大半のベンダーは、UMass Memorial Health Careの内部アカウントを保持しており、その中にはアクセスが制限されているものもあれば、制限されていないものもあった。この事実が判明したことでUMass Memorial Health Careは2014年に、SecureLinkが提供する同名のベンダー特権アクセス管理ツールを導入することを決めた。

　UMass Memorial Health CareはSecureLinkを導入したことで、誰がどのアプリケーションに、いつ、どのくらいの期間アクセスしたかを細かく制御できるようになった。ベンダーのセッションについてはあらゆるキー入力を追跡し、セッションの詳細なスクリーンショットや報告を提供することも可能になった。

　「可視性が向上することで、セキュリティが強化され、平穏がもたらされた」と、UMass Memorial Health Careでシニアアプリケーションセキュリティアナリストを務めるスコット・エメリー氏は語る。同機関はベンダーに、システムを監視していることを通達している。「監視されていることが分かると、何でもできると考えていたときとは様相が少し違ってくる」（エメリー氏）

　医療機関向けのSecureLinkである「SecureLink for Healthcare」は、キー入力のログや動画ログなど、より詳細な監査ログを提供する。これは医療機関がベンダーのアクティビティを追跡して、ベンダーがHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）などのセキュリティ要件を満たしていることを確認するのに役立つ。

　UMass Memorial Health CareがSecureLinkを導入する以前、UMass Memorial Health Careと提携しているベンダーは、異なるレベルのアクセス権を持つ個別の内部アカウントを保持していた。この慣習が同機関にもたらす潜在的なリスクは「尋常ではなかった」とエメリー氏は話す。

　「このリスクをできるだけ早く取り除きたいと考えていた」とエメリー氏は強調する。というのも、ベンダーがネットワークにアクセスしても「それを制御するすべはないも同然だったからだ」（同氏）。

　UMass Memorial Health CareがSecureLinkの導入を決めてから、ベンダーのアクセス制御の仕組みを同ツールに移行するまでに、約2カ月の歳月を要した。2014年当時、UMass Memorial Health Careは約70社のベンダーと提携していた。2020年現在、その数は200社を超える。

　SecureLinkが搭載している機能のうち、優れているのは「ネットワークへのログインに失敗したときに送信される警告メッセージだ」とエメリー氏は言う。このメッセージを受信したときには、ベンダーのIPアドレスを調べて、ネットワークにログインしようとした理由をベンダーに確認し、そのアクセスを承認または拒否できる。

　UMass Memorial Health CareはSecureLinkの導入によって「各ベンダーのアカウント設定作業など、ベンダーの関係管理のためにIT部門が費やしていた時間にも大きな影響があった」とエメリー氏は話す。

　SecureLinkで製品管理のバイスプレジデントを務めるロブ・パレルモ氏によると、医療機関向けのSecureLink for Healthcareは、標準版のSecureLink「SecureLink for Enterprises」を基盤としており、顧客が必要とする医療業界固有の機能を搭載している。ベンダーは医療ITシステムに直接接続したりVPN経由で接続したりするのではなく、SecureLink経由で接続するためのユーザー名とパスワードを使うことになる。

　後編はSecureLink for Healthcareの仕組みと、ベンダーのアクセス制御を管理するためのルール整備のコツを説明する。