医療のサイバーセキュリティのサポートと保護にさらに重点を置く必要がある

Change Healthcare への攻撃以来、医療提供者に寄せられる期待とサイバーセキュリティの課題の現実との間の明らかな対照が鮮明になっています。

現在のレトリックは、ヘルスケアの CEO や組織に侵害の直接責任を負わせることを求めていますが、これは問題を過度に単純化し、誤って伝えており、サイバー犯罪者を攻撃しているのではなく被害者を非難しています。 はい、医療提供者はサイバーセキュリティ要件を満たす責任を負う必要がありますが、洗練された国際的なサイバー犯罪から身を守るためのサポートも必要です。

連邦政府は、医療サイバーセキュリティに対する特定の要件を提供する上で重要な役割を果たします。 これには、これらの要件を満たすための説明責任を確立し、準拠した組織を責任から守ることが含まれます。 HIPAA セキュリティ ルールで概説されている要件は、このニーズを満たすために更新される可能性があります。

政治的な会話では、実際の医療提供者、つまり病院や診療所は、保険会社、機器メーカー、製薬会社と同じとみなされます。 しかしそうではありません。 他の組織は患者ケアを直接提供しておらず、医療提供者と同じ運営上の現実に直面しているわけでもありません。 多くの場合、その利益率により、サイバーセキュリティ防御により多額の投資が可能になります。 多くの医療提供者、特に非営利病院、セーフティネット病院、極薄の利益で運営されている地方の病院には、その選択肢が与えられていません。

そして、医療提供者に対するサイバー攻撃の潜在的な影響は、他の医療機関に対するものよりもはるかに深刻です。 Change 侵害の場合と同様、病院や診療所は患者の治療費が支払われないことに多大な負担を感じています。 しかし、より重要なことは、医療従事者が攻撃された場合、患者の命が文字通り危険にさらされることです。 攻撃者は、医療提供者が患者を守るためなら何でもすることを知っており、潜在的な見返りに比べて人命が安い犯罪組織にとって医療提供者は格好の標的となっている。

スクリップス ヘルスでは、2021 年にサイバー攻撃の被害者となりましたが、これはこれらの脅威の執拗で予測不可能な性質を如実に示しています。 私たちはセキュリティ対策の準備と投資を行ってきました。 それにもかかわらず、私たちは依然として侵害を受けていました。 当社は重大な業務中断に見舞われ、1 億 1,270 万ドルの収益損失と支出の増加に見舞われました。 私たちや他の人々が学んだ厳然たる真実は、サイバーセキュリティの領域では自己満足が敵であり、最も勤勉な人であってもサイバー敵の進化する戦術に常に耐えられるわけではないということです。

今後は責任と期待を再調整する必要がある。 連邦政府は医療提供者と提携し、現在の脅威環境に対処する最新の要件を作成する必要があります。 連邦政府はまた、国家レベルで医療インフラのサイバー保護に投資する役割を担う必要があります。

さらに、医療提供者が最前線で防御を適切に強化できるように資金を割り当てなければなりません。 国家安全保障の脅威に対する財政的負担を病院に期待するのは不合理で不公平です。

最後に、要件を遵守している医療機関は、懲罰的措置や日和見的な訴訟から保護されなければなりません。 このような保護は、病院が制御不能な状況による財政破綻の絶え間ない脅威にさらされることなく、本来の使命である患者ケアに集中できるようにするために非常に重要です。

私たちの期待とサポート体制を率直に再評価する時期が来ています。 医療におけるサイバーセキュリティは複雑かつ多面的な課題であり、微妙な協力的なアプローチが必要です。 私たちは医療インフラの安全性と回復力を確保するために一致団結して努力する必要があります。 患者の命は危険にさらされています。

Chris Van Gorder は、カリフォルニア州サンディエゴにある Scripps Health の社長兼 CEO です。