病院がセキュリティ対策に手を抜いてはいけない納得の理由

米医療費回収機関AMCAの医療データ流出は、同社の破産のきっかけとなった。医療データの保護は病院にとっても不可欠だ。それはなぜなのか。

公開 2019年10月11日 05時03分

更新 2022年10月05日 10時21分

著者

Tayla Holman

[TechTarget]

印刷する

　2018年から2019年にかけて、米医療費回収機関のAmerican Medical Collection Agency（AMCA）は大規模なデータ侵害を受けた。このデータ侵害では、顧客企業だった医療検査サービス会社のQuest DiagnosticsとLaboratory Corporation of America（LabCorp）が管理を委託していた、2000万人近くの患者情報が漏えいした。その結果、AMCAは破産申請をせざるを得なくなった。データ漏えいの影響を受けた患者への通知コストと、大量の顧客を失ったことが原因だ。

　Quest DiagnosticsとLabCorpもまだ窮地を脱したわけではない。財政面への影響だけではない。評判も損なわれている。こうした評判の失墜は、侵害に関するニュースが見出しを飾らなくなった後も、しばらくは影響が残る恐れがある。

併せて読みたいお薦め記事

医療情報を守る

医療現場のセキュリティは今

　「残念ながら、大規模なデータ漏えいが起きてから信頼を取り戻すのは難しい」と語るのは、イリノイ大学で生物医学および医療データ科学部の准教授を務めるアンドリュー・ボイド氏だ。そもそも医療データの侵害が起きないようにすることが重要であり、そのためにはセキュリティへの投資が不可欠だとボイド氏は考えている。その理由とは何か。同氏に話を聞いた。

――　近年、医療機関に対するデータ侵害の件数は増えているのでしょうか。

アンドリュー・ボイド氏（以下、ボイド氏）　その通り、医療データの漏えい件数は増えている。このデータに多くの価値があることに、攻撃者は気付きつつある。

　これまでデータ漏えいの標的となることが多かった金融や小売の企業がセキュリティを強化させたことで、ハッカーの狙いが医療システムに向くようになったことも一因だ。この10年間に金融と小売の分野で起きていたことが、医療分野で起きるようになっている。

　病院のネットワークにも積極的な攻撃が仕掛けられている。外部からの攻撃に加え、ノートPCの紛失、意図しない開示、内部関係者によるデータ販売がデータ漏えいの原因となることもある。

――　医療機関がセキュリティに対処することが難しい理由を教えてください。

ボイド氏　中規模の病院には、継続的な運営に必要な各種データベースが500～600個はあると考えられる。システムをロックダウンし、セキュリティを確保しつつ、これらのパッチを更新する手法や手順はある。しかし結局のところ、システムの安全性を保つのは、十分なリソースを投資できるかどうかの問題になる。現実的には、費やせるリソースには限りがある。完全に守りを固めることは難しい。

――　医療機関はセキュリティ対策への投資を増やす必要がありますか。

ボイド氏　製薬会社や医療系ベンダーなども含めた、医療ビジネス全体においては、セキュリティへの支出額は他の業界と大きな違いはないと考えている。一方で病院やクリニックについては、セキュリティを始めとしたテクノロジーに費やしている総額の平均を考えると、他の業界に比べてはるかに少ない傾向にある。

――　医療データの漏えいはビジネスにどのような影響を及ぼしますか。

ボイド氏　医療データ漏えいの影響を考えるときに考慮したいポイントが2つある。漏えいした場合に信頼を取り戻すのが難しい点と、市場の状況に左右される点だ。

　例えば病院が1つしかない場所に住んでいるなら、その病院でデータ漏えいが起きて患者が転院したいと考えても、元の病院を利用せざるを得ないことがある。病院が2つある街であれば、患者は一方の病院でデータ侵害が発生したら、もう一方の病院を受診することができる。これが市場の状況で左右される部分だ。

　競争の激しい市場なら、可能な限り強固なセキュリティを確保して、評判に傷がつかないようにすることが重要だ。評判を立て直すには数年掛かる。罰金やその他全ての課題に加えて、評判の失墜は個々の病院や医療科学機関がセキュリティに投資する最大級の動機になる。

印刷する