サイバー攻撃が医療業界を悩ませている。批評家は連邦政府の対応が弱く、ばらばらだと批判している。

Central Oregon Pathology Consultants は、カスケード山脈の東側で分子検査やその他の診断サービスを提供しながら、約 60 年間事業を営んできました。

昨年の冬から、このクリニックは数か月間、支払いを受けずに手持ちの現金でしのいでいたと、クリニックのマネージャーであるジュリー・トレースウェル氏は語った。このクリニックは、アメリカ史上最も重大なデジタル攻撃の一つである、2月に起きた支払い管理会社チェンジ・ヘルスケアへのハッキング事件の余波に巻き込まれている。

COPCは最近、チェンジ社が未払いの請求の一部の処理を開始したことを知った。未払いの請求は7月時点で約2万件あったが、トレースウェル社はどれが未払いなのかは把握していないという。患者支払いポータルはダウンしたままで、顧客は支払いができない。

「このダウンタイムによる総損失を計算するには何ヶ月もかかるだろう」と彼女は語った。

医療はランサムウェア攻撃の最も頻繁な標的です。2023年には、 FBIは言うそのうち249件は医療機関を標的としており、これは全セクター中最多である。

そして、医療業界の幹部、弁護士、そして議会関係者は、連邦政府の対応が不十分で、資金が不足しており、病院の保護に重点が置かれすぎていることを懸念している。これは、Change が脆弱性が広範囲に及んでいることを証明したにもかかわらずである。

上院財政委員会の委員長であるロン・ワイデン上院議員（オレゴン州民主党）は、保健福祉省の「医療サイバーセキュリティに対する現在のアプローチ、つまり自主規制と自主的なベストプラクティスはひどく不十分であり、医療システムを犯罪者や外国政府のハッカーに対して脆弱な状態にしている」と述べた。 最近の手紙に書いた 代理店へ。

民主主義防衛財団サイバー・技術革新センターの上級ディレクター、マーク・モンゴメリー氏は、資金がないと述べた。「安全保障への投資を増やす取り組みは、極めてわずかか、ほとんど行われていない」と同氏は述べた。

課題は緊急だ。2024年は医療ハッキングの年だった。南東部の何百もの病院が 混乱に直面した 非営利団体の献血サービスOneBloodがランサムウェア攻撃の被害に遭った後、輸血用の血液の入手が困難になった。

2020年にランサムウェア攻撃を受けたバーモント大学ヘルスネットワークの最高情報セキュリティ責任者ネイト・クチュール氏は、サイバー攻撃は日常的な作業も複雑な作業も同様に複雑化すると述べた。「化学療法のカクテルを目で見て調合することはできません」と、ワシントンDCで6月に行われたイベントでがん治療について語った。

12月、HHS サイバーセキュリティ戦略を発表する この部門を支援することを目的とした提案がいくつかあり、病院に焦点を当てたものには、特定の「必須」セキュリティ対策を採用したプロバイダーに報酬を与え、採用しなかったプロバイダーに罰金を科すというアメとムチのプログラムが含まれていた。

その狭い焦点を実現するには何年もかかる可能性がある。 部門の予算案2027年度から「ニーズの高い」病院に資金が流れ始めることになる。

病院に焦点を合わせるのは「適切ではない」と、HHS公民権局の元執行弁護士イリアナ・ピーターズ氏はインタビューで語った。「連邦政府は、医療提供者と供給および契約する組織にも投資することで、さらに前進する必要がある」と同氏は述べた。

保健福祉省戦略準備対応局のブライアン・マザネック副局長はインタビューで、「患者の健康と安全を守るという同省の関心は、病院を我々の優先パートナーリストの上位に位置づけている」と語った。

国の医療サイバーセキュリティの責任は、2つの異なる機関内の3つの部署によって分担されている。保健省の公民権局は、病院やその他の医療団体が患者のプライバシーを適切に保護しているかどうかを監視し、保護していない場合は罰金を科すなど、いわば巡回警官のような存在だ。

保健省の準備局と国土安全保障省のサイバーセキュリティおよびインフラセキュリティ局は、医療ソフトウェア開発者に監査技術を使用してセキュリティを確認することを義務付けるなど、防御の構築を支援しています。

後者の両機関は、医療制度の円滑な機能に不可欠な活動を行う「システム上重要な組織」のリストを作成することが義務付けられている。サイバー擁護団体「I Am The Cavalry」の共同創設者ジョシュ・コーマン氏はインタビューで、これらの組織は政府の脅威報告に含まれるなど、特別な注意を払う必要があると語った。

チェンジへのハッキングのニュースが報じられたとき、連邦政府当局はリストの作成に取り組んでいたが、チェンジ・ヘルスケアはそのリストに載っていなかったと、国土安全保障省のサイバーセキュリティ機関の責任者、ジェン・イースタリー氏は3月のイベントで語った。

サイバーセキュリティ機関の副長官ニティン・ナタラジャン氏はKFFヘルスニュースに対し、リストはあくまでも草案に過ぎないと語った。同機関は 以前の推定 同社は昨年9月、セクター全体にわたる事業体リストを完成させた。

保健省の準備局は、国土安全保障省のサイバーセキュリティ機関や保健省全体と連携することになっているが、議会職員は、同局の取り組みは不十分だと述べた。保健省には「優秀な人材のサイロ」があり、「チーム同士が話し合っていなかった」 [where it] 「人々が誰のところに行くべきかが明確ではなかった」と、ロビン・ケリー下院議員（イリノイ州民主党）の首席スタッフ、マット・マクマリー氏は6月の会議で述べた。

「保健省の準備局はサイバーセキュリティを担当する適切な場所なのか？私には分からない」と彼は語った。

これまで同局は、地震、ハリケーン、炭疽菌攻撃、パンデミックといった物理的な世界の災害に重点を置いてきた。トランプ政権下で防災局に勤務し、現在は投資銀行レイモンド・ジェームズのアナリストを務めるクリス・ミーキンス氏は、トランプ政権時代の省庁幹部が資金と権限の拡大を狙った際に、サイバーセキュリティも引き継いだと述べた。

しかしそれ以来、同局は「それを実行する資格がない」ことを示したとミーキンス氏は語った。「資金もなければ、関与も、専門知識もない」

連邦防災局のサイバー・テクノロジー・イノベーションセンター所長アニー・フィクスラー氏は、サイバーセキュリティを担当する職員は「ほんの一握り」しかいないと述べた。マザネック氏はその数は多くないことを認めているが、追加資金によってさらに採用できるようになることを期待している。

同局は外部からのフィードバックへの対応が遅い。サイバー脅威に関する業界の情報センターが同局と連携してインシデント対応プロセスを作成しようとしたとき、「その取り組みに協力してくれる人を見つけるのにおそらく3年かかった」と、当時同団体である医療情報共有分析センターの理事長だったジム・ラウス氏は語った。

2017年のNotPetya攻撃（病院や製薬会社メルクに大きな被害をもたらしたハッキング）の際、Health-ISACは攻撃を封じ込める最善の方法を含む情報を会員自身に広めたとラウス氏は語った。

擁護者たちは、米国の職場で非常によく知られている技術である多要素認証の欠如が原因とされるチェンジハッキングに注目し、保健福祉省は義務とインセンティブを使って医療部門にもっと良い防御策を導入させる必要があると述べている。12月に発表された同省の戦略では、医療部門の目標が比較的限定的であり、現時点ではほとんどが自主的なものである。同省は「新たな強制力のある」基準の作成を「検討中」だとマザネック氏は述べた。

HHS の戦略の多くは、今後数か月で展開される予定だ。同省はすでに追加予算を要求している。たとえば、準備局はサイバーセキュリティに 1,200 万ドルの追加予算を要求している。予算が横ばいで執行職員が減少する公民権局は、プライバシーとセキュリティのルールの更新を発表する予定だ。

「業界全体が直面している大きな課題はまだある」とラウス氏は言う。「その状況を必ずしも変えるようなことは何も起こらないと思う」