その調査結果が具体的に示しているのは、入院30日以内に死亡した心臓発作患者数だ。レポートによると、病院がデータ侵害を受けた場合、1年後と2年後に心臓発作患者の死亡率が増加したという。「各病院の実際の患者数から推定すると、年間2160人の患者が命を落とす恐れがある」とジョンソン氏は述べる。

「データ侵害による影響だ」という見解

　データ侵害そのものが死を招いているとは考えにくい。どちらかといえば、原因は病院のセキュリティ対策手段にあるのかもしれない。「データ侵害と（その結果としての）改善努力に影響を受けている。例えば、新しいセキュリティ管理システムの導入、新しいシステムのインストール、パスワードの複雑さの増加、ダウンしたサーバからデータをすぐに利用できないことなどが挙げられる」とジョンソン氏は話す。

　「データ侵害を受けた病院が実施している変更内容を具体的には指摘できない。言えるのは、（心臓発作の）死亡率に影響する変更、あるいはそれに関係する何かが2～3年の間に発生したということだけだ」（ジョンソン氏）

　この調査は2017年5月に初めて公表された。調査はチェ氏によって範囲を広げて続けられ、教育機関や業界カンファレンスで発表されている。2012年から2016年までの間に3000以上の病院のデータが集められ、米国保健福祉省がこのデータを確認している。この間に305の病院がデータ侵害を受け、1400万人の患者の記録が漏えいしている。

　「この調査は、医療提供プロセスに変更を加えることによって、良い結果も悪い結果も含めて予期しない結果がもたらされる可能性を示している。システムの利便性とプライバシーの間には必ずトレードオフがある」（ジョンソン氏）

病院のセキュリティを脅かし続けるサイバー攻撃

　最も頻繁にサイバー攻撃の標的になっているのは、金融サービス企業ではなく、病院だ。これはForbesやAccentureの調査や、保険代理店、セキュリティ機関、医療機関へのアンケート調査で明らかになっている。ほとんどの場合、医療記録には社会保障番号が含まれている。これは盗まれたクレジットカード番号よりも高い値が付くといわれる。大半の医療システムの中には、従業員、レガシーシステム、セキュリティが確保されていないデスクトップ、モバイルデバイスが多数存在している。そのため、データ侵害が発生する機会は多くなる。

　「私が訪れた病院には優れたコアインフラがなかった」と話すのは、医療機関Children's Mercy Kansas Cityで副院長を務め、CIO（最高情報責任者）とCDO（最高デジタル責任者）も兼任するデイビッド・チョウ氏だ。「収益を上げるために、コアインフラではなく、より高度なMRI装置に投資を行う傾向がある」とチョウ氏は述べる。

　「病院のミッションクリティカルなサイバーセキュリティを確保することは、単にITの問題ではなく、患者ケアの問題と捉えるべきだ」とチョウ氏は話す。そうすると、責任者から個人ユーザーに至るまで、サイバーセキュリティ対策が必要になる。

　「データ侵害が医療の質の低下につながる確率は100％だ。医療機器が攻撃を受けたら、誰かの命が失われかねない」（チョウ氏）

　それでも予算などの理由で、病院のセキュリティシステムをすぐには変更できないことがある。「全てを慎重に実行する。特に電子健康記録（EHR）についてはそうだ。医療体制に悪影響を及ぼしたくない」とジョンソン氏は話す。

　チョウ氏によれば、システムの利便性と多要素認証についての不満を抱いている医師は珍しくないという。ジョンソン氏は「利便性や実用性とプライバシーの間にはトレードオフがあり、これを慎重に管理する必要がある」と述べる。