ヘルスケアのサイバーセキュリティエコシステムの隠れた亀裂

近年、病院の違反は見出しとボードレベルの議論を支配し、臨床環境内のサイバーセキュリティとプライバシーの脆弱性に厳しい光を当てています。病院をターゲットにしたランサムウェア攻撃は、毎日の脅威になり、患者の記録をロックし、ケアの提供を混乱させ、数百万の施設の原因となり、患者に身体的危害と死を引き起こしています。しかし、これらの事件とターゲットは氷山の一角にすぎません。

これらの見出しの表面の下には、医療機器メーカー、製薬会社、保険会社、モバイルヘルスアプリケーションなど、広大なヘルスケアエコシステムがあり、その相互接続された弱点が広大な攻撃面を作成する可能性があります。この氷のような広がりを流れる海流のように、データはあらゆる深さで露出し、目に見えない隙間をナビゲートするハッカーに対して脆弱です。

病院を超えて：リスクのある生態系プレーヤー

これについて多くのことが書かれていますが、それは強調する価値があります。病院は最も目に見えるターゲットかもしれませんが、生態系のより深い層は同様に危険です。たとえば、医療機器メーカーは、病院のネットワークにますます接続するペースメーカー、注入ポンプ、MRIマシンなどの機器を生産しています。これらのデバイスは、患者ケアのために革新的ですが、多くの場合、時代遅れのソフトウェアで実行され、基本的な暗号化がなく、アクセス監視機能がありません。 a 2023共同研究プロジェクトでは、966の医療製品にわたって993の脆弱性が特定されました、2022年から前年比59％増加しているが、製造業者はイノベーションよりもセキュリティを優先するための規制上の圧力にほとんど影響しない。ハッカーはこれらのデバイスをエントリポイントとして活用し、命を救うツールをランサムウェアのバックドアに変えることができます。

製薬会社は、別の例として、臨床試験記録、患者レジストリ、機密性の高い健康情報、サプライチェーンの詳細を含む膨大な高さの敏感なデータを保持しています。彼らの広大な、そしてしばしばグローバルなオペレーションは、リスクを増幅し続け、サードパーティのベンダーに依存しています。ファーマの巨人での事件または違反は、機密データを公開するだけではありません。薬物サプライチェーンを混乱させ、治療を遅らせ、人的コストをさらに複雑にすることができます。保険会社や保健技術企業は、クレームとテレヘルスプラットフォームを管理し、さらなる露出層を追加します。通常、各プレイヤーはサイロで動作し、集団セキュリティよりも独自の運用を優先し、生態系が割れて壊れやすいままになります。

統合：両刃の剣

ヘルスケア業界の急速な統合は、これらのリスクを悪化させます。病院システム、臨床研究団体、保険会社、およびハイテク企業の間のメガメーガーは、集中化されたデータハブを作成しました。これは、治療とケアの提供を促進するための信じられないほどのデータソースですが、サイバー犯罪者の主要なターゲットでもあります。統合された医療機関（プロバイダー、支払者、薬局として機能し、他の医療機関にサービスを提供する）などの複雑なエンティティの単一の違反は、数百万の記録を公開し、スタンドアロン病院への攻撃の影響をはるかに上回ることができます。 2023年のヘルスケアランサムウェア攻撃を変更します。これは、親会社の優位性により、米国のヘルスケア取引の約3分の1に影響を与えました。統合はケアの提供を合理化しますが、リスクを集中させ、局所的な問題を体系的な混乱に変えることもできます。

集中化と統合は、コンプライアンスの自己満足を繁殖させることもできます。大規模な組織は、トップパフォーマーを採用するスケールと能力が洗練されたものに相当するが、しばしばレガシーシステムと買収から一緒に巻き込まれた広大なネットワークが、未満の脆弱性を隠すことができると想定しています。大規模なエンティティに絶えず吸収された小規模なプレーヤーは、独自のユニークな慣行とポリシーをもたらし、既存の亀裂に負担を加えます。エンティティが大きくて複雑なほど、すべての隅々まで監査して評価するのが難しくなり、脅威の俳優の部屋を操縦します。

セキュリティとデータ保護が不足している場合

このエコシステム全体で、頻繁に次のいずれかまたはすべてを確認します。（1）組織には、効果的なインシデント/違反対応プログラムが実施されていません。 （2）組織は、ベンダーとサードパーティのリスクを測定および対応するのが困難です。 （3）一般的に成熟していると推定される違反防止方法は、ゆがんでいます。および/または（4）組織は、卓上とインシデント対応演習をサポートするためにリソースを優先するのが困難であり、これは避けられない攻撃の管理においてかけがえのないことが証明されます。

さらに、あまりにも多くの組織が、積極的に強化されるのではなく、攻撃後にシステムにパッチを適用したり、監査または評価を実行したりするリアクティブ戦略に依存しています。たとえば、医療機器のメーカーが、規制当局や訴訟によって強制された場合にのみ更新をプッシュし、病院に不安定な機器を残し、適切な更新を行うための技術的知識や専門知識なしにアップデートをプッシュする場合のリスクを考えてみましょう。

サードパーティのベンダーはストレスを悪化させます。クラウドストレージプロバイダーから請求ソフトウェア会社まで、これらの頻繁に派生したプレーヤーは、データの拡大方法や特定のタイプのデータが他のタイプとは異なる方法で保護されているかどうかを考慮せずに、すべてのデータ型を同様に処理します。によると 2024レポート、これらの事件の責任は曖昧なままですが、2022年から2023年までに287％急増したビジネス仲間が関与する違反の影響を受ける個人の数は曖昧です。契約が特定の厳格なセキュリティ制御を義務付けることはめったになく、ベンダーの監査/評価は通常、リアクティブまたはアドホックです。ヘルスケアエコシステムのアウトソーシングへの理解可能な依存は、多くの点で有益であるが、それぞれ攻撃の潜在的なエントリポイントである弱いリンクのウェブを作成しました。

私たちがまだ心配するのに十分ではないかのように、ヒューマンエラーは危険な底流を追加し、脆弱性を増幅します。組織は、フィッシングルアーを認識するのに役立つ十分な適切なトレーニングをスタッフに提供できないことがよくあります。 過半数をフックします ランサムウェア攻撃の。エグゼクティブが悪意のあるリンクをクリックしたり、弱いパスワードを再利用する技術者は、ネットワークを開いて攻撃を行い、1つの思慮のない間違いを潮の違反に変えることができます。一般にそのような脅威に対する頑丈な強化と見なされる多要因認証（MFA）は、一般にコスト、複雑さ、スタッフの不満を挙げて、使用されていない、強化されていないままです。 MFAのような堅牢な教育や基本的な防御がなければ、私たち、人間は氷山にかなりの亀裂を生み出し、テクノロジーだけでは完全に修正できないより大きな亀裂につながります。

ソリューション：エコシステムの監査

忍び寄る解凍をするために、ヘルスケアはサイバーセキュリティとデータ保護氷山を通じて新しいコースをチャートし、さらに分裂する前に亀裂を密封する必要があります。断片的な修正は十分ではありません。エコシステムは、説明責任、執行、資金調達、テクノロジー、専門知識、コラボレーションがすべて役割を果たしているすべてのレベルでの集合的な計算を要求しています。

包括的な監査、コンプライアンス評価、インシデント対応演習は、病院だけでなく、機密データに触れるすべてのプレーヤーの場合が不可欠です。規制当局は持っています 提案 年間コンプライアンス評価と定期的なパッチ管理、および修正の脆弱性とタイムラインを開示することを要求します。 HIPAAやその他の連邦規則の対象外の事業体は、パートナーやベンダーに拡張された監査や評価など、適切な管理を積極的に実装する必要があります。

言い換えれば、業界には、積極的なセキュリティとデータ保護に向けた文化的変化が必要です。ポリシーと制御をコンプライアンスチェックボックスとして扱うのではなく、組織はこれらの測定をDNAに埋め込む必要があります。これは簡単ではありません。それは、侵害後の法医学だけでなく、リアルタイムの脅威監視に投資することを意味し、統合を再考することを意味します。おそらく、攻撃の爆発半径を制限する小規模で分散型ネットワークを奨励します。ブロックチェーンまたはゼロトラストアーキテクチャを活用するためのマルチパーティ契約は、データの流れを確保し、プレーヤー間のデータ操作リスクを最小限に抑え、単一の障害点がシステムを解き放たないようにするのに役立ちます。

最後に、コラボレーションが重要です。私たちは、生態系全体で言うまでもなく、単一の組織内にサイロを見ることがよくあります。特にコンプライアンスのリーダー – CISO、コンプライアンス担当者、プライバシー担当者、法律、リスク管理 – は、脅威とベストプラクティスに関するインテリジェンスを共有し、リーダーシップと取締役会に適切に情報を伝えるために協力しなければなりません。覚えておいてください：脅威の関係者は、職務部門によって差別されません。私たちの防御もすべきではありません。

行動への呼びかけ

病院違反のスポットライトは、私たちが無視できない真実を明らかにしました。ヘルスケアのサイバーセキュリティとデータ保護は、その最も弱い亀裂と同じくらい強いだけです。医療機器メーカー、製薬会社、健康IT、プライバシーエクイティ、研究機関、および統合システムはすべて脆弱性に役割を果たし、その欠点は患者のデータと信頼を危険にさらし、波打つことができます。私たちは、私たち自身の組織とパートナーやベンダーの監査と評価、サービス全体の積極的な措置を受け入れ、コラボレーションを促進するエコシステムを考慮し、尊重するアプローチを取る必要があります。次の波が打撃を受ける前に、亀裂に対処するのを手伝うことができます。利害関係 – プライバシー、ケアの提供、生活 – は高くなることはできません。

写真：トレイトフ、ゲッティイメージズ

この投稿はを通して表示されます Medcityインフルエンサー プログラム。誰でも、Medcityインフルエンサーを通じて、Medcity Newsのヘルスケアのビジネスとイノベーションに関する視点を公開できます。 方法を調べるには、ここをクリックしてください。