医療データセキュリティの概要と目的

　医療データセキュリティとは、医療機関が患者のプライバシーを守り、業務の完全性を維持するために不可欠な要素です。すべての組織や機関がデータ保護の責任を負っていますが、その重要性は医療業界において特に顕著です。

　医療施設では、多数のスタッフがさまざまなデバイスを使用して機密性の高い医療データにアクセスしています。そのため、医療業界はハッカーにとって魅力的な標的となり、攻撃を受けるリスクが高まっています。医療機関が導入するIoT（モノのインターネット）デバイスもリスクの温床となります。IoTデバイスは組織内ネットワークよりもセキュリティが手薄になる傾向にあり、外部ネットワークとの接続によって新たな脆弱性が生まれる可能性があるのです。

　忘れてはいけないのは、高度な医療機器に依存する患者にとって、正確な医療データこそ生死を分ける鍵になるということです。医療データセキュリティとは、単なるデータ保護にとどまりません。患者の生命を守るための生命線でもあるのです。

2．医療データに対する5つの脅威

　医療データはサイバー攻撃者にとって非常に価値あるターゲットになっています。医療記録はなりすまし、不正な医療サービス、架空請求などに悪用される可能性があります。サイバー攻撃者は通常、盗んだ患者データをダークWebで販売したり、データ元の組織に高額な身代金を要求して利益を得たりすることが一般的です。

　その一例が、2024年2月12日（現地時間）に、米国最大の医療請求処理企業Change Healthcareがランサムウェア（身代金要求型マルウェア）攻撃を受けたことです。同社は100件を超えるシステムの接続を切断せざるを得なくなり、医療請求処理プロセスは完全に停止しました。さまざまな医療提供者が請求処理をChange Healthcareに依存していたため、医師が運営する米国中の医療グループ、精神科診療所、個人開業医はキャッシュフローが滞り、医療業界全体に甚大な影響を及ぼしました。

　医療データに対する脅威は、ランサムウェアだけではありません。主な5つの脅威を見てみましょう。

ランサムウェア

　サイバー犯罪者が組織のデータを暗号化し、解除の条件として身代金を要求します。要求が拒否されると、暗号化されたデータは削除されるか、完全にアクセス不能になることが一般的です。組織がこの種の攻撃に備えていない場合、重要なファイルにアクセスできなくなり、日常業務に重大な支障をきたす恐れがあります。

分散型サービス拒否（DDoS）攻撃

　ネットワークアクセスを妨害し、ネットワークを操作不能にすることを目的としたサイバー攻撃です。攻撃者はコンピュータやその他のデバイスをマルウェアに感染させ、各デバイスをbotに変えて、ネットワークをリモート制御できるようにします。このような攻撃により、患者や医療提供者が患者ポータル、クライアントのWebサイト、患者記録などにアクセスできなくなります。

内部の脅威

　医療機関は外部からの脅威に対するセキュリティ対策に注力する一方、内部の脅威を見落としがちです。内部の脅威は、不注意やミスによるものか、何らかの金銭的利益を目的にした意図的な行動に分類されます。内部関係者は、ネットワーク設定や脆弱性に関するアクセス権や知識を持つため、組織のネットワークに深刻な損害を与える可能性があります。

電子医療記録（EMR）

　患者の医療履歴、処方、治療記録などの医療情報は最近ではほぼ全てデジタル化されています。電子医療記録（EMR）は患者のデータを長期にわたって保管し、健康状態の重要な指標を継続管理するための便利で効率的な方法です。これらの記録は通常、クラウドに保存されますが、これにより特定のリスクも伴います。特に、同一のデータセキュリティ法や知的財産法が適用されない国や領域のデータセンターに保存されている場合、情報漏えいや不正アクセスのリスクが高まります。

医療用機器のモノのインターネット（IoMT）

　医療機関のネットワークにはさまざまな医療機器やアプリケーションが接続しています。医療分野のモノのインターネット（IoMT）は、患者データや治療情報へのアクセスを効率化し、医療サービスの質を向上させる重要な役割を果たしますが、同時にさまざまな脆弱性を組織にもたらす可能性があります。例えば、患者用のウェアラブル医療機器がサイバー攻撃の入り口となり、攻撃者が医療機関全体のネットワークに不正侵入するリスクがあります。

3．医療データのコンプライアンスとセキュリティを維持する方法

　医療データは機密性が高いため、医療業界にはサイバーセキュリティのエコシステム（生態系）を保護する責任があります。医療データのセキュリティは、「医療保険の携行性と説明責任に関する法律」（HIPAA）における重要な要素であり、対象となる組織に対し、セキュリティを確保するためのリスク管理プログラムの整備を義務付けています。組織がHIPAAのデータセキュリティ要件に準拠していない場合、 サイバーリスク管理が不十分なことによる影響は甚大になります。不適切なサイバーリスク管理は、評判の低下やビジネス機会の損失に加えて、違反や罰金といった法的な制裁を招くこともあります。

　医療ITの進展に伴い、患者データの保護と適切な管理は医療機関の最重要課題となっています。以下で、コンプライアンスとセキュリティを維持するための主な対策を解説します。

患者の権利保護

　患者のプライバシーを守るため、各国で厳格な法規制が整備されています。日本では、厚生労働省が「医療情報システムの安全管理に関するガイドライン」を改訂し、ランサムウェア攻撃への備えとして、バックアップの実施とその適切な保存・管理を強調しています。

　米国ではHIPAAがあり、欧州ではGDPR（General Data Protection Regulation）があります。GDPRでは患者データの収集、使用、開示に関する厳格なルールが定められており、医療機関はこれらを順守し、患者の権利を尊重する体制を整備する必要があります。

信頼の維持

　適切なデータ管理は、患者や取引先との信頼関係を構築・維持する上で不可欠です。具体的には、以下が含まれます。

• 継続的な監視
  • 常に進化する脅威に対し、組織がリアルタイムにリスクに対処するため、コンプライアンスの維持と実証には継続的な監視が不可欠です。
• サードパーティーリスク管理
  • クラウドサービスを利用する医療機関が増加する中、ネットワークのエコシステムのセキュリティを確保するには、自社だけではなくサードパーティーベンダー、販売代理店、サービスプロバイダーなどのサイバーセキュリティを監視することが重要です。
• Webアプリケーションセキュリティ
  • Webアプリケーションセキュリティ は、Web サイト、患者ポータル、その他オンラインベースのアプリケーションを介して提供されるサービスを保護するプロセスです。サプライチェーン全体にわたって包括的なセキュリティプログラムを維持する必要があるため、関連するITネットワークのセキュリティプログラムへの準拠徹底が不可欠です。
• アクセス制御
  • 内部からの脅威は、ユーザーがネットワーク内で持つアクセスが広範囲にわたるため、大きなリスクとなります。従業員やその他の外部ユーザーには、役割に関連する情報資産のみへのアクセスを許可することで、組織は過失または悪意による人的エラーを削減できます。

法的リスクの回避

　コンプライアンス違反は、高額な罰金や裁判リスクにつながる可能性があります。

• 情報セキュリティ管理体制の構築
  • 医療機関における情報セキュリティ管理体制を整備し、セキュリティポリシーの策定と施行を推進します。
• セキュリティ監査
  • 定期的なセキュリティ監査を実施し、システムの脆弱性をチェックし、対策を講じます。
• 教育・訓練
  • 医療業界関係者のセキュリティ意識を向上させるため、情報セキュリティ責任者の配置や教育・訓練を実施します。

データの相互運用性促進

　標準化されたデータ管理は、安全な情報共有を実現し、医療の質を向上させます

• 相互運用性の定義
  • ヘルスケアにおける相互運用性とは、個人や集団の健康結果を最適化するために、電子医療データにタイムリーかつ安全にアクセスし、統合し、使用することを意味します。
• セキュリティ対策
  • 相互運用可能なシステムでは、異なるシステムや組織間で患者データを共有するため、プライバシーやセキュリティの確保が特に重要です。
• 構成管理
  • 医療情報システムのサイバーセキュリティを維持するには、効果的な設定管理とアクセス制御が不可欠です。

　医療データに係るセキュリティを考えることは、医療機関が患者のプライバシーを守り、業務を正常に維持するために欠かせない要素となっています。医療分野におけるコンプライアンスとセキュリティを維持するに当たっては、法規制の順守、技術的なセキュリティ強化、従業員教育、リスク管理が重要です。これらの対策を組織全体で推進することで、安全かつ信頼性の高い医療サービスの提供が可能になるのです。

　次回は、医療データを守るためのコンプライアンス管理とサイバーリスク対策の他、持続可能な運営戦略について説明します。

執筆者紹介

藤本 大（ふじもと・だい）　SecurityScorecard　日本法人代表取締役社長

1996年に日本電信電話に入社し、東日本電信電話、NTTコミュニケーションズで法人営業に従事。 製造業、サービス業、金融業等の大手日本企業や外資企業を担当し、ネットワークサービスのみならずさまざまなセキュリティサービスを提供。 2017年にファイア・アイに入社、パートナー営業部長として主に大手通信事業者とのパートナービジネスの拡大に貢献。 2020年7月1日にSecurityScorecardに入社し、2021年6月24日より現職。1971年長崎県長崎市生まれ。青山学院大学国際政治経済学部卒業