クロール報告書によると、医療機関はサイバー脅威の範囲に対してまだ準備が整っていない

クロール社の新しいサイバー対応レポートによると、医療業界は「非常に成熟したセキュリティ」を備えていると自己評価する可能性が最も高い業界です。 しかし、最も侵害が多いセクターの 1 つでもあり、2022 年にはリストのトップとなり、昨年は 2 位になりました。

この不一致は多くの要因に起因します。特に、医療機関が 長い間 間で トップターゲット サイバー犯罪者と悪役の。

しかし、同顧問会社の新しい調査によると、これは医療システムが自らのサイバーセキュリティへの対応にどのように取り組み、評価するかに関連するいくつかの独自の要因も反映しているという。この調査は、医療における検出と対応能力、脅威インテリジェンス、攻撃的セキュリティ、その他の要素を調査している。

レポートのその他の調査結果には、医療機関は、最初のネットワーク アクセスが外部リモート サービスを通じて得られたサイバー脅威の増加に備える必要があり、エンドポイント セキュリティの向上に対するニーズが高まっています。

また、 意識 そして 支出 どちらも増加傾向にあるため、医療システムの経営幹部は、政府の監視を強化し、サイバー防御の監督に対する説明責任を強化する準備をする必要があります。

「自己診断ギャップ」を埋める

クロールの研究者らは、医療機関がサイバーセキュリティサービスを他の分野の組織に比べて完全にアウトソーシングする可能性が65%低いと、新しい論文で述べた。 報告、「サイバー防御の現状: 医療におけるサイバー脅威の診断」。

彼らの研究は、検出と対応、サイバー脅威インテリジェンス、および攻撃的セキュリティに注目して、医療分野が現在活動しているサイバーセキュリティ脅威の状況を計画しています。

クロールのインシデント対応グローバル責任者であるデボン・アッカーマン氏によると、医療ITの複雑さという現実は、「IT運用による最大限の利便性とセキュリティの両方を必要とする非常に時間のないスタッフは言うまでもない」ため、業界自身を守ることが困難になっているという。そしてサイバーリスク。

「サイバーインシデントが病院運営を混乱させ、患者のケアと治療に壊滅的な結果をもたらし、さらには人命を危険にさらす可能性があることを考えると、医療機関のセキュリティに対する信頼と実際のセキュリティ能力との間の自己診断のギャップは特に憂慮すべきことです」と同氏は述べた。と新たな報告書に伴う声明で述べた。

世界の IT セキュリティ上級意思決定者を対象とした独立した調査は、報告書のために年間 3,000 件のサイバー インシデントを処理するクロールのデータと組み合わせられ、ヘルスケア ビジネスの回答者の 4 分の 1 以上 (26%) がサイバーセキュリティ プロセスが未熟であることが明らかになりました。ほぼ 50% が、自社のプロセスは「非常に成熟している」と信じています。

研究者らによると、このレベルの自信にもかかわらず、成熟したサイバープロセスを導入している医療機関は調査対象の医療機関のうちわずか 3% にすぎません。

リモートアクセスの弱点

クロール氏は以前、2023年の第4四半期が厳しい2024年の調子を決めるものであり、あらゆるセクターの企業がセキュリティを強化し、既知の脅威と新たな脅威に備えるための一貫したアプローチを採用する必要があると述べた。

第 4 四半期の分析によると、クロールは脆弱な経路としてリモート アクセスを挙げています。 ランサムウェア グループが外部リモート サービスを通じて初期アクセスを取得するケースが増えている一方で、情報窃取マルウェアやビジネス電子メール侵害などの他の脅威も増加傾向にあります。

同社は、リモートワークやハイブリッドワークを提供し、セキュリティに満足している組織がこの気候に挑戦していると述べた。 研究者らは、中央ネットワークのセキュリティを超えて考える必要があり、「境界レベル」でのこれまで以上に強力な防御が必要だと述べた。

クロールはまた、 2024 年のデータ侵害の見通しレポート2月に発表されたところによると、昨年最も侵害された業界は金融セクターがヘルスケアを抜いて、ヘルスケアは侵害後の問い合わせ数（14％）と信用または身元監視の量（99％）の両方で前年比増加を示した。 ）。

興味深いことに、保険業界の侵害件数は、2022 年と比較すると、侵害件数が前年比で 81% 減少し、侵害の多い業界トップ 10 ではさらに減少しましたが、テクノロジー部門では前年比 40% 増加しました。

クロールは先月、デイブ・バーグ氏を起用したと発表したは、元グローバル企業 EY の米州サイバー責任者であり、PwC のサイバー ベテランでもあり、サイバー リスクのグローバル責任者として、脅威のライフサイクル管理機能を監督および拡張しています。

経営幹部による監視と説明責任

同様に 2 月に、クロールは 業界全体にわたる 2024 年の 10 のトレンド。 上位のトレンドは、ますます複雑化するサイバー脅威の状況、乖離し続ける公開市場と民間市場の経済、AI の利用の拡大とそれがもたらす高レベルのコンプライアンス リスクに焦点を当てています。

同社は、すべての業界リーダーにとって興味深いのは、米国証券取引委員会が民間企業との関与方法をどのように軸にしているかであると述べた。 政府機関はもはや企業の最高コンプライアンス責任者を窓口として期待しているのではなく、人的資本とシステムの両方の観点から、適切なリソースの確保について尋ねるのは経営幹部の上層部です。

取り組みが成果を上げれば、金融セクターのガバナンスと監督監視に対する経営幹部の責任を強化することが、HHSのような他の機関が試みる戦術となる可能性があることは想像に難くない。

クロールの研究者らは、「CEOやその他の責任者にとって、コンプライアンス問題に関してもっともらしい否定はもはや選択肢ではない」と述べた。

それに加えて、制裁に関して「t」を越えたり、「i」を点したりすることも注意すべきことです。

クロール氏は次のようなルールを挙げた。 海外汚職行為防止法、「準拠していない企業は、財務上および評判上、計り知れない影響に直面する」としている。

研究者らは、企業にとってセキュリティコンプライアンスは「潜在的な財務上および風評上のリスクを伴う重大な課題」であり、これはつまり、制裁対象の個人が含まれるグループにサイバー身代金を支払った組織が違反に巻き込まれる可能性があることを意味すると付け加えた。

Andrea Fox は、Healthcare IT News の上級編集者です。
Eメール： [email protected]
Healthcare IT News は HIMSS Media の出版物です。