医療機関がベンダーに対して、医療機関のネットワークに直接接続するのではなく、いったんSecureLink for Healthcareのようなベンダー特権アクセス管理ツールにログインするように要請することは「セキュリティ面でもプラスの効果がある」。そう語るのは、医療機関のサイバーセキュリティ専門のコンサルティング会社CynergisTekでマネージドセキュリティサービスのディレクターを務めるキャリー・ホワイソール氏だ。SecureLink for Healthcareは、多要素認証など複数の認証プロセスを経て、アクセスしようとする個別のエンドユーザーを認証する。

　SecureLink for Healthcareは医療機関の環境に1台の仮想サーバを導入する。ベンダーがSecureLink for Healthcareのシステムに接続できるようになるまでの平均所要日数は57日だ。SecureLink for Healthcareはベンダーの全アクティビティを一元管理する。インシデントが発生した場合、医療機関のIT管理者は管理画面からアクティビティのログを取り出して確認できる。

　ホワイソール氏は「SecureLink for Healthcareの追跡機能によって、医療機関のIT管理者にはベンダーのアクティビティに対する高い可視性と洞察が手に入る」と説明する。例えば医療機器メーカーがソフトウェアアップデートをリリースし、そのアップデートがネットワークの問題を引き起こした場合、VPNを使用する環境では具体的に何が起こったかを追跡するのは難しい。「ベンダーがログインした時点は確認できても、それ以外の情報は確認できない」と同氏は指摘する。

　ベンダーのアクティビティを確認する手段がなければ「見通しのきかない状況に置かれることになる」とホワイソール氏は注意を促す。SecureLink for Healthcareのようなベンダー特権アクセス管理ツールがあれば、キー入力レベルで追跡することが可能だ。

　事実、SecureLink for Healthcareは、IT管理者がアプリケーション、デバイス、サーバに対するベンダーのアクセスを制限し、医療機関がHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）やHITECH（経済的および臨床的健全性のための医療情報技術に関する法律）のセキュリティ規制を満たすのに役立つ。SecureLinkで製品管理のバイスプレジデントを務めるロブ・パレルモ氏によると、SecureLink for Healthcareは法規制やセキュリティに影響する恐れのある変更が加わったときにシステム管理者に警告メッセージを送信するモジュールも同梱している。

ベンダー特権アクセス管理の中核を担うポリシー

　ベンダーが医療機関のネットワークアクセスに関して、特定の方法を好んで使用している場合「医療機関がベンダーにアクセス方法の切り替えを求めるのは容易ではない」とホワイソール氏は警告する。「医療機関のCIOは、自施設のネットワークにとって好ましいアクセス方法を定義し、自施設のシステムにおけるベンダーの管理方針をまとめる必要がある」と同氏は言う。CIOはシステムの契約更新時に、ネットワークアクセス方法を指定して契約条件に盛り込むようにすれば、提携しているベンダーとの妥協点を見いだすのに役立つだろう。

　医療機関が指定するアクセス方法に従うことを拒否するベンダーもいるだろう。「指定の方法を契約に含めていなければ、その方法をベンダーに守らせるのは難しい」とホワイソール氏は話す。