医療情報セキュリティ – Amedisys の CISO、Richard Kaufmann へのインタビュー – パート 1: 起源の物語、セキュリティ エコシステム、およびスタート ライン

「データがどこにでもある場合、どうやって保護しますか?」

この考えはずっと前から私の心にありました Change Healthcare ハック (複数形です) この投稿が 人々の健康 ブログ。

これは、最高情報セキュリティ責任者 (CISO) のリチャード・カウフマンとの会話の中で私に投げかけられた質問です。 アメディシス。 私は、リチャードとともに医療におけるサイバーセキュリティのさまざまな側面、つまり増大する脅威、医療提供者への影響、リスクを管理するためのテクノロジーとイノベーションの現状、そしてこの分野における CISO としての彼の進化する役割などを深く探求する機会に感謝しています。挑戦的なコンテキスト。

私たちの会話は非常に広範囲にわたる内容だったので、3 つの投稿に分けました。この記事では、情報セキュリティにおける Richard の「起源の物語」と、企業のサイバーセキュリティ戦略に対する Amedisys のアプローチに焦点を当てました。 その後、Amedisys の現在のセキュリティ インフラストラクチャの計画と実装、戦略、およびその過程で学んだ教訓を調査するために、今後 2 か月ごとにパート 2 とパート 3 を公開する予定です。 最後に、会話の最後の 3 分の 1 を掲載します。 医療分野におけるサイバーセキュリティの将来と、将来のリスクの世界を管理するための知恵を振り返り、楽しみにしています。

リチャード・カウフマンとともに医療サイバーセキュリティの旅を始めるにあたり、次のことを考慮してください。 パロアルトネットワークスが示唆する、業界に挑戦する 3 つのトレンド ハッキングや侵害の増大するリスクに対処するために、より多くの時間とエネルギーを費やす:

• 遠隔医療の台頭、特に在宅医療、遠隔医療、緩和ケア、ホスピスケアに関連する
• リモート健康監視、健康のためのモノのインターネット (特に家庭)、インターネット、データセンター、クラウドに接続できるその他のアプリケーションなどの接続デバイスの急増。
• 分散型医療ネットワークやリモート ユーザー間での医療 IT 環境は複雑さを増しています。

進化するサイバーリスク医療情勢を念頭に置いて、Amedisys の CISO である Richard Kaufmann との会話、パート 1 にようこそ – 起源の物語、セキュリティ エコシステム、そしてスタート ライン…（ご了承ください 私の質問は斜体で書かれています、そしてリチャードの声が普通のフォントで表示されます）。

JSK: 医療情報セキュリティに関するあなたの起源は何ですか? 10 年以上前にルイジアナ州のブルー クロスとブルー シールドと協力し始めたとき、サイバーセキュリティのことを念頭に置いていましたか?

RK: ここでデートしてみます。 私は 80 年代初頭に生まれ、インターネットとともに育ちました。 私が 10 代だった頃、インターネットはこれまでとはまったく異なる体験であり、多くの点で扱いやすいものだと感じていました。 ルイジアナ州南東部で育った 10 代の私は、チャット ルームやフォーラムで他の人とつながることができ、大人になった自分にとって信じられないほど大きな影響を与えた世界観に触れました。

初期の「ハッカー」は理想主義者でした。 私の心に共鳴したオンライン コミュニティは、インターネットという新しいツールを活用して世界をより良い場所にするというものでした。 当時のハッキングは犯罪というよりもいたずらに感じられ、より大きな利益のために簡単に正当化されるものでした。

私が若い専門家として BCBSLA に到着するまでに、サイバーセキュリティの気楽さのほとんどはとっくの昔に消え去り、理想主義は暴利主義に取って代わられていました。 「怠け者」のために何かをする「 お金のために何かをすることに置き換えられていました。 今、私がオンラインで得た満足感は、自分のスキルを使って「悪者」が何をしているのかをよりよく理解することでした。

私は職業としてサイバーセキュリティの横のドアを通って来たようなものです。 私のキャリアはネットワーク エンジニアとして始まり、その後あらゆる場所の内部監査に軸足を移しました。 内部監査は組織内で独自の立場にあり、企業がどのように運営されているか、そして最も重要なことに、経営幹部がソリューションにどのように優先順位を付けるかを知る機会を得られたことは、CISO になるまでの過程で私が下した最良の決断の 1 つです。

JSK: あなたは 2018 年に最高情報セキュリティ責任者として Amedisys 組織に異動されました。 あなたがその役割を引き受けて以来、サイバーセキュリティを取り巻く環境は何が変わりましたか?

RK: 新型コロナウイルス感染症後の世界では、コラボレーションは永遠に変わりました。 この変化の最大の副産物の 1 つは、組織データがアンビエントになったことです。 ヘルスケアなどの高度に規制された業界では、サイバーセキュリティとデータ保護が密接に関係します。 データがどこにでもある場合、それをどのように保護しますか? Amedisys では、データの出所を尊重することからその質問に答えます。

患者が一連の治療を受けていく中で、私たちは患者の体験がプライベートなものであることを理解し、大切にしています。 個人には、自分の健康情報を誰がいつ利用するかを決定する基本的な権利があります。

Teams 会議、PowerBI レポート、分散データの新しいパラダイムにおいて、その情報をプライベートに保つ作業は、現代の CISO にとって大きな負担です。 さらに複雑なのは、CISO がプライバシーを利益と引き換えにしようとする敵対者から情報を遠ざけようとしているだけでなく、通常のビジネスの過程での偶発的な開示からも情報を遠ざけようとしていることです。

JSK: 在宅医療、ホスピス、緩和ケアの世界におけるアメディシスにとって、サイバーセキュリティの課題が、入院治療や医療グループ診療などの他の医療サービス環境と比べてどのように異なるのか教えてください。

Amedisys は、アメリカ最大のホスピスとホームヘルスのプロバイダーの 1 つです。 比較として、最大規模の病院の 1 つはベッド数が 2,000 を少し超えるのに対し、当社は年間 400,000 人を超える患者の治療を行っています。 私たちは同様のサービスを提供しているため、従来の病院が持つすべての課題を抱えていますが、患者の自宅からケアを提供するという追加の変数もあります。

在宅でケアを提供すると、特に接続性や接続の欠如などを考えると、サイバーセキュリティがさらに複雑になります。 私たちは、臨床医の安全を確保しながら、患者の目を通して世界を見るために最善を尽くしています。 認知症の愛する人が、なぜ介護者が自宅訪問のためにドアをノックしたのか覚えていないかもしれないと想像してみてください。 臨床医の安全を確保しながら、業界をリードするレベルのケアを提供できることが、私たちの組織の成長の源です。

JSK: Amedisys のサイバーセキュリティ戦略の計画と実装の「スタートライン」を振り返って、プロジェクトの最前線で抱えていた重要な考慮事項と課題は何でしたか?

RK: アメディシスでは、役職に関係なく、全員が介護者です。 私たちにとって、これは単なる企業文化の専門用語ではありません。 私たちの組織の誰もが、「自分の行動を通じて、他の人の経験をどのように向上させることができるか?」という観点から自分の職務に取り組んでいます。 当社のセキュリティ戦略は、思いやり、共感、役に立つことに基づいています。 患者や顧客を第一に考えると、サイバーセキュリティ機能として驚くべきことが達成できます。

私のキャリアの中で最も影響力のある経験の一つは、新型コロナウイルス感染症の真っ最中にホスピスの看護師たちと働いたことです。 ホスピスは、我が国では十分に活用されていないサービスです。 生から死への移行というテーマは、議論するのが不快なテーマです。 私たちのホスピス看護師は、この不快感を日々克服しています。 ホスピスは、誰かをより健康にすることではなく、生活の質を向上させることを目的とする唯一の医療サービスでもあります。

多くの意味で、新型コロナウイルス感染症の初期の恐ろしさを私たちは遮断してしまったように感じます。 「曲線を平坦化する」という考えや、サワードウスターターや「タイガーキング」の気晴らしで隔離するというアイデアが登場する前は、人々はこの病気で積極的に死亡していました。

ホスピスの看護師たちは、患者（中には感染性の高い病気を患っている人もいます）が最後の日々を快適に過ごせるように、毎日来てくれました。 仕事に行くということは、自分自身を危険にさらすことを意味し、それでも彼らはそうしました。 まとめると、コロナ禍のアメディシスのホスピス看護師たちは、私がこれまで会った中で最も勇敢で無私無欲な人々でした。

私たちの組織が Teams の導入を完了した直後、ホスピスのリーダーと会い、「あなたのチームには何が必要ですか?」と尋ねたのを覚えています。 「ハグが必要だよ」という答えは決して忘れられません。

新型コロナウイルスの影響で、コミュニティを必要とする従業員のグループが完全に孤立していました。 彼らは悲しむ必要があったのです。 彼らは発散する必要がありました。 彼らは、労働時間後であっても、人間としての経験を維持できる場所を必要としていました。

このグループの従業員がお互いを慰めるコミュニケーション手段だけでなく、オンライン コミュニティを立ち上げることができたことは、非常に充実した経験でした。 確かに、私たちはそれらを安全にし、共有されるデータとエクスペリエンスが非公開に保たれるように努めましたが、より重要なのは、テクノロジーが最も必要なときに人々を真に結び付けることでした。

JSK: サイバーへのアプローチにおけるエコシステムの重要性について話していると聞きました。 説明できますか？

RK: 私たちは CISO になることをセキュリティについての会話にしようと努めていますが、最も効果的な方法でデータをプライベートに保つことと会社の目標を一致させることが重要です。 ここではコストと価値のバランスをとる必要があります。

安全性を高めるための計画を提示し、そのアイデアに対する資金調達の成功率が 100% である CISO に私はまだ会ったことがありません。 私たちはコスト削減に常に挑戦しています。

私は、子供たちに夕食を食べさせるときと同じように、テクノロジーのエコシステムにアプローチしています。 それぞれに異なる要件があり、その時点で何が最善であるかという考えがあります。 チキンナゲット、ピザ、タコス（後者は当然火曜日のみ）。 彼らにとって、利用できるリソースには制限がありません。 しかし、親として、また CISO として、利用可能なリソースに対して本当に必要なものを調整するのが私の役割です。 私の経験では、そのための最善の方法は、最も多様性のある 1 つの場所に行くことです。

最近、Amedisys はまさにその理由から Microsoft セキュリティ スタックに多額の投資を行っています。 個々の製品が当社の要件を満たしているだけでなく、当社の生産性スイートにネイティブ機能を備えたセキュリティ製品ではさらにシンプルさが増しています。 さらに、当社のチームは使用する製品の改善に熱心であり、エスカレーション ポイントが 1 つあるということは、フィードバックが特定の機能に集中している場合でも、企業全体の改善を確認できることを意味します。

JSK: ハイキングやその他のフィットネス活動中に、持久系アスリートのデイビッド・ゴギンズを時々呼び寄せるとどこかで読んだことがあります。 興味深いことに、ゴギンズさんは、住んでいるブリティッシュ コロンビア州で余暇に救急技師として働いています。 ゴギンズのインスピレーションから、アメディシスとのサイバーセキュリティ作業の「マラソン」に何を取り入れることができますか?

RK: ゴギンズのような人を見ると、とても心に響く概念が 2 つあります。 1つ目は、自己救済能力を身につけることです。 誰もあなたを助けに来ません。 それは学ぶのが難しい教訓であり、誰もがそれを理解しているわけではありません。 私が他の CISO を指導するとき、それは私がリーダーシップに取り組む方法の基礎の 1 つです。 最高のチームリーダーは、まず優れたチームメンバーです。 優れたチームメンバーであるということは、自分自身に責任を負うことができるということです。 懸垂を 100 回やりたい場合は、1 回から始めて、残りの 99 回は誰もやってくれないことを理解します。 自給自足と説明責任は、人員数が限られている場合でも、セキュリティ チーム Amedisys が成功することを可能にするソフト スキルです。

2 番目の概念は、モチベーションと規律の違いです。 モチベーションは変動します。 良い日もあれば悪い日もあり、ダイナミックです。 セキュリティの状況が動的になると、穴が生まれます。 タスクの規模や完了願望に関係なく、規律を持ってタスクに取り組むことは、運用チームが活用できる安定した運用環境を維持するのに役立ちます。 規律は、不快な状態を快適にする道を私たちに提供します。

こうして私たちは、ハッキングの初期のいたずらな時代から、サイバー方程式の「反対側」への移行、そして患者や介護者と協力して在宅で提供される医療という特定の状況へと移行してきました。テクノロジーは、より長い期間のほんの一部にすぎません。デビッド・ゴギンズによるインスピレーションを与えるロールモデリングの規律を備えたマラソンで、共感、コミュニティ、そして抱擁を焼き込むレシピ。

Amedisys の CISO である Richard Kaufmann と私によるサイバーセキュリティとヘルスケアの 3 部構成の探求のうち、6 月中旬に公開される第 2 部にご期待ください…