病院でも「IT部門」と「セキュリティ部門」を分けるべきなのか？

「医療業界のセキュリティ対策は遅れている」と、他の業界から医療業界に転職したセキュリティ専門家達は口をそろえる。セキュリティを向上させるための急務とは何か。

公開 2020年02月19日 05時02分

更新 2022年10月05日 10時21分

著者

Makenzie Holland

[TechTarget]

印刷する

　スティーブン・ダンクル氏は、製造業のセキュリティ担当を辞めた後に医療機関Geisinger Healthの最高情報セキュリティ責任者（CISO）になったとき、まるで10年前に戻ったように感じた。国家安全保障局（NSA）で働いていたフィル・アレキサンダー氏は、2013年に医療機関のセキュリティ担当になったとき、FAX（ファクシミリ）とブザーがまだ使用されているのを見て驚いたという。

　医療組織間の接続が密になるにつれて、脅威が増大し続けている。「医療機関のセキュリティ対策は他の業界に比べて遅れている」と、ダンケル氏とアレキサンダー氏は口をそろえる。

併せて読みたいお薦め記事

医療情報を守る

医療現場のセキュリティは今

　アレキサンダー氏は2018年から、医療機関North Mississippi Health ServicesのCISOを務めている。同氏は「NSAに在籍していたころ、高等教育機関と医療機関は最も安全ではない場所だと見なされていた」と語る。2013年に医療機関UMC Health Systemで情報セキュリティのディレクターに就任した際に同氏は、医療業界が最も安全ではない場所だと見なされていた理由を直接知ることになった。

　「FAXがまだ使用されているとは知らなかった。博物館にしかないと思っていた」とアレキサンダー氏は語る。「私は博物館のホールを歩いているようにすら感じたが、そこは病院だった。ポケットベルを利用している医師がいたことは、ちょっとした衝撃だった」（同氏）

　米国ボストンでHIMSS（病院情報管理システム学会）が2019年12月に開催したセキュリティイベント「Healthcare Security Forum」で、アレキサンダー氏とダンクル氏は、IT部門とセキュリティ部門の分離など、医療業界における過去の成功体験について話した。

IT部門とセキュリティ部門は分けるべきか、まとめるべきか

　医療セキュリティの世界に足を踏み入れたのは「カルチャーショックだった」とダンクル氏は振り返る。2015年に同氏がCISOとしてGeisinger Health Systemに入社したとき、医療システムのネットワークに直接接続している業務委託ベンダーの多さに驚いたという。このような状況は小売、金融、製造業でのセキュリティ部門では見たことがなかったからだ。「私が働いたことのあるどの組織も、そうした状況を受け入れることはないだろう」と同氏は述べる。

　ダンクル氏の経験では、他の業界はパフォーマンスの向上と効率の向上のためにIT部門とセキュリティ部門を分離することを学んでいた。最高情報責任者（CIO）の下でセキュリティ専門家として働いた経験のある同氏は、「IT部門とセキュリティ部門には異なる任務があり、効果的に機能するためには別々に運用する必要がある」と述べる。

　医療機関のIT部門は「医療システムと臨床医の技術ニーズを実現するためのサービス提供を重視している」とダンクル氏は説明する。一方でセキュリティ部門はリスク管理に集中する傾向がある。「常にセキュリティよりもサービス品質を優先するわけではない。処理のスピードを緩める必要があることを主張しなければならない場合もある」と同氏は言う。

　IT部門からセキュリティの業務を分離することは、他の業界が経験してきた「成長痛」のようなものだ。これにより「医療業界にとって何が必要であり何が不必要であるか、経験を持って知ることができた」とダンクル氏は語る。

ポリシーと手順

　アレキサンダー氏は、以前に他の業界で経験したことと比較して、医療セキュリティにはポリシーと手順の欠如があることに気付いた。「米国政府にはあらゆるものに関する政策、計画、手順があったが、医療業界はそうではなかった」と同氏は言う。

　医療ITの現場でアレキサンダー氏がよく耳にしたのは「IT部門はキャッチャーミットのようなものだ」というフレーズだ。病院を支援し、迅速に行動し、リーダーが求めるものを全て実行するのがIT部門の役割だという意味が込められている。

　医療機関がセキュリティを確保するためには「セキュリティ部門だけでなく、IT部門にもガバナンスプロセスが必要だ」とアレキサンダー氏は述べる。同氏が働いた両方の組織では、ポリシーと手順、ガバナンスを導入するための標準が十分に確立されていなかったという。「私がセキュリティのポリシー、計画、手順を制定すると、他のIT部門がそれを検討し、これらの戦術と手順の一部を採用し始める、という状況だった」と同氏は語る。

印刷する