新しい報告書によると、ヘルスケア業界はサードパーティのデータ侵害でトップ

調査では医療分野のサイバーセキュリティの進歩が注目され、2024年上半期のセキュリティ評価は「予想を上回る」B+となったが、アプリケーションとエンドポイントのセキュリティの弱点がサプライチェーンに重大なリスクをもたらしていると、SecurityScorecardは火曜日の声明で述べた。

なぜそれが重要なのか

サプライチェーンのサイバーセキュリティ企業であるセキュリティースコアカードは、第三者によるデータ侵害を阻止するのに役立つ知見を業界に提供するために、米国で株式を公開しているヘルスケア企業上位500社の侵害履歴とセキュリティ評価を調査したと発表した。

2024年米国医療業界のサイバーリスクの状況に関する調査では、調査対象となった医療機関の9%で、過去1年間に公開された侵害の報告、または過去30日間に侵入されたマシンの証拠のいずれか、あるいは「両方」があったと研究者らは述べている。さらに、過去1年間に公開された侵害の報告があり、過去30日間に侵入されたマシンがあった医療機関は2%だった。

一方、SecurityScorecard の脅威アナリストによると、ヘルスケア企業の平均セキュリティ評価は 88 でした。

「この差異の理由としては、我々のサンプルが、しばしばより優れたセキュリティを備えた大規模な上場企業であること、そしてサンプルに含まれる製薬会社とバイオテクノロジー企業の大多数であることなどが挙げられる」と研究者らは述べた。

主な調査結果 報告 医療分野のサイバーセキュリティの課題が他のどの分野よりも深刻である理由を詳しく説明します。

アプリケーション セキュリティの問題は、スコアを低下させるリスクの最も一般的な原因ですが、「これらの問題の重大度は低または中であることが多い」とアナリストは発見しました。

エンドポイント セキュリティの問題は、一般的に医療機関のスコアに与える影響は小さいものの、スコアに重大な悪影響を及ぼした場合は、セキュリティ スコアを低下させる他の要因と比較して重大度が高くなります。

「エンドポイント セキュリティ スコアが低いのは、主に古い Web ブラウザーの使用が原因です。その他のエンドポイント セキュリティの問題はそれほど一般的ではありません。」

メーカー 医療機器 医療機器や医療用品の販売業者のスコアも著しく低かった。

「この差異は、攻撃対象領域の違いによるものだと考えている。その一部は、他の医療機関よりも非医療メーカーのものと似ているかもしれない」とアナリストらは述べた。

この報告書では、ランサムウェアについても触れており、それが「最もよく知られている例である医療提供者だけでなく」4つの医療分野すべてに影響を及ぼす可能性があるとしている。

アナリストらは、「チェンジ・ヘルスケアのケースのように」患者データの不正使用、高額な医薬品知的財産を恐喝目的で公開する脅威、業務プロセスの混乱などが非常に大きなリスクを伴うと述べた。

他に指摘されているリスク源としては、専門的なサードパーティ プラットフォーム、サードパーティ ベンダーへの非臨床ビジネス機能のアウトソーシング、サードパーティのケア プロバイダーへの臨床検査および診断画像の委託などがあります。

より大きなトレンド

昨年、HITRUSTやCORLなど、さまざまな医療およびセキュリティ組織で構成されるHealth 3rd Party Trust Initiativeは、2022年以降、医療組織の55%がサードパーティによる侵害を経験しており、サードパーティのリスク管理が不十分であると述べました。

Health3PTの 推奨されるプラクティスと実装ガイド TPRM エコシステムの標準を作成し、一回限りの自己証明アンケートの代わりに検証済みの保証メカニズムを標準化することで、効率性と有効性をさらに向上させることを目的としています。

「我々は第三者に対して統一戦線を張りたい」とUPMCの最高情報セキュリティ責任者ジョン・ヒューストン氏は語った。 ヘルスケアITニュース「業界に出向いて『これが我々があなた方に期待していることです』と言えることが、非常に重要な部分だと思います。第三者が我々のデータを持っている場合、我々はこれを期待しています。」

記録に残る

「医療請求処理の基盤となっているChange Healthcareのような単一障害点が、医療エコシステム全体を麻痺させる可能性がある」と、SecurityScorecardの脅威調査および情報担当上級副社長ライアン・シャーストビトフ氏は報告書の発表の中で述べた。

「サイバーセキュリティコミュニティがサプライチェーンのリスクを積極的に監視しなければ、歴史は繰り返されるだろう。私たちは力を合わせて、単一障害点を特定し、対処しなければならない。」

Andrea Fox は Healthcare IT News の上級編集者です。
Eメール： メールアドレス
Healthcare IT News は HIMSS Media が発行する出版物です。