ランサムウェア攻撃の構造: Ardent Health Services の内部対応と復旧

ロニー・ギャリソン氏、Ardent Health Services 社 CTO

サイバー脅威が増大する時代において、医療機関は、患者データの機密性とサービスの重要性により、特に脆弱になっています。 6 つの州に 30 以上の病院と 200 のケア施設を擁する大規模な医療システムである Ardent Health Services は、ランサムウェア攻撃がインフラストラクチャを襲ったとき、この現実に正面から直面しました。共同プレゼンテーションの中で、アニカ・ガーデンハイア氏（RN、最高デジタル＆情報責任者）とロニー・ギャリソン氏（最高技術責任者）が、このサイバーセキュリティ危機を乗り切ることから得た経験と教訓を共有しました。

危機に備える文化の構築

ガーデンハイアさんは、事件の直前に自分の役割に足を踏み入れるという当面の課題について語った。彼女は、支援ネットワークの重要性を強調し、「私の呼びかけに応じてくれたすべての人々に深く感謝しています…その多くはこのイベント中に会場を歩いていました。」と述べました。サポートを迅速に結集する彼女の能力は、高ストレス状況に耐えることができる回復力のあるチーム指向の文化を確立するという、サイバーセキュリティ対応の重要な側面を強調しました。

危機の初期は激しいもので、意思決定が迅速に行われ、緊急に体制が必要でした。ガーデンハイア氏は、意思決定の責任に関して経営陣の調整の必要性を強調し、「物事を遅らせる可能性があるものの一つ」は、プレッシャーの下で意思決定を下す権限を誰が持つのかが曖昧であることだと共有した。彼女とアーデントの最高法務責任者は、「治療と結果」モデルを採用し、技術的な対応と組織への影響の両方に対して迅速な対応を可能にするために責任を分担しました。

インシデント対応の戦術段階

組織的な対応として、アーデントの戦略は封じ込め、復旧、回復の 3 つの主要な段階に分けられました。ギャリソン氏は、初期の封じ込め策として「インターネット全体を遮断する」という決定を強調した。この決定的な行動により、チームは進行中の侵害に気を取られることなく攻撃の範囲の評価に集中できるようになり、状況が安定しました。 「それによって私たちは何ができるようになったのでしょうか？」ギャリソンは修辞的に尋ねた。 「そのおかげで、チームは『彼らはまだ私たちを攻撃しているのか？』ということにあまり集中できなくなりました。」その後、他の封じ込め活動に軸足を移します。」

封じ込めの取り組みは、境界防御、デバイス制御、身元確認などの複数の面で実行されました。すべてのアカウントに厳格なパスワードのリセットを設定することで、チームはすぐに予期せぬ課題を発見しました。環境内に約 520 のアプリケーションがあり、予想されていた 390 をはるかに上回っていました。この矛盾は、効率的に対応するために正確なアプリケーション インベントリを維持することの重要性を浮き彫りにしました。 Garrison 氏によると、「アプリケーションのインベントリがないのですか?」今ほど始めるのに最適な時期はありません。」この認識により、将来のインシデントに備えるための資産管理ツールの優先順位が即座に変更されました。

回復と運用安定への道

チームが回復段階に移行するにつれ、ガーデンハイア氏とギャリソン氏は、重要な機能を再確立するために運営リーダーと協力する必要性を強調した。ガーデンハイア氏は、差し迫ったテクノロジーのニーズを超えて、物流上の課題を考慮することの重要性を強調しました。紙やインク カートリッジなどの基本的なアイテムを挙げて、「不足しそうなものについて考えてください」とアドバイスしました。停止が長期化すると、このような単純なリソースがすぐに重要になる可能性があります。

Garrison 氏は、技術チームと運用スタッフ間のコミュニケーションを促進するために、臨床諮問委員会と作業グループを再利用するという決定について説明しました。この連携により、デジタル リソースへのアクセスが制限されている場合でも、医療組織は重要な業務を維持できるようになりました。 「私たちは既存の作業グループを活用し、すぐに再利用しました」と彼は説明し、ケアの継続性を維持するために必要な機敏性を反映しました。毎日 24 時間 365 日の電話でチーム全体の調整が行われ、IT プロジェクト マネージャーは特定の作業グループを監督して文書化と進捗状況を追跡するように割り当てられました。

この構造化されたコミュニケーションにより、Ardent はわずか 12 日以内に臨床医による Epic へのアクセスを回復するという目覚ましい回復マイルストーンを達成することができました。ガーデンハイアは、この成功は献身的で結束力のあるチームのおかげであると述べ、「私たちは信じられないほど幸運でした…私たちのチームメンバーとパートナーが疑いもなくこれを可能にしてくれました。」と述べました。このレベルのチームワークは、組織の運営を回復しただけでなく、このような危機を管理するために必要な回復力とパートナーシップの文化を強化しました。

長期的な教訓と戦略的計画

ガーデンハイア氏とギャリソン氏は、長引く復興プロセスを振り返り、危機後の計画の重要性を強調した。明確なアプリケーション インベントリを確立することは、ベンダーと正式にパートナーシップを締結し、将来の危機において重要なサポートを提供するベンダーを特定することと同様に、優先事項になりました。 Garrison 氏は、自社の対外関係を次のように簡潔に分類しました。私たちはすぐに誰がベンダーで誰がパートナーなのかを突き止めました。」この区別は、一か八かの状況において信頼できるサポート チャネルを特定する上で重要であることがわかりました。

両幹部は、緊急時対応計画をテストするためにシステムがオフラインになる「暗黒時代」を実践することで、医療システムが備えに投資する必要性を強調した。ギャリソン氏は、アーデントが「患者ケアが最盛期の週の半ばには暗転する」予定であり、備えを強化するための積極的な取り組みであると述べた。このような演習により、組織は対応を微調整することができ、テクノロジーと人材の両方が必要なときに対応できるようになります。

Gardenhire はまた、経営幹部の IT リーダーに向けたユニークなアドバイスを共有しました。それは、危機の真っ只中にアドバイスを提供できる信頼できる連絡先のネットワークを育成することです。 「必要なのは、まっすぐに考えることができる人々の評議会です。5 分で方向転換できる人たちです。」このアプローチは、危機時のリーダーシップの感情的および心理的側面を強調しており、根拠のある視点を持つことで意思決定の疲労を防ぎ、明確性を高めることができます。

ヘルスケア IT リーダー向けの洞察

Ardent Health Services の経験は、医療におけるサイバーセキュリティ危機の管理には、テクノロジー、プロセス、人材を含む多面的なアプローチが必要であることを示しています。医療システムは、迅速な封じ込め戦略を策定し、詳細な資産目録を維持し、IT チームと運用チームを連携させる協力的な文化を育む必要があります。これらの教訓を理解することで、他の医療システム幹部は潜在的なインシデントに対してより適切に備え、復旧時間を短縮することができます。

ガーデンハイア氏は閉会の挨拶の中で、このような瞬間に必要な回復力と献身的な姿勢を医療指導者らに思い出させた。「私にとって、このような可能性を生み出したのは、チームメンバー全員の素早い思考のおかげで、非常に感謝しています。」