SaaSアプリが医療現場のセキュリティリスクを軽減する4つの理由

医療機関はSaaS（Software as a Service）を利用すれば、ハッカーからの攻撃のリスクを減らすことができる。他のアプリケーションが攻撃を受けても、SaaSアプリケーションは稼働状態を維持できるからだ。

公開 2018年04月04日 05時01分

更新 2022年10月05日 10時23分

著者

Reda Chouffani

[TechTarget]

印刷する

　ハッカーの攻撃から病院のITシステムを守るために奮闘している医療機関のIT部門は、防御能力の向上をもたらす新たな手法を常に探し求めている。しかし残念なことに、いかに優れたツールや手法を駆使しようとも、犯罪者たちは盗んだ認証情報やフィッシングメールなどを利用して侵入してしまう。このため、攻撃を阻止することよりも、病院のシステムが攻撃を受けた場合の影響をいかに軽減するかを重視するIT管理者もいる。SaaS（Software as a Service）型アプリケーションを利用してクラウドベースの環境に移行することが、医療機関のセキュリティリスクを軽減する処方箋となるかもしれない。

　2017年12月、米国ノースカロライナ州メクレンバーグ郡では、ハッカーが郡政府のコンピュータシステムを乗っ取るという深刻な事件が起きた。攻撃の発端となったのは、郡職員がメールの添付ファイルを不用意に開いたことだった。このファイルにはスパイウェアが仕込んであった。攻撃者たちは各種のデータとシステムを暗号化し、これらを復元するための身代金としてビットコインを要求した。重要なシステムも被害を受けたため、郡にとって深刻な事態となった。この攻撃を機に、SaaS型アプリケーションを利用すれば、郡の多くの行政サービスを維持できるのではないかという議論が高まった。

　医療機関を狙った攻撃で最も多いのが、身代金要求型マルウェア（ランサムウェア）を使った攻撃だ。これは、エンドユーザーのPCあるいはサーバで悪質なコードを実行することにより、ローカルマシンあるいはネットワークでユーザーがアクセスを許可されているファイルを暗号化するという攻撃だ。もう1つのタイプは、ユーザーにURLをクリックさせたり、メールの添付ファイルを開かせたりすることにより、遠隔地からマシンをコントロールしたり、ユーザーの認証情報を盗み出したりするためのコードを実行するというものだ。多くのシステムをSaaSアプリケーションで運用すれば、これらの攻撃の被害を軽減できる。オンプレミス（自社運用）環境よりもSaaSあるいはクラウドホスティングのアプリケーションを使うことで得られるメリットを以下に示す。

併せて読みたいお薦め記事

医療現場のセキュリティは今

ランサムウェア対策の基本

アプリケーションが稼働するサーバへのアクセスを制限あるいは禁止できる

　不幸にもランサムウェアに感染した場合でも、クラウドベースの環境を利用している病院では、これらのサーバで運用しているワークロード（アプリケーション）の被害や業務への影響を避けることができる。ランサムウェアの影響を最も受けやすい箇所がLANとサーバだ。だがSaaSアプリケーションはWebブラウザやリモートクライアントを通じて配信されるため、ランサムウェア攻撃の影響が及ぶことはない。

SaaSアプリケーションはネットワーク攻撃を受けにくい

　SaaSベースのアプリケーションの利用は、医療機関のセキュリティリスクの軽減にもつながる。ネットワークやIT環境が攻撃を受けた場合でも、SaaSアプリケーションは外部のプロバイダーがホスティングをしているので、稼働状態を維持できる。患者のデータを保存したシステムへのアクセスが不可欠な医療現場では、これは大きなメリットだ。大規模なランサムウェア攻撃が発生した場合でも、影響を受けたシステムの復旧作業をIT部門が行っている間、病院のスタッフはSaaSアプリケーションにアクセスできる。

SaaSプロバイダーは高度な防護機能を提供できる

　病院では、100％クラウドベースの電子健康記録（EHR）や給与管理、診察予約、診療費請求、ホスティング型メールサービスなどさまざまなSaaSアプリケーションを使う。各ベンダーは自社のツールに関連する潜在的リスクに対処するプロトコルと防護機能を提供する。ベンダーによる高度なセキュリティ対策のおかげで、病院はワークロードを防護する負担から解放される。

攻撃を受けた場合のリスクが少ない

　SaaSベンダーは高度な防護対策を講じているものの、攻撃に伴う潜在的リスクにさらされる可能性もある。だが病院が利用しているSaaSベンダーの1社が攻撃を受け、特定のアプリケーションが利用できなくなった場合でも、他のSaaSプロバイダーのサービスに被害が及ぶことはない。複数のベンダーを使い分けることで、病院のセキュリティリスクを大幅に軽減でき、また、1つのシステムが被害を受けても感染の拡大を防ぐことができる。

　病院のITマネジャーは今後も、ITシステムのセキュリティを維持するという困難な任務を果たさなければならない。優れたツールを使い、セキュリティ対策に多額の資金を投入しても、病院における医療セキュリティの潜在的リスクがなくなることはない。冒頭にも述べたメクレンバーグ郡のように、最新のツールを使い、2017年にITセキュリティ対策に120万ドルを投じたとしても、ITシステム全体をダウンさせる攻撃が起こり得る。

　SaaSの利用は、ランサムウェア攻撃やデータ流出に伴う医療セキュリティのリスクの減少につながる。各種のSaaSアプリケーションを社外のサーバでホスティングをすれば、攻撃による潜在的被害の範囲をローカルでアクセス可能な環境やシステムだけに限定できるからだ。

印刷する