Fishtech GroupのSecurity-as-a-Service（サービスとしてのセキュリティ）部門でCyderesビジネス開発担当バイスプレジデントを務めるジェレミー・ヒール氏は「医療機関だけでなく、個人を特定できる情報（PII：Personally Identifiable Information）を保有する関連業界の大規模な組織にも、本格的にまん延していると思われる根深い脅威が数多くある」と述べる。Fishtech Groupは100軒以上の医療機関にサービスを提供するサイバーセキュリティサービスベンダーだ。

　ヒール氏によると、ITインフラが複雑なせいで医療機関はランサムウェア攻撃の格好の標的になっている。「こうした大規模な医療システムを見ると、ランサムウェアの絶え間のない氾濫が、病院のインフラ全体で頻繁に発生しているように感じられる。無秩序に広がったネットワークとインフラには実に多くの脆弱（ぜいじゃく）性が存在するからだ」（同氏）

　マネージドセキュリティサービスを提供するSynoptekでサイバーコンサルティング担当ディレクターを務めるマイク・ペドリック氏は「ランサムウェアは大きな問題で、実行犯らは確実に身代金が支払われるようこれまで以上に行動している」と指摘する。ペドリック氏によると、そうした「行動」には、医療関係の機密データを入手することや、データをばらまくと言って被害者を脅迫することなどが含まれる。

　医療分野のセキュリティ専門家は、命に関わる問題を招きかねないランサムウェア攻撃に対処することが難しくなっている。攻撃の戦術が日々進化しているからだ。

　「2020年はサイバーセキュリティ事件が人の死に直接関係した最初の年だった」と、ITサービス企業Datapriseでサイバーセキュリティ担当シニアディレクターを務めるスティーブン・ジョーンズ氏は語る。同年にはドイツのDuesseldorf University Hospital（デュッセルドルフ大学病院）がランサムウェア攻撃を受け、ある患者が転院する必要に迫られ、移送の途中で死亡した。

　医療機関にとって、パンデミックはセキュリティの課題を悪化させ、リソースを逼迫（ひっぱく）させてきた。「医療スタッフの不足に加え、資金やリソースをサイバーセキュリティ対策ではなくCOVID-19患者の治療に回さなければならないことからも、そうした逼迫を感じてきた」とジョーンズ氏は語る。

　テレワークと遠隔医療の広がりも、医療機関をマルウェア感染リスクの高い状況に追いやった。「医師や看護師、事務職員がテレワークをするようになり『ゼロトラストセキュリティ』が必要になった」とヒール氏は指摘する。ゼロトラストセキュリティは、何も信頼しないことを前提とするセキュリティモデルだ。

　医療機関がゼロトラストセキュリティを採用する場合、例えば医療用ITインフラのデータへのアクセス権限をどのユーザーに持たせるかといった決定に注力し、そうしたアクセスの許可に厳格な認証要件を設ける。「これが次のステップだ。ゼロトラストセキュリティは、認証して信頼できることを証明するまで、誰も信頼しない」とヒール氏は説明する。

　後編は医療機関のセキュリティ対策に奔走するベンダー各社が特に問題視している課題を取り上げ、解説する。