスの導入により、新たな脆弱性が生まれています。これらのデバイスは、セキュリティよりも接続性を優先することが多いためです。従来のサイバーセキュリティ対策では、スキャンやエージェントの導入に制約があるため IoMT デバイスを十分に保護できず、結果として攻撃の標的になりやすくなります。
• リモートワークと遠隔医療の脆弱性: リモートワークや遠隔医療サービスの普及により、医療分野における攻撃対象領域（アタックサーフェス）が拡大しています。多くの場合、企業レベルのセキュリティが備わっていない家庭用ネットワークに依存しているためです。遠隔医療では、機微な患者情報をオンラインで送信するため、サイバー犯罪者が悪用できる追加の侵入口が生まれます。

医療業界における一般的なサイバー脅威

ランサムウェア

ランサムウェア攻撃 は、成功にはレバレッジ（てこ）に依存します。業務の妨害による損失が大きく、重要なサービスを復旧する必要性が切迫しているほど、ランサムウェア攻撃者のレバレッジは強まります。だからこそ、病院は格好の標的です。ランサムウェア攻撃が成功した場合、手術は延期され、救急患者は代替施設へ搬送される必要があり、重要な患者データへのアクセスも妨げられます。このような状況は医療提供者に対し、サービスを迅速に復旧することを強く迫り、結果としてランサムウェアの運営者が要求の面で大きなレバレッジを持つことになります。

フィッシングおよびソーシャルエンジニアリング

フィッシングやソーシャルエンジニアリング攻撃は、医療分野の攻撃に限られるものではありません。人間の要素は通常、あらゆる組織の中で最も弱い部分であるため、フィッシングはあらゆる業種で依然として主要な攻撃手法です。ただし、医療従事者は患者ケアに主に注力しているため、そうした攻撃に特に影響を受けやすい可能性があります。健康上の懸念に対処するために強く集中していることが、潜在的なセキュリティ脅威に対する警戒心を意図せずに下げてしまう原因になることもあります。さらに、医療従事者は患者、検査補助者、外部監査人など、自分の知らない多くの人々と定期的にやり取りしているため、すべてのメッセージを適切に精査することは大きな負担となります。

インサイダー脅威

患者記録を売って得られる金銭的利益は、従業員にとって魅力的に映ることがあります。サイバー犯罪者は、内部の従業員 に対して、重要なシステムへのリモートアクセスを可能にする見返りとして報奨を提示することが知られています。これは確かに脅威ではありますが、偶発的なデータの喪失や漏えいの可能性のほうがはるかに高くなります。たとえば医療従事者は、患者情報を含むメールを誤った宛先にうっかり送ってしまったり、機密データを誤って公に投稿してしまったりすることがあります。設定が不適切だとデータの露出につながることもあり、紛失した端末によって機微情報が侵害されるおそれもあります。

サイバーセキュリティ侵害が患者の安全と医療業務に与える影響

サイバー攻撃が患者の安全とケア提供を損なう仕組み

医療分野におけるサイバー攻撃は、データのプライバシーに関する懸念 を超えて広範囲に及ぶ影響をもたらします。そのような攻撃は、人々の生活に直接的に影響する可能性があります。最近の Ponemon Institute の研究 は、患者の転帰に対するこれらの攻撃の影響（結果）を次のように示しています：

• 回答者の71%は、ランサムウェア攻撃により手順や検査が遅延し、その結果、患者の転帰が悪化したと報告しました。
• 48%は、これらの攻撃により患者の入院期間が延びたと述べました。

患者記録へのアクセスや医療機器の操作がわずかに遅れるだけでも、生命を脅かす結果につながり得ます。さらに、侵害されたデバイスは重要な場面で故障したり誤った情報を提供したりするため、デバイスの整合性も課題になります。

医療分野におけるデータ侵害の経済的コスト

2024年の医療分野におけるデータ侵害 の平均コストは 977万ドルでした。これは、すべての業界におけるデータ侵害の平均コスト（488万ドル）と比べてみると分かります。医療分野の侵害は、全業界平均の2倍の費用がかかりました。これは最近のことではなく、医療分野の侵害が14年間ずっと最もコストが高い状態にあるためです。医療分野でコストが継続的に高止まりしているのには、いくつかの要因が考えられます：

• 医療データの侵害は、検知して封じ込めるまでに長い時間がかかることがよくあります。
• 医療分野は厳しく規制されており、侵害が発生すると、Health Insurance Portability and Accountability Act (HIPAA) のような法律に基づいて多額の罰金や制裁につながることがよくあります。
• 医療機関のレピュテーション（信用）低下は、患者の信頼の喪失につながり、結果として患者数や収益の減少につながる可能性があります
• 医療ITシステムの複雑さにより、調査と封じ込め（緩和）にはコストがかかります

医療分野のサイバーセキュリティを規定する規制フレームワーク

HIPAA のセキュリティおよびプライバシー規則

健康保険の携行性と説明責任に関する法律（Health Insurance Portability and Accountability Act：HIPAA）は、米国の医療におけるサイバーセキュリティの基幹となる規制です。その主な目的は、患者の健康情報（PHI）を無許可のアクセスから保護し、機密性を維持することにあります。その他の主要な規定には、次のようなものがあります:

• 患者が健康データに関して基本的な権利を持てるようにします。
• PHI を保護するための多面的なアプローチを義務付けており、管理的・物理的・技術的なセーフガードを含みます。
• 組織に対し、環境に関する定期的なリスク分析を実施することを求め、さらにデータ侵害を速やかに報告することを義務付けています。

HIPAA のセキュリティ規則に対する不遵守 は、違反の重大性や意図に応じて、違反 1 件につき 100 ドルから 50,000 ドルまでの大きな罰金につながる可能性があります。

HITECH Act Subtitle D

HITECH Act の Subtitle D は、HIPAA のプライバシーおよびセキュリティに関する完全な規定を、covered entities の business associates（業務委託先）にも適用し、500 人以上に影響するデータ侵害（data breaches）をすべての covered entities が報告することを義務づけています。

HHS 医療サイバーセキュリティのパフォーマンス目標

HIPAA は医療機関にとって必須のベースラインですが、サイバーセキュリティのパフォーマンス目標（CPGs）は、チームがより良いセキュリティを達成するために役立つ詳細な手順書のようなものです。CPGs は、サイバーセキュリティ態勢を改善するための具体的なステップを提示することで HIPAA を補完します。ただし、CPGs は HIPAA の法的要件に取って代わるものではありません。概要として挙げられている施策には、次のようなものがあります：

• 既知の脆弱性を軽減する
• メールセキュリティを導入する
• 多要素認証を使用する
• 基本的なサイバーセキュリティ研修を提供する

GDPR のような国際規制

世界各地で事業を展開する医療機関であれば、適用される国際的なコンプライアンス要件にも従う必要があります。典型的な例として、 General Data Protection Regulation (GDPR) があります。これは、欧州連合（EU）内にいる個人のデータ保護とプライバシーを規定するものです。 GDPR は、EU居住者の個人データを処理するあらゆる組織に対して、組織の所在地にかかわらず適用されるため、適用範囲が広いのが特徴です。データ取り扱いのあらゆる段階でセキュリティ対策を実装することを求めており、データ侵害を72時間以内に当局へ報告することも義務付けています。

医療分野におけるサイバーセキュリティ強化のベストプラクティス

医療データを保護するために、適切なセキュリティ態勢を確立するためのベストプラクティスをいくつか見ていきましょう。

• リスク評価：これらの包括的な評価では、セキュリティポリシーに照らしてデバイス、サービス、およびサードパーティの提供者を検討します。特定されたリスクの潜在的な影響を評価し、セキュリティ上のギャップに対処するとともに、リスクの大きさに基づいて是正（回復）対応の優先順位を付けるために用いられます。
• インシデント対応の計画：脅威を検知し、封じ込め、根絶（排除）し、そして回復するための手順を段階ごとに示します。また、対応チームのメンバーが担う役割と責任も定義します。インシデント対応計画（Incident Response Plan）は動的な文書であり、定期的にテスト、見直し、更新を行うべきです。
• サイバー衛生：サイバー衛生には、強力な パスワードポリシー の徹底、マルチファクター認証（MFA）の導入、脆弱性に対処するためのシステムおよびソフトウェアの定期的な更新とパッチ適用、エンドポイント保護ソリューションの導入、侵入の拡散を制限するためのネットワークセグメンテーション戦略の活用などが含まれます。
• 従業員トレーニング：組織内のすべてのユーザーは、基本的なサイバーセキュリティのプロトコルとベストプラクティスについて教育を受ける必要があります。さらに、PHI と重要な医療機器を扱う部門には、追加の専門的なトレーニングが必要です。トレーニングには、定期的なフィッシング・シミュレーションやセキュリティ意識向上の研修を含めるべきです。
• IoMT デバイスおよび医療機器の確保（セキュリティ）: これらのデバイスを保護すること には、接続されているすべての医療機器の詳細な台帳（インベントリ）を維持すること、パッチを適用すること、可能であればデバイスアクセスに対して強力な認証コントロールを実施すること、そして侵害を示唆し得る異常についてデバイスの挙動を監視することが含まれます。

医療機関向けのサイバーセキュリティ ソリューション

マルチファクター認証とアクセス制御の導入

MFAは、ユーザーがアクセスを要求するときに2つ以上の認証要素を提示することを求めることで、不正アクセスのリスクを低減します。これには、生体認証、一回限りのパスワード（OTP）、プッシュ通知、FIDOキー、SMSベースの認証などが含まれます。職務に応じて権限を割り当てるためにrole-based access control (RBAC) を利用するアクセス制御は、MFAと併せて導入する必要があります。

データの暗号化と安全なデータ保管

今日のデジタル環境ではサイバー攻撃が広く発生しているため、組織は「いずれどこかの時点で攻撃を受ける」前提で運用すべきです。機密性の高い電子データを暗号化することは重要な保護策です。これは、流出した情報が復号鍵なしではアクセスできない状態に保たれることを保証するからです。選択した暗号化方式が HIPAA の要件に適合していることを確認し、データへのアクセスと利用状況を定期的に監査・監視してください。

業務継続性および災害復旧計画

サービスの信頼性ある継続を確実にする唯一の方法は、最悪の事態を想定して計画を立てることです。これには、緊急モードで運用するための手順、役割、責任を明確に定義した包括的な災害復旧計画を作成することが含まれます。計画では、ミッションクリティカルなインフラ、アプリケーション、データを特定し、冗長化されたシステムやバックアップ用の電源を組み込み、停止時間や混乱を最小限に抑えるために、さまざまなシステムに対する復旧時間目標（RTO）を設定する必要があります。

病院および医療システムにおける固有のサイバーセキュリティ課題への対処

EHR システムと患者データを保護する方法

医療分野のサイバーセキュリティについての議論は、Electronic Health Records（EHR）システムの保護から始めなければなりません。あらゆるサイバーセキュリティ戦略には、次のような対策を含める必要があります:

• 患者データを保存時と転送時の両方で暗号化する
• 役割と責任に基づいて厳格なユーザーアクセス制御を実施する
• 定期的なアップデートを適用し、パッチを一貫して適用する
• アクセスおよび管理の変更を追跡するための包括的なログ記録と監視を実装する
• データ損失やランサムウェア攻撃が発生した場合に迅速に復旧できるよう、安全で定期的にテストされたバックアップを維持する

医療機器と重要インフラのセキュリティ確保

ネットワークに接続された医療機器の普及により医療提供は大きく向上しましたが、それと同時に攻撃対象領域（アタックサーフェス）も拡大しています。重要インフラに加えて、これらの機器を保護するための対策には、次のようなものがあります。

• 接続されているすべての医療機器の最新の棚卸しを維持し、それらの脆弱性を評価します
• 既知の脆弱性を軽減するために、医療機器を定期的にアップデートし、パッチを適用します
• ロールベースのアクセス制御を使用して、これらの機器へのアクセス権を持つ人を制限します
• 侵害による潜在的な被害を抑えるため、医療機器を別のネットワークセグメントに分離します
• リアルタイム監視を活用して、不審な挙動や侵害の兆候を特定します

ベンダーおよび第三者リスク管理

組織のセキュリティは、サプライチェーンや、あなたのシステムにアクセスできるその他の第三者組織の体制と同程度にしか確保されません。そうすることは気が進まないかもしれませんが、連携するすべての外部パートナーに対して、次の手順を実施してください:

• データのセキュリティ、プライバシー、および侵害（漏えい）通知手順を規定する、明確な契約条項を定める
• オンボーディングの前に、潜在的なベンダーに対して徹底的な評価を行い、セキュリティ実践と、HIPAA のような規制への準拠状況を確認してください
• 最小権限の原則を用いて、ベンダーの機密性の高いシステムやデータへのアクセスを制限します：principle of least privilege

患者のプライバシーを守るためのサイバーセキュリティの役割

機密性、完全性、可用性（CIA）トライアド

機密性、完全性、可用性（CIA）トライアドは、情報セキュリティの基本モデルとして機能してきました。その起源は、外部からの脅威に対して情報を守ることに重点を置いた軍事的なセキュリティ実践にまでさかのぼれます。また、今日では医療機関にとって特に重要です。名称が示すとおり、 CIA triad は3つの要素で構成されています。

1. 機密性：患者情報が許可を受けた人のみがアクセスでき、非公開の状態を保つことを保証します。セキュリティ対策には、強力なアクセス制御、暗号化、安全な通信チャネルの導入が含まれます。これにより、機微な情報が無断で開示されることを防ぎます。
2. 完全性：患者データのライフサイクル全体を通じて、その正確性と一貫性を維持することに焦点を当てています。これにより、臨床データの信頼性が保たれ、正確な診断、治療計画、そして患者の安全に不可欠となります。セキュリティ対策には、自動化されたバックアップソリューション、ユーザーの役割に基づいてデータアクセスを制限する Role-Based Access Control (RBAC)、およびデータ検証のためのチェックサム（checksums）が含まれます。
3. 可用性：患者データ、アプリケーション、および重要なシステムが必要なときに利用できるようにすることです。特に、遅れが患者のケアを危険にさらし得る緊急時に重要です。必要な対策としては、冗長化されたシステム、バックアップ電源、災害復旧計画などが考えられます。

医療分野におけるサイバーセキュリティの新しい動向

医療分野のサイバーセキュリティにおける新しい動向は、組織が機微な患者データや重要なシステムをどのように保護するかを再構築しています。以下では、医療のセキュリティ実践に大きな改善をもたらしている、急速に進化する取り組みの一部を紹介します。

サイバー防御における人工知能（AI）と自動化

複雑なサイバー攻撃への対応には、人間の専門知識、批判的思考、そして直感が引き続き不可欠ですが、自動化とAIは医療分野のサイバーセキュリティにおいて、ますます強力な“増幅要因（マルチプライヤー）”として機能するようになっています。これらの技術により、組織は機械の速さで脅威に対抗できるため、セキュリティチームは戦略的な意思決定に集中できるようになります。AIと自動化が医療のセキュリティを強化する主な方法は次のとおりです：

• 迅速な脅威の検知と対応
• 先を見据えた防御のための予測分析
• 強化されたユーザー行動分析
• インテリジェントなネットワークトラフィック分析
• 自動化された脆弱性評価

医療分野におけるクラウドセキュリティ

2023年の業界調査によると、ヘルスITの専門家の70% が、組織がクラウドコンピューティングのソリューションを導入していると報告しています。大きな理由は、クラウド事業者が企業レベルのセキュリティ機能を提供しているためです。これは、多くの医療機関にとって社内で構築・運用するには費用が過大で、かつ非常に複雑になりがちです。クラウド事業者のセキュリティ基盤、経験豊富なセキュリティチーム、そして高度なセキュリティツールは、個々の組織が独力で達成できる範囲をしばしば上回ります。その他の利点として、AIのような最先端技術にアクセスできること、また変化する患者および運用ニーズに合わせてサービスを動的にスケールできることが挙げられます。

ゼロトラスト・アーキテクチャへの移行

Zero Trust は「決して信頼せず、常に検証する（never trust, always verify）」という考え方に基づいて運用されます。つまり、すべてのユーザーとデバイスに対して、継続的な認証と認可を徹底することを意味します。これは、機微な患者データを保護し、拡大する IoMT（医療分野のモノのインターネット）デバイス、アプリケーション、そして重要システムを守るために、医療分野のサイバーセキュリティで急速に支持を得つつあるアプローチです。医療環境に適した Zero Trust アーキテクチャの主要コンポーネントには、次が含まれます:

• アイデンティティおよびアクセス管理（IAM）
• 暗号化
• セグメンテーション
• 継続的な監視と行動分析
• 最小権限のアクセス制御

医療分野におけるサイバーセキュリティインシデント

英国の国民保健サービス（NHS）への WannaCry 攻撃

英国の国民保健サービス（NHS）は、2017年5月12日に発生した世界的な WannaCry ランサムウェア攻撃の影響を受けた多くの組織の1つでした。この攻撃は、150か国以上で20万台以上のコンピューターに影響を与えました。NHSにとっては、何千もの予約や手術が中止となり、場合によっては患者が他の病院へ転院させられる必要がありました。人員は業務を継続するために、ペンと紙に戻り、個人の携帯電話を使って運用を続けなければなりませんでした。最終的に、この攻撃はNHSに約9200万ポンド（£92 million）の費用を負わせたと推定されています。

米国の病院で発生した注目すべきランサムウェア攻撃

2023年、米国では141の病院がランサムウェア攻撃の直接的な影響を受けました。この傾向は2024年にも続きました。具体的には、2024年1月31日にシカゴの Ann & Robert H. Lurie Children’s Hospital がサイバー攻撃の被害に遭い、その結果ITシステムがオフラインに追い込まれたことを私たちは目の当たりにしました。EHRがオフラインの間、スタッフはダウンタイム手順のもとで働き、EHRが利用できない状態で患者情報を手作業で記録することを余儀なくされました。病院はシステムを完全に復旧するまで数週間にわたり苦戦し、最終的にこの侵害により791,784人の個人の機微な医療情報が流出・露出しました。

これと同様の事案として、米国最大級の非営利の医療システムの1つである Ascension Health は、19の州にまたがる140の病院の多くに影響を及ぼすサイバー攻撃を受けました。この攻撃の復旧にはほぼ6週間かかり、電子医療システムへのアクセスを回復して通常の運用を再開しました。また、この攻撃により約5,599,699人の個人情報が侵害されました。

ヘルスケアにおけるサイバーセキュリティの未来

ヘルスケアにおけるサイバーセキュリティ技術の進化

サイバーセキュリティは、進化し続ける攻撃手法に歩調を合わせるために、継続的に進化していく必要があります。初期のサイバーセキュリティ対策は、主に境界防御や必須の マルウェアの防止に重点が置かれていましたが、医療機関は自社のシステムおよびホストされているデータにアクセスする際にゼロトラストへ移行しなければなりません。AIや自動化ツールのような新技術に加えて、データの整合性を確保し、医療記録を安全に保つために Blockchain テクノロジーが登場しています。パスワード攻撃がいかに簡単に仕掛けられるかを考えると、MFA は標準的な実践となり、次第にパスワードを生体認証やセキュリティキーなどの代替認証方法で置き換えていくことになります。

医療業界でサイバー・レジリエンスを構築する方法

今日の、いささか不快な真実のひとつは、組織に対するすべてのサイバー攻撃を止めることはできないという点です。だからこそ、単なる防御策を超えて、サイバー・レジリエンスを重要な目標に据える必要があります。サイバー・レジリエンスは、サイバーインシデントに備えること、対応すること、そして復旧することに焦点を当てます。レジリエンスが高いほど、持続性を保ち、攻撃に耐え、そして業務の継続性を維持できる可能性が高まります。医療にとって、業務継続は不可欠です。

まず、現在のサイバーセキュリティ態勢を徹底的に評価することから始めてください:

• 医療においてミッションクリティカルなサービスとシステムを特定する
• 患者ケアに必要な最低限の運用要件を文書化し、さまざまなシステムで許容できるダウンタイムの範囲を決定する
• すべての PHI の保管場所を棚卸しし、データが暗号化されていることを確認する
• 現在のバックアップおよびリカバリ手順を評価し、必要に応じて改善する
• すべてのベンダーおよびパートナーとの接続を洗い出し、業務提携先契約（business associate agreements）におけるセキュリティ要件を確認する
• 代替の処理手順を確立する

ここでの目的は、攻撃を防ぐことや、攻撃を受けている最中でも組織が不可欠な医療サービスを提供し続けられるようにすることだけではありません。これらの要素を定期的に評価し、テストすることで、運用上のレジリエンス（復元力）を維持できます。

Netwrixがどのように支援できるか

Netwrix は医療機関向けに、サイバーセキュリティにおける課題へ対処するために設計された一連のソリューションを提供しています。

• Netwrix Threat Manager: 機械学習とユーザー行動分析を活用した高度な脅威検出により、不審な活動をリアルタイムで特定し対応することで、重要な医療業務への支障を防ぐのに役立ちます。
• Netwrix Password Policy Enforcer: Active Directory 全体にわたって強力でカスタマイズ可能なパスワードポリシーを適用し、弱い、または侵害されたパスワードによるリスクを軽減して、機微な患者情報とシステムを保護します。
• Netwrix Password Secure: リアルタイムのアラートと包括的なレポートでパスワードのセキュリティを強化し、医療システムやデバイスに影響を与え得る脆弱性を、先回りして特定・解決できるようにします。
• Netwrix Directory Manager Password Management: 医療スタッフが Entra ID および Active Directory で自分のパスワードを自己リセットできるようにし、ダウンタイムを最小限に抑えながら、IT チームが戦略的な取り組みに集中できるようにします。追加のセキュリティとして、パスワードのリセットに多要素認証（MFA）または管理者の承認を必須にしてください。
• Netwrix Access Analyzer for AD/Entra ID: weak passwords や不審なログオンイベントなどの重要なセキュリティ脅威を特定し、対応しながら、HIPAA のような医療規制へのコンプライアンスを維持します。
• Netwrix Auditor: IT 環境全体におけるユーザーの活動とシステム変更を完全に可視化し、リスクを迅速に検知して対応することで、医療業務のセキュリティと完全性を確実にします。

安全な医療環境のためにサイバーセキュリティを最優先する

現在の医療分野には、現実のサイバーセキュリティ上の課題がいくつもあります。そのため、医療業界のあらゆる組織は、安全な医療環境を実現するためにサイバーセキュリティを最優先事項として位置付ける必要があります。サイバーセキュリティを患者の安全に関する取り組みと連携させることで、医療機関は機密性の高いデータを保護し、医療の継続性を確保し、そして公共の信頼を維持できます。サイバーセキュリティの意識を文化として根付かせるには、企業のリーダーシップのコミットメントが欠かせません。リーダーは、サイバーセキュリティを、経営層から現場スタッフに至るまで組織全体で共有する責任であると捉える文化を醸成しなければなりません。未来を予測することはできませんが、サイバー脅威は今後も進化し続けることは分かっています。だからこそ、医療従事者（医療提供者）はサイバーセキュリティへの取り組みにおいて、常に警戒し、変化に適応できる状態を保ち、積極的に行動する必要があります。そうすることで、患者情報を守り、規制を遵守し、ますます相互に結びつく医療エコシステムの中でも質の高い医療の提供を確実にできます。

よくある質問（FAQs）

医療分野ではサイバーセキュリティはどのように活用されていますか？

医療におけるサイバーセキュリティの主な目的は、機密性の高い患者データを保護し、医療サービスの整合性を確保することです。医療機関はこれを達成するために、次を含むさまざまな戦略を実施しています：

• 安全なログイン認証情報、多要素認証、ロールベースのアクセス制御によるアクセス制御により、承認された担当者のみが患者記録にアクセスしたり、医療システムを利用したりできるようにします。
• データ暗号化により、保存中およびシステム間での送信中の両方で患者記録を保護します。
• ファイアウォール、ネットワークのセグメンテーション（分割）、侵入検知システムを用いたネットワークセキュリティにより、接続された医療機器や臨床システムをサイバー攻撃から保護します。
• ポリシーを活用したデバイス管理により、医療機器がネットワークにどのように接続されるか、セキュリティ更新をどのように受け取るか、ファームウェアのバージョンをどのように維持するかを統制します。

2024年に進化する医療向けサイバー攻撃で何が起きましたか？

2024年2月の Change Healthcare に対するサイバー攻撃は、米国の医療システムに対する最も重要なランサムウェア攻撃の一つでした。その結果、1億人を超える個人に関する個人の医療情報が盗まれ、米国史上で知られている中でも最も重要な医療データの窃取事件となりました。

医療においてサイバーセキュリティは何をしているのでしょうか？

医療業界は、サイバーセキュリティによって患者データ、医療機器、医療システムをデジタル脅威から守ることに依存しています。これは、機微な健康情報の機密性・完全性・可用性を確保するために設計された、さまざまな防護措置を含みます。これらの措置には、厳格なアクセス制御の導入、保存時および転送時のデータ暗号化、高度なファイアウォールやアンチウイルスソフトウェアの導入、そしてスタッフ教育が含まれます。 医療サイバーセキュリティのもう一つの側面は、HIPAA のような規制への遵守を徹底することです。 , 定期的にセキュリティ評価を実施し、ベストプラクティスをスタッフに教育します。強固なサイバーセキュリティ手順を維持することで、医療機関は データ漏えいを防止し、業務の継続性を保ち、ますますデジタル化が進む医療環境において患者の信頼を維持できます。

なぜ医療はサイバーセキュリティの脅威にとって最優先の標的になりやすいのでしょうか？

医療業界は、機微なデータと重要な業務運用が豊富であるため、サイバー犯罪者にとって明確な狙い目となります。また、盗まれた医療データはダークウェブやその他の不正なマーケットプレイスで販売される際に高値で取引されます。医療サービスの性質が極めて重要であることから、組織は必須の患者ケア業務を復旧するために身代金をより迅速に支払う可能性が高くなり、恐喝のターゲットとして魅力的になります。さらに多くの医療組織は、古いシステム、限られたリソース、相互に接続されたデバイスから成る複雑なネットワークに悩まされることが多く、その結果、数多くの脆弱性が生まれます。

医療におけるサイバーセキュリティをどのように強化するには？

医療機関は、いくつかの重要な戦略によってサイバーセキュリティを強化できます：

• 多要素認証とロールベースのアクセス制御（RBAC）を含む、厳格なアクセス制御を実装する
• 保護対象の医療情報（Protected Health Information）を、保存時と転送時の両方で暗号化する
• 定期的にリスク評価を実施し、リスク管理を業務プロセスに統合します。
• すべてのスタッフに対して、役割と責任に合わせた継続的なサイバーセキュリティ研修を提供します
• インシデント対応計画を作成し、定期的に更新します。
• 誰もが本質的に信頼されているわけではないという前提で、ゼロトラストの考え方を採用し、ネットワーク分離と継続的な監視の仕組みを導入します。

医療分野におけるサイバーセキュリティ上の脅威にはどのようなものがありますか？

医療機関は、データ漏えい、ランサムウェア、フィッシング攻撃、故意または偶発的な insider threats、ソーシャルエンジニアリング、サプライチェーン攻撃など、幅広いサイバーセキュリティの脅威に直面しています。さらに状況を難しくしているのは、医療機関がペースメーカー、インフュージョンポンプ（輸液ポンプ）、ウェアラブルデバイスのようなデバイスを使用していることが多い一方で、これらが十分に保護されていないケースが多く、攻撃者にとっての侵入口になってしまう点です。