医療unit 42
医療業界のサイバーセキュリティに対する注目度が高まっています。サイバー犯罪者の間で、美味しい標的が多数存在することで有名な業界だからです。ダーク ウェブでは患者記録、研究データ、知的財産などに高い値が付きます。
通常、盗まれた金融データは「賞味期限」が短いのに対し、個人医療情報(PHI)には期限がありません。クレジット カードならば侵害後に新しいカードに切り替えることができますが、血液型や病歴は変えようがありません。この事実だけでも、サイバー窃盗犯にとってPHIの価値が上がります。PHIを人質に取って身代金を要求したり、事件のほとぼりが冷めてから第三者に売却したりすることができます。 とはいえ、サイバー犯罪者が医療組織からは情報だけを盗み、金銭を盗む機会には関心がないというわけではありません。医療業界は、米国経済のほぼ5分の1を占め、支払者、医療提供者、納入業者、患者など多くの個人や組織の間で、毎日巨額の資金が電子的にやり取りされています。これらのチェーンの中に一つでも弱点があれば、攻撃者に攻撃のチャンスを与えます。
医療業界では、料金の請求から患者の遠隔治療、患者用オンライン ポータルまで、あらゆるシステムをクラウド ソリューションに移行してきました。これらのソリューションは効率や拡張性には優れているものの、リスク増大の可能性もはらんでいます。サイバー犯罪のリスクはもとより、大量の機密データを不注意で漏洩してしまう恐れもあります。
相互接続される医療機器が増えたことで攻撃対象領域が拡大し、サイバー犯罪者が機密データにアクセスしたり、患者の治療を中断させたりする可能性さえ生じています。こうしたIoTデバイスの普及と、攻撃者がそれらをハッキングするツールや手法の高度化は、医療提供者が保護する必要がある機器の数が激増し、リスクがこれまでになく高まっていることを意味します。医療のサイバーセキュリティを適切に管理するには、豊富な経験と独自の専門知識を備えたパートナーが必要です。Unit 42の詳細を、今すぐご確認ください。
病院、開業医その他の医療組織においては、命を預かるというその業務内容から、重要なシステムやネットワークの機能中断が絶対に許されません。電子的なデータ交換への依存度が高まっているため、システムのダウンタイムは莫大なコスト増を招くだけでなく、患者の重要な医療情報へのアクセスが遅延したり、救命医療の円滑な運営に支障をきたしたりします。
Health Insurance Portability and Accountability Act(医療保険の相互運用性と説明責任に関する法律: HIPPA）では、医療組織が入手、使用、管理する電子的な個人医療情報の保護に対して、新たな責任を課しています。HIPPAのセキュリティ規則は、電子的に保護された医療情報の機密性、完全性、セキュリティを確保するために、管理面、物理面、技術面のすべてに適切な保護対策を講じることを求めます。データ管理上の問題が発生した医療組織には、該当する個人、連邦政府、場合によってはメディアに通知する義務があります。
コロナ ウイルスへの対応に時間、注意、リソースを集中している間に、医療組織に対するサイバーセキュリティ攻撃の件数が増加しました。攻撃者が、この非常事態に乗じようとしたのです。パンデミックが広がりはじめた頃から、コロナ ウイルスを「疑似餌」にしたフィッシング メールやマルウェア配信が著しく増加しました。一方で、ハッカーが、マルウェアや巧妙なフィッシング メールを使ってワクチン研究や医療サプライチェーンに関する情報へのアクセスを試みたという、情報機関の報告もあります。
Unit 42がHIPAAのガイドラインと要件を適用し、組織およびその資産の保護に関与する人材、プロセス、技術を考慮した、セキュリティ体制の総合評価を実施します。サイバーセキュリティ環境を把握し、PHIやその他の機密データの保存場所、保存方法、伝送方法を明らかにします。既存のドキュメントも点検し、医療業界の標準に基づいた推奨対策を提案するとともに、関係者に面談して、サイバーセキュリティのインフラストラクチャ、運用、機能、プロセス、業務慣習などについて、組織全体から洞察を引き出します。Unit 42のHIPAA評価には、特定されたセキュリティ上の弱点やギャップの影響を軽減する詳細な推奨対策とともに、それを実装する方法が詳細にわかる戦略的なロードマップを示します。ロードマップには見込まれる工数や推定コストも含まれます。
Unit 42が提供する、的を絞った評価とサイバーセキュリティの技術サービスは、サイバーセキュリティ体制と総合的なサイバー復元力を点検、評価し、セキュリティ管理が最適かつ効率的に実施されているかを検証します。具体例として、侵入テスト(実在の攻撃をシミュレートして、対抗策の強度を評価し、隠れていた脆弱性をあぶり出します)、ウェブおよびモバイル アプリケーションのテスト、現在の構成に対する的を絞ったセキュリティ評価、対フィッシング演習、医療業界特有の脅威に基づいてカスタマイズされたシナリオによる机上演習などがあります。
保護は、重要なインフラストラクチャ サービスを確実に提供するための、防御対策の開始および継続的な監視機能の実装から始まります。たとえば、アクセス権限をはじめとする管理体制の見極め、従業員に対するサイバー リスク意識向上トレーニングの実施、情報保護のプロセスと手順の導入などです。これには、サイバーセキュリティ構築の進捗監視や、保護対策の有効性を検証するイベントなども含まれます。
Unit 42のインシデント レスポンス チームは、医療組織の支援要請にいつでも即応できます。ランサムウェア攻撃の調査、根絶、復旧から、ビジネス メール詐欺(BEC)、不注意によるデータ開示、その他あらゆる種類のインシデントに対応します。Unit 42の使命は、攻撃の即時阻止、侵入者の駆逐、システムの復旧、可能な限り早期に通常業務を再開してダウンタイムを最小限に抑えることです。同時に、データ分析ソリューションを駆使して、HIPAA要件の観点からPHI曝露の規模を調査します。
ご相談ください
パロアルトネットワークスのスペシャリストが、すぐにご連絡いたします。お話しできることを楽しみにしております。