HIMSSのリー・キム氏

　Healthcare Information and Management Systems Society（HIMSS：医療情報管理システム学会）でプライバシーおよびセキュリティ部門のディレクターを務めるリー・キム氏は、機械学習について「脅威検出機能が徐々に向上しており、医療機関は今後その恩恵を受けられるだろう」と考察する。今後5年間で、医療業界の情報システムとネットワークが機械学習によって大幅に強化されるとも述べた。

　「機械学習を使うと、これまで以上に効率的に脅威を検出して解決できる。観念的には、機械学習を組み込んだサイバー脅威検出システムは、従来型の最先端テクノロジーより正確だ」（キム氏）

ブロックチェーンの潜在能力試験

　重要なセキュリティコンポーネントを備えたもう1つの新しいテクノロジーがブロックチェーンだ。ブロックチェーンは仮想台帳として機能させ、トランザクションはデータの「ブロック」内で検証する。各トランザクションは、ブロックチェーンのピアベースネットワーク内のコンピュータによって検証される必要があるため、情報の改ざんは難しい。

Indiana University Healthのミッチェル・パーカー氏

　重要なのは、ブロックチェーンを使用すると、これまで以上にトランザクションを検証できることと、データレコードに対するアクセスを最小限に抑えられることだ。これは、データを監視する人数を減らせることを意味する。Indiana University Healthで情報セキュリティ／コンプライアンスのエグゼクティブディレクターを務めるミッチェル・パーカー氏はこのように利点を説明する。

　この意見にはドゥンブラック氏も同意する。「医療業界ではブロックチェーンのさまざまな使用事例を参考に、変更不可のトランザクションレコードを作成したり、強力な監査証跡を提供したりすることで、セキュリティとデータ保護が向上するだろう。使用事例を幾つか挙げると、プロバイダー／消費者識別、（モノのインターネット）デバイス識別、サプライチェーン管理、相互運用性といったものがある」（ドゥンブラック氏）

　キム氏は、IT管理者にとってブロックチェーンの存在は、医療現場のトランザクションに対するセキュリティ技術の適用方法について再考するよい機会になると見る。「安全な電子トランザクションを実行する方法には、さらにイノベーションが必要だ。現在よく使われているプロトコルは非常に古く、攻撃、盗聴、侵害の被害を受けやすい。医療現場のトランザクションについて、防御を高め、より高度なセキュリティを提供する必要がある。これを達成するために、ブロックチェーンは詳しく検討する価値があるだろう」（キム氏）

クラウドのセキュリティ上の懸念は過去のもの

　革新的なテクノロジーによって新しいセキュリティ戦略が生まれる。だが、サイバーセキュリティ専門の熟達したITプロフェッショナルが少ないという昔からの問題は残ったままだ。

　この人手不足を解消する方法の1つが、健康情報データをクラウドに移行することだ。クラウドはデータセキュリティのリスクがある考えられていたこともあったが、今では、クラウドテクノロジー（特に、ハイブリッドクラウド）を導入してデータセキュリティ戦略を強化しようとする医療機関のIT担当者が急速に増えている。

　「2018年には、さらに多くの医療機関のITセキュリティ管理者が、クラウドは確かにセキュリティを向上するという確固たる結論に達するだろう。これは、単独の医療機関よりも、Amazon（『Amazon Web Services』）やMicrosoft（『Microsoft Azure』）といった大規模クラウドベンダーの方が、セキュリティに取り組む人員が多いためだ」（パーカー氏）

　「現在、医療機関のIT担当者は、医療機関よりも大規模なクラウドサービスプロバイダーの方がデータセンター保護についての知見を深めていること、脅威に関する詳細な情報を入手していることを認めている。セキュリティ専門家に対する需要は高く、医療機関がセキュリティ専門家を招いてつなぎ止めるのは難しい。地方の小規模な病院ならなおさらだ」（ドゥンブラック氏）

医療従事者に対するセキュリティトレーニング

　テクノロジーは防御のうえで大切だが、同様に、日常業務で健康データを保護する手順を各従業員に周知することも重要だ。病院では、フィッシング、スピアフィッシング、さらにはホエーリング（組織幹部を狙ったフィッシング攻撃の一種）の見分け方について特に重点を置いたスタッフトレーニングを実施すべきだとドゥンブラック氏はいう。

　「注目を浴びるランサムウェア攻撃は全て、マルウェアが組み込まれた電子メールのリンクや添付ファイルを、警戒心の薄い人が開いてしまったことに端を発している。医療機関は、全てのスタッフに対してフィッシングメールの見破り方をはじめとしたセキュリティトレーニングをきちんと完了するように求めるべきだ。医療機関によっては、このトレーニングのフォローアップのために、偽のフィッシングメールを送って、少しでも怪しく見えるメールは慎重に確認するような追加トレーニングを実施したり、再度注意を促す必要があるスタッフを特定したりすることもあるだろう」（ドゥンブラック氏）

　患者データ侵害の多くは、単純な人為的ミスが原因だ。「セキュリティに関して各人が賢い判断をできるようにすることが、2018年の最優先事項になるだろう」（キム氏）