他業界から転身した医療機関CISOに聞く
病院でも「IT部門」と「セキュリティ部門」を分けるべきなのか？
「医療業界のセキュリティ対策は遅れている」と、他の業界から医療業界に転職したセキュリティ専門家達は口をそろえる。セキュリティを向上させるための急務とは何か。
スティーブン・ダンクル氏は、製造業のセキュリティ担当を辞めた後に医療機関Geisinger Healthの最高情報セキュリティ責任者（CISO）になったとき、まるで10年前に戻ったように感じた。国家安全保障局（NSA）で働いていたフィル・アレキサンダー氏は、2013年に医療機関のセキュリティ担当になったとき、FAX（ファクシミリ）とブザーがまだ使用されているのを見て驚いたという。
医療組織間の接続が密になるにつれて、脅威が増大し続けている。「医療機関のセキュリティ対策は他の業界に比べて遅れている」と、ダンケル氏とアレキサンダー氏は口をそろえる。
アレキサンダー氏は2018年から、医療機関North Mississippi Health ServicesのCISOを務めている。同氏は「NSAに在籍していたころ、高等教育機関と医療機関は最も安全ではない場所だと見なされていた」と語る。2013年に医療機関UMC Health Systemで情報セキュリティのディレクターに就任した際に同氏は、医療業界が最も安全ではない場所だと見なされていた理由を直接知ることになった。
「FAXがまだ使用されているとは知らなかった。博物館にしかないと思っていた」とアレキサンダー氏は語る。「私は博物館のホールを歩いているようにすら感じたが、そこは病院だった。ポケットベルを利用している医師がいたことは、ちょっとした衝撃だった」（同氏）
米国ボストンでHIMSS（病院情報管理システム学会）が2019年12月に開催したセキュリティイベント「Healthcare Security Forum」で、アレキサンダー氏とダンクル氏は、IT部門とセキュリティ部門の分離など、医療業界における過去の成功体験について話した。
IT部門とセキュリティ部門は分けるべきか、まとめるべきか
医療セキュリティの世界に足を踏み入れたのは「カルチャーショックだった」とダンクル氏は振り返る。2015年に同氏がCISOとしてGeisinger Health Systemに入社したとき、医療システムのネットワークに直接接続している業務委託ベンダーの多さに驚いたという。このような状況は小売、金融、製造業でのセキュリティ部門では見たことがなかったからだ。「私が働いたことのあるどの組織も、そうした状況を受け入れることはないだろう」と同氏は述べる。
ダンクル氏の経験では、他の業界はパフォーマンスの向上と効率の向上のためにIT部門とセキュリティ部門を分離することを学んでいた。最高情報責任者（CIO）の下でセキュリティ専門家として働いた経験のある同氏は、「IT部門とセキュリティ部門には異なる任務があり、効果的に機能するためには別々に運用する必要がある」と述べる。
医療機関のIT部門は「医療システムと臨床医の技術ニーズを実現するためのサービス提供を重視している」とダンクル氏は説明する。一方でセキュリティ部門はリスク管理に集中する傾向がある。「常にセキュリティよりもサービス品質を優先するわけではない。処理のスピードを緩める必要があることを主張しなければならない場合もある」と同氏は言う。
IT部門からセキュリティの業務を分離することは、他の業界が経験してきた「成長痛」のようなものだ。これにより「医療業界にとって何が必要であり何が不必要であるか、経験を持って知ることができた」とダンクル氏は語る。
ポリシーと手順
アレキサンダー氏は、以前に他の業界で経験したことと比較して、医療セキュリティにはポリシーと手順の欠如があることに気付いた。「米国政府にはあらゆるものに関する政策、計画、手順があったが、医療業界はそうではなかった」と同氏は言う。
医療ITの現場でアレキサンダー氏がよく耳にしたのは「IT部門はキャッチャーミットのようなものだ」というフレーズだ。病院を支援し、迅速に行動し、リーダーが求めるものを全て実行するのがIT部門の役割だという意味が込められている。
医療機関がセキュリティを確保するためには「セキュリティ部門だけでなく、IT部門にもガバナンスプロセスが必要だ」とアレキサンダー氏は述べる。同氏が働いた両方の組織では、ポリシーと手順、ガバナンスを導入するための標準が十分に確立されていなかったという。「私がセキュリティのポリシー、計画、手順を制定すると、他のIT部門がそれを検討し、これらの戦術と手順の一部を採用し始める、という状況だった」と同氏は語る。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
肥大化した「SFA」の沼 4カ月でBigQuery×AppSheetの新システムを構築した方法
-
6
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
7
次世代RPA「ハイパーオートメーション」が急成長か Gartnerが予測
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
昭和大学病院がeICUを導入、ICUの患者情報を遠隔地で一括管理
-
10
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
4
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
“あのファイル転送”で暗躍するノーウェアランサム
-
10
「オンプレミス回帰」せざるを得ない“合理的な理由”
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー