「MGHと親会社のPartners HealthCareは、2011年以来ずっと、情報セキュリティプログラムとサイバーセキュリティ防御について少なからぬ投資をしてきた」とホルツマン氏は話す。

　この取り組みに拍車を掛けたのは、2009年のデータ紛失事件に関して米国保健福祉省（HHS）の公民権局（OCR）と和解協定を結んだことだ。和解契約書によると、MGHのある職員が、192人の保護医療情報を含む書類を自宅に持ち帰り、2009年3月9日の通勤時に電車内にその書類を置き忘れ、手元に戻ることはなかったという。

　MGHには100万ドルの罰金が科され、情報セキュリティプログラムを強化する強制措置計画の策定が求められた。

　サイバーセキュリティインシデントが発生したときに、他の医療機関がそのインシデントから学び、各機関が情報セキュリティプログラムを強化できるように透明性を高めることは「MGHにとってサイバーセキュリティへの投資となるだけではなく、医療業界における同施設の良い評価にもつながる」とホルツマン氏は指摘する。

　このデータ漏えいが外部からの攻撃に起因するものである証拠をMGHが持っているかどうかや、攻撃の手口といった詳細な情報は、他の医療機関の役に立つ、とホルツマン氏は考えている。

　「企業向け情報システムのセキュリティを圧倒するか、圧倒するかのように見せかけた種類の攻撃だったのか。ソーシャルエンジニアリングやフィッシングメールといった攻撃に起因するものなのか。それとも、悪意のある内部の人間によるものなのか」とホルツマン氏は問い掛ける。

　医療業界においてMGHは高水準のサイバーセキュリティ対策を講じている施設だ。「そのMGHでデータが侵害されるなら、最高情報責任者（CIO）をはじめとする医療機関のリーダーは注意しなければならない」と語るのは、Cybereasonで最高情報セキュリティ責任者（CISO）を務めるイスラエル・バラク氏だ。

　「このインシデントは医療業界全体がセキュリティ対策を強化しなければならない兆候と捉えるのが妥当だろう。高水準のセキュリティ対策を講じている医療機関でインシデントが発生するならば、MGHに追随してセキュリティを強化しようとしている医療機関にはどのようなことが期待できるのだろうか」（バラク氏）

　MGHがデータ漏えいの特定にかかった期間についてもバラク氏は衝撃を受けている。

　MGHの声明によると、MGHがデータ漏えいを特定したのは2019年6月24日だという。内部調査では、2019年6月10日～16日の間にMGHの神経内科の研究員が使用する研究データを含むデータベースに未承認の第三者がアクセスしたことが明らかになっている。これは、データ漏えいが発覚する2週間前の出来事だ。

　医療機関ではデータ漏えいが頻繁に発生する。だが「データ漏えいが発生してから2週間後にデータ漏えいに気付くという水準は改善が必要だ」とバラク氏は指摘する。

MGHの医療データ漏えいから得られる教訓

　MGHの声明によると、インシデントの影響を受けた調査データには、被験者の氏名、性別や人種といった人口統計学的な情報、生年月日、研究調査のための来院日や検査日、診療記録番号、研究の種類、調査研究のID番号、診断結果と病歴、生物指標や遺伝情報、評価の種類、結果といった情報が含まれている可能性があるという。社会保障番号、保険情報、財務情報といったデータは含まれておらず、MGHの医療記録システムへの影響はないとのことだ。

　MGHで広報担当ディレクターを務めるマイケル・モリスン氏によると、MGHのコミュニケーション部門は、この声明に含まれている情報以外に、今回のデータ漏えいに関する情報を持っていないという。

　CynergisTekのホルツマン氏は次のように語る。「合理的かつ適切な保護手段を講じて、個人情報を含む全てのデータが許可なく使用されたり、開示されたりすることを防止しなければならない。機密の個人情報を扱う組織が企業向け情報システムの脅威と脆弱（ぜいじゃく）性を評価する際には、リスクベースのアプローチを取るのが望ましい」

　「リスク分析の結果に基づいて、脅威と脆弱性を軽減および特定する計画を策定し、機密情報に対するリスクを妥当な水準まで下げて欲しい」（ホルツマン氏）

　「医療機関のセキュリティシステムが侵害されることは避けられない。問題になるのは、その状況からいかに迅速かつ効率的に回復できるかだ。自分たちはサイバーリスクに対してどの程度の回復力を持っているのだろうか」（バラク氏）