UHG は、クラウドベースのセキュリティで Change Healthcare を再構築していると発表

ユナイテッドヘルス・グループの最高経営責任者（CEO）アンドリュー・ウィッティ氏は5月1日、ALPHVランサムウェア集団によるUHG子会社チェンジ・ヘルスケアへの2月21日の激震サイバー攻撃について上下両院で証言した。

同氏は、レガシーサーバーに多要素認証が存在しないことがサイバー犯罪者に攻撃ベクトルを提供したことを認めた。

そして、同社の法医学調査は当分続くだろうが、ウィッティ氏の推定では、アメリカ人の約3分の1の個人を特定できる情報と保護された健康情報が盗まれたことを認めた。

ウィッティ氏は下院監視・調査小委員会で２時間の大部分を費やし、怒りに燃える委員たちの財政面、運営面、技術面の質問に答えながら、「影響を受けたすべての人々に改めて言いたい。本当に申し訳ない」と述べた。

「私たちはできる限りあらゆる詳細を明らかにし、理解するためにたゆまぬ努力を続けており、これを利用してサイバー防御をこれまで以上に強化します」と同氏は述べた。

お詫びと保証

ウィッティ氏は議会証言で、ユナイテッドヘルス社が2200万ドルのビットコイン身代金を支払うことを選択したのは、チェンジヘルスケア社の旧式システムが侵害され、自社と多くの顧客の業務に支障をきたしたためだと述べた。

彼の証言は、攻撃と UHG のインシデント対応の技術的側面を垣間見ることができました。

「侵入を知った瞬間から、ケアへのアクセスを維持し、顧客とクライアントをサポートするためにできる限りのことを行うという深い責任感を感じました」とウィッティ氏は会見で述べた。 冒頭証言。

「この攻撃に対する私たちの対応と反応は、システムの安全性を確保すること、患者がケアと投薬に確実にアクセスできるようにすること、そして医療提供者の経済的ニーズを支援することという3つの原則に基づいています。」

議員の何人かは時間を使って、停電で経済的負担にさらされ、引き続き苦しむ患者、医療提供者、政府職員を同社がどのように支援するつもりであるかを尋ねた。

本業の医療提供者である国会議員や独立した薬剤師1名を含む他の参加者は、事前の認可、薬局の給付管理、手形交換所の停止による医療請求提出期限の延長、およびUHGがアクセスと患者に影響を与える決定をどのように行うかについてのその他の有権者からの苦情について質問した。お手入れ。

代表者の多くは、攻撃とその後の機能停止によって患者と医療提供者に生じた経済的負担について質問した際、昨年のUHGの収益3,700億ドルを持ち出した。

米国医師協会は、保険金の支払いを処理できないと、3月26日から4月3日にかけて実施した最近の調査に基づいて、 Changeサイバー攻撃により小規模な医療機関が閉鎖される。

ウィッティ氏は、小規模プロバイダーが回復期間が最も長く、無利子・無料ローンの大部分を受け取っているのは小規模プロバイダーであることを認めた。 UHGは4月26日の時点で65億ドルの早期支払いを提供したと同社は報告した。

コロラド州のダイアナ・デゲット下院議員は、攻撃後、資金繰りが止まってもプロバイダーは「仕事を止めなかった」と指摘し、チェンジを運営するUHGの実体であるオプタムに許可する最初の融資条件についてウィッティに質問した。予告なしに資金を取り戻すこと。

「私たちはすぐに気づきました [the terms] 「それは適切ではなかった」と彼は答え、「それが間違いだったことは全面的に認めます」

将来の請求拒否に対する懸念

公聴会中、ワシントン州民主党のキム・シュリエ下院議員も2022年の合併について質問した。 米国司法省が阻止しようとしていた。

状況に対処するための努力と前払いは評価されるが、「現実には、この大規模で広範囲にわたる攻撃が、すでに存続するのに苦労していた小規模で独立した事業に不相応な影響を与えている」と彼女は述べた。

他の支払者は「何も助けてくれなかった」が、融資は不十分だと彼女は述べ、ワシントン州イサクアのバランス理学療法の「壊滅的な」経験を語った。 雇用している診療所のオーナー 理学療法士6名 シュリエさんは、家賃と給与を支払うために自宅を抵当に入れなければならなかったが、今ではそのお金がなくなってしまったと語った。

UHGの最初の融資ではバランスさんに70ドルが支払われたと、展示品として応募するための紙を掲げながら彼女は語った。

次にシュリエ氏は、UHGは前月と前年にどのような行為が請求されたのかを理解するのに十分な保険金請求経験情報を持っているべきであり、「それよりも優れた対応ができるはずだ」と述べた。

彼女は、UHGが事態を正すまで「休むつもりはない」と述べたため、UHGが抵当に入った住宅の価値の返済を支援してくれるかどうか尋ねた。

「議員さん、もちろんですよ」と彼は言った。

一部のプロバイダーがサポートを受けておらず、依然としてサポートを受けていない可能性がある理由の 1 つは、UHG が「ユナイテッド以外のフローの可視化」を行っていないためであると Witty 氏は説明しました。

「私たちは素早く助けようとしていたため、アンダーショットをしてしまい、今回の場合は大幅にアンダーショットをしてしまいました。」

また、融資条件には、受取人がUHGの競合他社を利用できないという条項があり、地区内の一部の診療所や病院が融資を受けないことを決めたなど、非常に疑わしいと聞いたと述べた。

そして、ユナイテッド航空が「問題を抱えている」プロバイダーの慣行を買収しているという評判を踏まえ、ウィッティ氏は、ユナイテッド航空が「十分な補償をせず、不当な条件を課し、そのまま放置することでこれらの慣行を損なうことがない」という保証を委員会に与えることができるのかと質問した。慣習を買い占めている。」

「これらの条件は現在ではすべてなくなっています」とウィッティ氏は断言し、この支払い業者は「この件を背景に日和見的に行動することは決して望んでいない」と断言した。

以前、UHGの最高経営責任者（CEO）は、医療機関が再開した決済サービスへの再接続にサポートが必要な医療提供者向けに定期的な説明会を開催していると述べ、その後、どの地区の医療提供者と患者の関係者もUHG（866-262-5342）に連絡する必要があると述べていた。 (もあります UHG リソース ページ。）

その後、同氏は14万2,000件の納税者番号が無料融資プログラムを利用していることを指摘し、公聴会を通じてプロバイダーは業務が正常に戻ったと判断するまで返済を開始する必要はない、と何度も強調した。

「私たちは、彼らのシステムを修復するか、彼らのキャッシュフローを引き受けるために、簡単なことですが、全力を尽くすことを誓います」と彼はすでに冒頭証言で約束した。

4 月 29 日の報道によると、請求および支払いシステムの機能の多くは復旧しました。 手紙 アメリカ病院協会から、オレゴン州民主党のロン・ワイデン財務委員長やマイク・クラポ上院議員（共和党アイダホ州ランキングメンバー）に至るまで、医療制度と病院はクローバックを懸念している。

「再接続が回復への唯一のステップではない」とAHAは述べた。

「特にほとんどの支払者がChange Healthcareの停止の影響を受けた特定の管理要件を放棄していないため、保険金請求の提出の混乱と遅れは必然的に多くの否認につながるだろう。」

レガシーシステムの再構築

下院委員会の数人は、防御策がどこで破綻したか、HIPAAへの準拠、そして同社が国際法執行機関の標的となっているグループに関する連邦政府機関の警告に従ったかどうかなどについて基本的な質問をした。 ALPHV ブラックキャット 2021年11月より運用を開始しました。

クラウド内のバックアップを完全に分離せず、MFA のないレガシー サーバーを使用しなかった Change Healthcare は、広範囲にわたる損害の余波に対して親会社に責任を負わせることになりました。

ランキングメンバーのフランク・パローン氏（DN.J.）は、なぜUHGが選ばなかったのか知りたいと述べた 古いシステムをアップグレードする または、事故から 1 年半以内に適切なバックアップを実施するか、 取得 完成しました。

UHG がネットワークを調査したのは会社が買収されたときだけで、それ以来、Change のシステムは更新されていたと Witty 氏は説明しました。

「変化、このリスクはユナイテッド買収以前から存在していた」と同氏は語った。

特定のランサムウェア攻撃により、主要なシステムとバックアップが動作不能になりました。

「これは、バックアップで真の分離を構築する方法に関して、このことから学ばなければならない教訓の 1 つであり、これらのサービスを古いオンプレミスのデータ センターではなくクラウドに置くことの重要性について強調するだけかもしれません。これは従来の Change 環境の場合でした。」と彼は言いました。

ウィッティ氏はまた、公聴会に招待されたマリアンネット・ミラー・ミークス下院議員（共和党、アイダホ州）に対し、欠陥は「小規模」企業に深く組み込まれたレガシー・システムにあると語った。

「リスクの問題は、Change が非常に小規模な独立企業だった頃、あるいは実際には公開会社ではあったものの、非常に小規模な公開会社だった頃から実際に存在していたと私は信じています。Change が組織内に侵入してきたのですが、非常に残念なことに、この攻撃は初期に発生しました。私たちがこのビジネスを所有していることを。」

しかし、古いバックアップの存在や進行中のアップグレードは、一部の観察者にとって UHG の言い訳にはなりません。

ニューヨーク市を拠点とするクラウドネイティブなデータ セキュリティ プラットフォームであるセントラの共同創設者兼社長であるアサフ コーチャン氏は、「小規模な組織とは異なり、これらの業界の巨人は自由に使えるリソースが豊富であることが多く、データ セキュリティ体制が緩いことの言い訳はできません」と語った。 ヘルスケアITニュース メールで。

「これまでと違ったのは、ユナイテッドにはこの問題を解決する財政的能力があり、チェンジをより現代的でより安全なプラットフォームに再構築できると信じていることだ」とウィッティ氏は語った。

ケンタッキー州、共和党のブレット・ガスリー下院議員も、Change のレガシー機器について、また、侵害される可能性のある古いシステムがあるかどうかについて質問した。

「私たちはその可能性を絶え間なく消そうと努力している。私たちはそれが確実に起こるように第三者を利用している」と彼は答えた。

「変化の再構築において、変化を取り戻すのに皆さんが予想しているよりも時間がかかっている理由の 1 つは、私たちがこのプラットフォームの多くを最新の最新テクノロジー (多くの場合クラウドベース) でゼロから構築しているためです。攻撃以前に存在していたものよりもはるかに優れたセキュリティ機能が組み込まれています。」

サイバーセキュリティ・インフラセキュリティ庁、連邦捜査局、米国保健福祉省の共同勧告における対策の実施について質問されたウィッティ氏は、UHGは調査を通じて、なぜすべてのChangeシステムがレビューされなかったのかを解明しようとしていると述べた。

ウィッティ氏によると、あらゆる侵害や「ニアミス」から得られた教訓を検討するのがUHGの方針だという。 「毎回根本原因分析を行っています。」

侵害の影響は広範囲にわたるが不透明

ウィッティ氏は公聴会で、UHGは影響を受けるすべての個人に通知する責任を負うよう定期的に取り組んでいると述べた。

ゲーリー・パーマー下院議員（アラバマ州共和党）は、サイバー攻撃による影響の期間について質問した。 同氏は、同僚らはその影響についてよく尋ねてきたが、データに含まれる可能性のある「非常に高度なセキュリティ許可」を持つ何千人もの政府職員について聞きたいと述べた。

同氏はウィティに対し、連邦職員にPIIが漏洩した可能性があることを優先的に知らせるよう要請し、保証を与えた。

ニューヨーク州ポール・トンコ氏は、データ侵害により数百万人の米国人の健康データが危険にさらされており、「最悪の懸念の一部が現実になりつつある」と語った。

HIPAA では最低限のデータ セキュリティ基準が必要ですが、パーマー氏は Change が HIPAA に完全に準拠しているかどうかを尋ね、UHG に Change のシステムの HIPAA 準拠の分析を依頼しました。

ウィッティ氏は、システムの分析は購入後にしかできないと述べ、「その規模と複雑さを考えると、分析には時間がかかる」と述べた。

次に、トンコ氏は、HHS への違反通知がまだ提出されていない理由を尋ねました。

ウィッティ氏は、UHGは3月中旬まで流出したデータにアクセスできず、現在も分析中だと答えた。

「このサイバー攻撃の影響がまだ始まったばかりであることを非常に懸念している」とシュリエ氏は語った。

Andrea Fox は、Healthcare IT News の上級編集者です。
Eメール： [email protected]
Healthcare IT News は HIMSS Media の出版物です。