「電子カルテベンダーと医療機関は多くの場合、医療データの共有を拒否する根拠としてサイバーセキュリティを挙げる」とレーマン氏は話す。電子カルテをもっとオープンにするための“刺激”が、医療業界の市場には不足していると同氏は補足する。

　レーマン氏は「電子カルテは閉鎖的になるよう設計されている。セキュリティに問題があるからというのが、ベンダーの理由だ」と主張する。だが実際のところ、電子カルテとこれを導入する医療機関を閉鎖的な考え方にしているのは「経済的な理由だ」と同氏は言う。

　「医療を提供する観点から見ても、データを共有することで良い影響がある」とレーマン氏は述べる。医療業界のコミュニティーはデータのサイロ化（孤立した状態になること）を解消し、データの機密性、完全性、可用性を安全に確保する方法に力を入れる必要がある。

　レーマン氏によると、重要なのは「患者は自身のデータの安全な扱い方を知らない」と思い込まないことだという。ベンダーと医療機関は、患者の観点から医療システムを開発したり、導入したりすることが必要だ。

　電子カルテベンダーと医療機関の間の関係がよりオープンになるよう動機付けする方法を考え出せば、相互運用性の実現が容易になり、セキュリティがシンプルになる可能性があるとレーマン氏は話す。実際に米保健福祉省の医療IT全米調整官室（ONC）は、医療データへのアクセスを容易にする規則の制定に取り組んでいる。

医療セキュリティに有効なフレームワークと認定資格制度

　医療機関にとっての最初の一歩は、準拠するサイバーセキュリティ標準規格を選ぶことだとレーマン氏は述べる。同氏は、ベンダーが医療に適したセキュリティ対策をしているかどうかを確認する方法として、米国立標準技術研究所（NIST）のサイバーセキュリティフレームワークへの準拠度を確認することを提案する。このフレームワークは、サイバーセキュリティ対策の概要と手法を説明する。医療機関は、データアクセス管理ポリシーなど、このフレームワークにのっとったセキュリティ対策を導入した方がよいと同氏は提言している。

　電子カルテベンダーは、医療システムへの適切なセキュリティの実装方法と安全なテスト手法を選択すべきだ。「BSIMM」（Building Security In Maturity Model：セキュア開発成熟度モデル）や「SAMM」（Software Assurance Maturity Model：ソフトウェアセキュリティ保証成熟度モデル）がその参考になる。SAMMは、ベンダーがセキュリティ戦略を策定して導入するのに役立つ。

　セキュリティの認定資格取得も、電子カルテベンダーにとって有効だとレーマン氏は言う。その一例が、医療情報向けのセキュリティ認定資格である「HITRUST CSF」（Health Information Trust Alliance Common Security Framework）だ。製品にこの資格を付与することで、医療情報を扱うのに十分なセキュリティ対策を施していることを証明できる。

　医療機関が患者データを保護するには

• セキュリティパッチの適用
• 多要素認証
• メールセキュリティ

という3つの基本的なセキュリティ対策に投資し、実践することが必要だとレーマン氏は語る。こうすることで「医療機関に対するサイバー攻撃の90％を防げる」（同氏）。

　その主張を裏付けるため、レーマン氏はVerizonが最近発行したレポート「2019 Data Breach Investigations」を挙げた。このレポートには報告済みの4万1686件のセキュリティインシデントと、2013件のデータ侵害についての調査結果を掲載している。同氏によると、このレポートではセキュリティインシデントのほとんどは、本を正すと前に挙げた3つの制御のいずれかに関連付けられることが報告されているという。

　「これら3つの制御への対策をしっかりとすれば、悪意あるプログラムの大半を把握できるだろう」（レーマン氏）