【インフォグラフィック】医療業界におけるITリスク：期待と現実

Netwrixは 2018 IT Risks Survey を実施し、組織が6つの一般的なITリスク（物理的な損傷、知的財産の窃取、データ損失、データ侵害、システムの中断、コンプライアンス上のペナルティ）にどのように対処しているのかを詳しく調べました。業界が自らの脅威をどのように捉えているのかを理解するために、医療機関140社が共有した興味深いデータを一部抜粋しています。主に、これらのリスクに関する期待が現実と一致しているかどうか、つまり、組織が最も心配しているインシデントがこの1年で実際に経験したものと同じかどうか、また、恐れている脅威アクターが実際のインシデントの原因として本当に関与しているのかどうかを明らかにしたいと考えました。

これらの IT リスクが世界中の企業にとってどれほど危険になり得るのかを示すために、調査結果を、実際に医療機関にどのような影響を与えてきたのかという現実の事例で裏付けることにしました。

物理的な損傷

物理的な損傷とは、サーバー、ノートパソコンなど、組織のハードウェア資産に対するあらゆる損害を指します。さらに ネットワーク機器も含まれます。物理的な損傷につながる脅威には、自然災害、不適切な保管環境、不十分なハードウェアメンテナンスや不注意な取り扱い、従業員のミス、そしてハッカーによる意図的な攻撃などがあります。医療機関にとって、物理的な損傷は、保護されている個人の医療情報（PHI）の喪失、システム停止、および医療サービスを提供できないことにつながり得ます。場合によっては、物理的な損傷は患者の生命と健康に対する直接的な脅威となります。たとえば重要な機器が故障していると、患者は緊急に必要としているレベルのケアを受けられない可能性があります。

調査結果によると、物理的な損傷に関しては、全体として期待は現実と一致しています。医療機関はハードウェア障害を最も危険なセキュリティ脅威だと考えており、実際にそれは、過去1年間に組織が最も頻繁に経験したインシデントの種類です。とはいえ、組織が危険だと認識している脅威の主体と、実際のインシデントの原因になっている脅威の主体にはギャップがあります。大多数（61%）の組織は、退職する従業員を最大の脅威だと見ていますが、現実には、最も多くのインシデントを引き起こしているのは通常の利用者です（58%）。不満を抱く退職者はさらに後れを取り、3位（23%）にとどまっています。

事例研究：火災に見舞われた Port Shepstone 病院

2017 年 5 月、南アフリカの Port Shepstone Provincial Hospital で火災が発生しました。火は IT サーバールームで発生し、コンピューターやその他の設備が破壊されました。200 人の患者は近隣の他の病院へ転院しなければならず、いくつかの病院サービス（例：予定手術の眼科手術）は一時的に利用できませんでした。自治体のスポークスマンである Simon April は、病院のサーバーに保存されているデータも失われた可能性があると述べました。 「サーバールームは情報が保管されている中心的な場所なので、バックアップシステムがない限り情報が失われた可能性があります。」

知的財産の盗難

知的財産（IP）には、著作権、商標、または営業秘密に関する法律によって保護される、非常に機微な情報が含まれます。これらの資産を本人が意図的に盗んだり、悪用したりするケースは、知的財産の盗難と呼ばれます。IP 盗難のリスクは、新薬の研究開発に携わる製薬会社にとって特に深刻な懸念です。この研究は非常に価値が高く、製薬会社同士の競争も激しいため、金銭目的や報復のために IP を盗んだ、または盗もうとしたハッカーやインサイダーに関するニュースを頻繁に目にするのも不思議ではありません。

知的財産の盗難は企業間の競争によって引き起こされることもあれば、ハッカーや悪意あるインサイダーによって行われることもあります。いずれの場合でも、医療機関にとって考えられる潜在的な影響として、競争上の優位性の喪失、事業成長の鈍化、そして医薬品開発に関する非常に価値の高い計画の喪失が挙げられます。

調査によると、医療機関は自社の知的財産に脅威をもたらすのがどのような活動なのかを、常に正しく理解できているわけではないことが分かりました。全体として 70% の企業がサイバーエクスチェンジ（サイバー恐喝）を怖れていると回答しましたが、実際には昨年、医療機関の知的財産に影響を与えた事件の大半は人為的なミスが原因でした。サイバーエクスチェンジは順位が下がり 4 位でした。知的財産の窃盗は主に悪意ある意図と結びつくものの、人間のミスのほうが、貴重な営業秘密、特許、その他の機密データの喪失につながりやすくなっています。たとえば、注意を怠る IT チームのメンバーが、密かに退職する準備をしている不満を抱える従業員に過剰なアクセス権を与えてしまうことがあります。また、一般ユーザーがフィッシングリンクをクリックしてマルウェアがダウンロードされてしまうといったミスを犯し、知的財産が危険にさらされることもあります。

脅威の主体という観点では、期待は現実と一致しています。その結果から、医療機関は「自分たちにとって最も危険なのは誰か」を十分に理解していることが分かりました。実際に最も問題を起こすのは離職する従業員であり、組織が恐れているのもそうした人物だということです。

ケーススタディ：GlaxoSmithKline の元従業員が営業秘密を盗む

2016 年、製薬大手 GlaxoSmithKline（GSK）の元研究科学者 2 人を含む 5 人が、米国で、営業秘密を盗んで中国で販売しようとする計画に関与したとして起訴されました。検察当局によると、この 2 人の科学者は、GSK 製品の十数点以上に関する機密データを自分たちの知人（共犯者）に電子メールで送っていました。知人たちは、中国に設立した会社を通じてその営業秘密を市場に出し、GSK と直接競合することを計画していたとのことです。盗まれたデータには、複数のバイオ医薬品の開発に関する情報に加え、バイオ医薬品の GSK における研究、開発、製造に関する情報が含まれていました。2018 年、2 人の科学者はいずれも知的財産の窃盗を行ったとして有罪を認めましたが、正確な金銭的な被害額はまだ算定されていません。

データ損失

データ損失は通常、保存・処理・送信のいずれかの段階で障害が発生し、情報が破壊されることで起こります。データ損失は意図的に行われる場合もあります（例：消去、セッションハイジャック、マルウェアの侵入、IoTのエクスプロイト）。また、人為的なミスの結果として生じることもあります。別のケースとして、機密データにアクセスできる携帯端末が紛失または盗難に遭うことがあります。このようなインシデントが医療機関にもたらす影響は深刻になり得ます。顧客や従業員の極めて機微なデータ（個人情報、財務データ、臨床検査の結果を含む）が誤った相手の手に渡った場合、それらはフィッシング攻撃、脅迫、詐欺に悪用される可能性があります。たとえ患者データが盗まれるのではなく「失われる」だけであっても、重要な医療手順が遅延し、意思決定に必要な情報が十分に得られないおそれがあります。いずれの場合でも、企業は顧客の信頼（ロイヤルティ）を失ったり、事業の進行スピードが低下したり、最悪の場合は破産に至る可能性があります。

医療機関にとっては、ほかの種類のデータの損失も大きな懸念事項です。たとえば製薬会社が臨床試験に関する情報を失った場合、研究開発プロセス全体を最初からやり直さなければならず、その結果として競合他社より先に新製品を発売できない可能性があります。最終的には、データを再現するために費やした時間と費用に加えて、競争上の優位性や市場シェアを失うことにもつながり得ます。

調査結果は、多くの医療機関が「意図的な消去」を恐れていることを示しています。しかし実際には、データ損失に関わるインシデントの真の第一原因である人為的ミスに、より注意を払う必要があります。意図的な消去はそもそも上位5つに入っていません。挙げたのは回答者のわずか11%であり、ほかのデータ損失の原因（例：ハードウェア障害や紛失／盗難された端末）と比べても大幅に少ない割合です。

脅威アクターの観点でも、組織が「誰を恐れるべきか」を十分に理解できていないことが改めて見えてきます。組織は離職する従業員を誰よりも恐れており（63%）、しかし実際には、データ損失の大半を引き起こすのは一般の業務ユーザーです。繰り返しになりますが、離職する従業員は危険に見えるかもしれませんが、他の脅威アクターの中でも先頭に立つ存在ではありません。離職する従業員が実際のインシデントに関与していたと答えたのは、回答者のわずか21%でした。

ケーススタディ：テキサス州のがんセンターが大量の機密データを紛失

2018年、米国保健福祉省（U.S. Department of Health and Human Services）の公民権局（Office for Civil Rights）は、HIPAA違反に関する4番目に大きい罰金を発表し、その対象は University of Texas MD Anderson Cancer Center でした。 この件は、2012年と2013年に発生した3件の出来事に端を発しています。従業員のノートパソコンが盗難に遭い、さらに2つのサムドライブ（thumb drives）が紛失しました。これらのすべての機器には、MD Andersonの患者の電子的保護医療情報（ePHI）が保存されていました。

合計で、34,883人分のPHIが失われ、未承認の個人にさらされていた可能性があります。分析の結果、ePHIを含む携帯用デバイスが暗号化されていなかったことが判明し、これはHIPAAに対する直接の違反でした。HIPAAが求めるセキュリティ管理策を実装できなかったため、MD Andersonは罰金4,348,000ドルの支払いを命じられました。

データ侵害

残念ながら、医療業界はデータ侵害とは無縁ではありません。近年大きく報じられた侵害には、2015年の Premera Blue Cross と Anthem の事件があります。データ侵害とは、機密性の高い、保護対象または機密データが、未承認の個人によってコピー、送信、閲覧、盗難、または使用されていることが確認されたセキュリティインシデントです。医療業界の場合、データ侵害はしばしば PHI の侵害を伴いますが、中には支払い情報や個人を特定できる情報（PII）など、別の種類のデータが含まれるケースもあります。

Verizon 2018 DBIR によると、医療分野での侵害（ブリーチ）における最も頻繁な脅威パターンは、主として誤配（misdelivery）や意図しない開示（unintended disclosure）の形で現れる、さまざまなミス（miscellaneous errors）です。データ侵害の結果には、非常に機微なデータの大規模な漏えいが含まれます。こうしたデータは、闇市場で容易に転売されたり、恐喝や詐欺に悪用されたりするほか、憤慨した顧客からの訴訟、重大なコンプライアンス違反の罰金、風評被害も発生します。

調査回答者の大半（68%）は、IT リスクの中でデータ侵害を最優先事項に挙げました。ほとんどの医療機関（79%）は、パスワード共有を最も危険な脅威パターンとして挙げています。 しかし実際には、侵害の多くは、意図しない開示やフィッシング・リンクのクリックなどの人為的ミス（24%）によって引き起こされました。とはいえ、脅威の主体（攻撃者）については期待が現実と一致していました。一般ユーザーが主な脅威主体だと見なされており、実際の脅威主体も一般ユーザーでした。

ケーススタディ：Premera Blue Cross がデータ侵害スキャンダルの中心に

2015 年、ヘルス保険の大手 Premera Blue Cross は、2014 年 5 月の侵害（ブリーチ）中に、1,100 万人超の顧客に関する情報を含むデータベースが侵害されたことを明らかにしました。 会社の従業員がフィッシング攻撃の被害に遭い、その結果ハッカーは保険会社のネットワークにマルウェアをインストールできるようになりました。 公開声明で Premera は、攻撃者が顧客の診療（臨床）情報、銀行口座番号、社会保障番号、生年月日など、さらに多くの情報にアクセスできた可能性があると述べました。

2014年4月、米国人事管理局（OPM）は、事件が明らかになるわずか1か月前に、Premeraに対して「Premeraのシステムを通常の監査で多数のセキュリティ上の欠陥を見つけた」と警告していました。その結果、Premera Blue Crossは、Premeraが顧客の個人情報を十分に保護せず、またデータ侵害について適時に通知しなかったとして主張する、規模の大きい集団訴訟に直面しました。さらに、2018年に明らかにされた裁判資料によれば、Premeraは、集団訴訟が提起された後にハッカーが自社のシステムからデータを盗んだことを裏付け得る証拠となる可能性のあるコンピューターおよびソフトウェアのログを、意図的に破棄したとして非難されています。

システムの中断

システムの中断（またはサービス中断）とは、一定期間にわたり特定のシステムが本来の主要機能を提供または実行できなくなることです。よくある原因には、システム障害（停電を含む）、自然災害、外部者および内部者の双方が用いる悪意のある手法（例：DDoS攻撃、サボタージュ、ランサムウェア）、そして人為的なミスがあります。医療機関にとって、計画されていないダウンタイムは、患者ケアから入院、サプライチェーンなど運用のあらゆる側面に支障が及ぶ可能性があるため、効果的に機能できないことを意味します。たとえば、システムの中断によって、電子健康記録（EHR）システムに依存している組織が、患者登録、予約のスケジューリング、検査結果へのアクセスを行えなくなる場合があります。システムの中断は、IT（遠隔医療）を使って遠隔から患者に臨床医療を提供する組織にも課題を生み出し、また、研究を継続できず、その結果として貴重な時間とお金を失う可能性がある製薬会社にも問題となり得ます。

ここでも、期待と現実が一致していません。人為的なミス（72%）がシステム中断の主な原因だと考えられている一方で、実際には大半のインシデントは停電（48%）が原因です。人為的なミスは2番目（45%）に位置付けられています。また、医療機関はシステム中断の大部分をハッカーのせいだと非難しつつも、実際のインシデントの大半の責任はITチームのメンバーにあると報告しています（36%）。ハッカーは6位にとどまり、そう答えたのは回答者の29%でした。

事例研究：NHS が史上最大規模のランサムウェア攻撃を受ける

ランサムウェアは実際のシステム障害の主な原因ではありませんでしたが、医療業界におけるシステム障害の影響を示す有名な事例としては、ランサムウェア関連のケースがあります。複数の病院に同時に影響を与えたため、大規模な世論の反発が起きました。ご想像のとおり、英国の WannaCry NHS の事例です。

2017年にWannaCryのサイバー攻撃が世界中に広がったとき、British NHS が最も大きな打撃を受けました。イングランドとスコットランドの病院やGP（一般診療）施設は、データを暗号化するためにWanna Decryptorと呼ばれるマルウェアを使用したランサムウェア攻撃によって少なくとも16の医療サービス組織が被害を受けたうちの一部です。アクセスを復旧するために300ドルから600ドルの支払いを求めたこと自体も問題ではあるものの、最悪なのはそれ以上のことでした——この攻撃によって英国では手術のスケジュールに大きな混乱が生じました。電話を含む重要なシステムが攻撃されたため、スタッフは日々の業務を行う際に、ペンと紙に戻り、各自の携帯電話を使わざるを得なくなりました。さらに、患者を受け入れられず予約をキャンセルしなければならず、患者には緊急時のみ医療を受けるよう助言が出されました。

コンプライアンス違反による罰則

コンプライアンス違反による罰金は、厳密にはITリスクそのものではありませんが、医療機関にとって大きな懸念事項です。コンプライアンス基準は年々厳格化され、新しい基準も定期的に登場するため、すべての要件を満たすことはますます難しくなっています。医療機関は、業界固有の基準（例：HIPAAやHITECH Act）だけでなく、クレジットカード決済を受け付ける場合はPCI DSSのような基準にも従わなければなりません。非遵守の最も明白な結果は巨額の罰金です。たとえば、HIPAA違反の罰金は最大で50,000ドルに達し、繰り返し違反の場合は最大150万ドルとなることがあります。

コンプライアンス基準では、PHIおよび患者や従業員のその他の個人データが、常に徹底して保護されていることを組織が証明することを求めています。調査の結果、医療機関の74%は、予期しないコンプライアンスチェックに対して「準備ができている」と考えていることが分かりました。約3分の1（31%）の組織は、いつかはコンプライアンス担当者の人数を増やす計画があると回答した一方で、別の組織（24%）は、将来的にコンプライアンス業務のための追加採用はしないと答えています。

事例研究：Anthem、史上最大の HIPAA 漏えいに関する和解金の支払いに同意

2014年12月、ハッカーは米国第2位の健康保険会社である Anthem が所有するデータベースを侵害しました。侵害が判明したのは 2015 年 1 月 27 日になってからで、そのきっかけはデータベース管理者が、自分の認証情報が疑わしいクエリを実行するために使われていることに気付いたためです。その間に、ハッカーは 7800 万人のプラン加入者のデータ（氏名、住所、生年月日、医療識別番号、雇用情報、メールアドレス、社会保障番号）を盗み出しました。

2018年、Anthem は 2015 年のデータ漏えいに対して 1600 万ドルの罰金を支払うこと、そして調査の過程で Office of Civil Rights（OCR）が見つけたコンプライアンス上の問題に対処するための、強力な是正措置計画を実施することに合意しました。この罰金は、2016年に Advocate Health Care に科された、これまでの記録である HIPAA 漏えいに関する和解金 555 万ドルの 3 倍以上です。

まとめと今後の計画

調査結果は、医療機関の期待が必ずしも現実と一致しないことを示しています。実際には、業務ユーザーによる人為的なミスや悪意ある行為が、マルウェアの侵入やその他のハッカー活動よりも、通常はより大きな被害につながります。

データ漏えいは、業界に最も大きな影響を与える IT リスクのリストで上位に挙がっています。データ漏えいが発生した場合に組織が直面しなければならない深刻な結果を考えれば、これは驚くことではありません。これには、訴訟、風評被害、顧客ロイヤルティの喪失、ライセンスの停止または喪失、そしてもちろん金銭的な損害が含まれます。—2018 Ponemon Cost of Data Breach Study は、ヘルスケア業界がすべての業界の中で、1人当たりのデータ漏えいコストが最も高いと述べています（紛失または盗難された記録1件あたり約408ドル）。

医療機関は、こうしたリスクを深刻に受け止めています。将来、セキュリティ投資を 141% 増やす計画があり、サイバーセキュリティを改善するための重要な方法として、セキュリティインシデントの検知を重視しています。

こちらで、医療業界向けの2018年ITリスク調査結果の全インフォグラフィックをご覧ください：

よくある質問（FAQ）

医療分野でデータ漏えいを防ぐには？

医療分野のデータ漏えいを防ぐには、アイデンティティのセキュリティから始まる“多層防御（defense-in-depth）”のアプローチが必要です。最も効果的な戦略は、アクセス制御、継続的な監視、そしてインシデント対応の計画を組み合わせることです。 least privilege access の原則を実装しましょう。医療従事者は、自身の担当する職務に必要な患者データのみへアクセスすべきです。たとえば、看護師が突然、自部署以外で何百もの患者記録にアクセスするような異常なアクセスパターンを検知できるリアルタイム監視システムを導入してください。人為的なミスは医療分野の漏えいの大半に関与するため、定期的なセキュリティ意識向上トレーニングが重要です。基本を忘れないでください。パッチ管理、保存時および転送時のデータ暗号化、安全なバックアップ手順です。多くの医療機関が見落としがちな重要なポイントは、漏えい防止は“完璧なセキュリティ”を目指すことではなく、競合他社よりも攻撃されにくい組織にすることだという点です。

HIPAA のコンプライアンスとは何ですか？なぜ重要なのでしょうか？

HIPAA compliance は、患者のプライバシーを保護し、保護対象のヘルス情報（PHI）を確実にするための医療業界の枠組みです。HIPAA は、罰金を避けること（数百万ドルに達することもあります）にとどまらず、遵守そのものが重要だからです。HIPAA compliance は、患者の信頼を築き、法的責任を軽減し、組織全体でセキュリティを意識した文化を形成します。規制は主に3つの領域を対象にしています。プライバシー・ルール（誰が PHI にアクセスできるか）、セキュリティ・ルール（電子 PHI をどのように保護するか）、そしてブリーチ通知ルール（問題が起きたときに何をすべきか）です。先進的な医療機関は、HIPAA を負担ではなく競争上の優位性として捉えています。患者は、自分の最も機微な情報を任せる先として、ますます信頼できる提供者を選ぶようになっています。

医療におけるサイバーセキュリティはなぜ重要なのでしょうか？

医療におけるサイバーセキュリティが重要なのは、患者の安全と data privacy が現代の医療では切り離せないからです。サイバー攻撃で病院のシステムが混乱すると、データが損なわれるだけではありません。重要な治療の遅れ、手術の中止、そして救急部門が患者を別の場所へ振り分けざるを得ない状況につながることもあります。医療機関は、闇市場（ダークウェブ）で非常に価値の高いデータを一部保管しています。完全な病歴、Social Security numbers、保険情報、財務データなどがすべて同じ場所に集約されてしまうのです。すぐに停止できるクレジットカード番号とは異なり、医療IDのなりすまし（医療分野の身元窃盗）は解決に何年もかかることがあり、偽造された医療記録が誤った治療につながると致命的になる可能性もあります。連携された医療機器や遠隔医療（telemedicine）の普及によって攻撃対象範囲は指数関数的に拡大しており、強固なサイバーセキュリティは“重要”なだけでなく、患者ケアと組織の存続に不可欠です。

医療分野における最大の IT リスクは何ですか？

医療分野における最大の IT リスクは、従来型のサイバー脅威と、業界特有の脆弱性が組み合わさったものです。 内部不正（インサイダー脅威）がトップに挙げられます。つまり、正当なアクセス権を持つ医療従事者が、患者データを意図的または偶発的に誤用することで、事件の大半を占めます。医療機関を狙い撃ちするランサムウェア攻撃は指数関数的に増加しており、攻撃者は病院が長時間の稼働停止に耐えられないことを理解しています。医療機器は、適切なセキュリティ対策がないままより多くの機器が病院ネットワークに接続されることで、新たな脅威としての医療機器脆弱性が顕在化しています。第三者ベンダーを通じたサプライチェーン攻撃により、攻撃者は医療ネットワークへのバックドアを得ることができます。見落としてはならないのは「人の要因」です。資格情報を渡させたり、マルウェアのダウンロードをさせたりするフィッシング攻撃は、依然として非常に破壊的な効果を発揮します。最も危険なリスクは、組織の安易さ（コンプライアンス信仰）です。つまり、善意と規制順守だけで、洗練され意欲を持つ攻撃者を防げると考えてしまうことです。

医療分野のサイバーセキュリティのベストプラクティスをどのように実装すればよいですか？

医療分野のサイバーセキュリティのベストプラクティスを実装するには、セキュリティと患者ケアの運用上の現実とのバランスを取る必要があります。まずは Identity and access management から始めましょう。すべてのユーザーに固有の認証情報を持たせ、すべてのシステムで多要素認証を導入します。ネットワーク分離を展開し、重要な医療機器と患者データシステムを、一般的な IT インフラから切り離してください。IT チームがすでに忙しい中でもアラート疲れを起こさずに異常を検知できる、継続的な監視を構築します。システム停止が患者の安全に直結する医療シナリオに合わせて、インシデント対応計画を作成しましょう。定期的な脆弱性評価とペネトレーションテストは、IT システムと医療機器の両方に焦点を当てるべきです。最も重要なのは、継続的なトレーニングを通じてセキュリティ意識の高い文化を育むことです。そうすることで、スタッフがサイバーセキュリティが患者ケアの質と安全にどのように直結しているのかを理解できるようになります。