医療機関（HCO）はAIを活用したツールを積極的に導入し、脅威をより迅速に発見・封じ込めなければ、患者に致命的な影響が及ぶリスクを抱え続けることになる——専門家たちがこう警告しています。
6月4日にInfosecurity Europeで登壇したCyber Salus CEOのSher Baig氏は、世界中の医療機関が同じ脅威と運用上の制約に直面していると述べました。
老朽化したインフラ、過度な相互接続、そして人的疲労が重なり合い、リスクの「完全な嵐」を生み出していると同氏は主張しています。稀なケースでは、セキュリティ侵害が患者の死亡につながることもあります。
「悪意ある攻撃者がもたらす潜在的な被害が、人命への直接的な影響と結びついている業界があるとすれば、それは医療分野です」とBaig氏は参加者に語りました。
医療セクターは最も狙われやすい業界のひとつとして知られており、ランサムウェアは特に深刻な脅威です。その理由は、臨床サービスへの影響が甚大になり得るためです。
Proofpointの調査によると、2025年には医療機関の93%が少なくとも1件のサイバー攻撃を受け、1組織あたりの平均攻撃件数は43件に上り、2024年の40件から増加しています。
医療セキュリティの関連記事：医療機器へのサイバー攻撃を報告した医療機関は4分の1に
輸液ポンプ、画像診断システム、患者モニター、検査機器といった接続デバイスは特に脆弱な状態にあると、Baig氏は指摘しています。
「医療機器はスマートフォンのように購入するものではありません。これらのデバイスは15年から20年にわたって現場で使われ続け、レガシーOSで動いています」と同氏は付け加えました。
過去に根ざした事後対応型のアプローチは医療機関を守れていないと同氏は主張します。アラートの氾濫や手作業による時間のかかる調査がその証拠です。露出後に脆弱性を発見し、リスクの評価と封じ込めに追われるやり方は、AIが悪用までの時間を大幅に短縮している現在、ますます持続不可能になっています。
AIは脅威アクターがレガシーシステムやネットワークの脆弱性をかつてないスピードで発見・悪用するのを助けるだけでなく、フィッシング攻撃の高度化にも貢献しています。
一方で、継続的な監視・分析、迅速な異常検知、自動化された脅威の優先順位付けを通じて、防御側の武器にもなり得るとBaig氏は続けました。
ネットワークと患者を守るために
こうした状況を踏まえ、医療機関のセキュリティチームは、脅威を早期に発見・封じ込めるプロアクティブな姿勢へと移行すべきだとBaig氏は言います。同氏は組織が取るべき4つのステップを示しました。
- ソフトウェアバージョンに至るデバイスレベルのパラメータまで把握し、デバイスと脅威の完全な可視化を目指すこと
- 患者ケアに重大な影響を与える可能性があるデバイスへの脅威を最優先に対処するため、臨床リスクに基づいて脅威を優先順位付けすること
- AIによるシグナル相関分析を活用し、SecOpsのアラート疲労を軽減すること
- 可能な範囲でパッチを適用し、セグメンテーションで露出を低減するとともに、AIを用いて最も適切な補完的コントロールを適用すること
「これが、侵害が起きてからではなく、今すぐ取り組むべきゲームプランです」とBaig氏は締めくくりました。
e2e-assure CEOのRob Demain氏はInfosecurityに対し、「リアクティブから予測型への移行は、医療分野において正しい方向性です」と語りました。
「ただし、予測型はスイッチを入れれば使える製品ではありません。テレメトリを積み重ねることで初めて手に入るものです」と同氏は付け加えました。
「多くの医療機関は、分析に使えるクリーンで完全なデータを持っていません。資産は広大に広がり、エージェントを実行できないかパッチを当てられない機器も多く、ネットワークの大部分は見えない状態です。見えないものを予測できるモデルはありません。正直に言えば、最初の一手は予測型AIではなく、資産への基本的なカバレッジを確立することです。」
IO CEOのChris Newton-Smith氏はInfosecurityに対し、AIが医療分野におけるサイバー脅威のスピード・規模・巧妙さを変化させているものの、それは新たなリスクを生み出すのではなく、既存の弱点を増幅させているのだと述べました。
「防御側の観点では、AIは医療セキュリティチームが異常をより迅速に検知し、アラートをより効果的に優先順位付けし、インシデント対応を改善する可能性を秘めています。ただし、ここでもAI単独では、断片化したプロセスや脆弱なガバナンス、人員不足のチームを補うことはできません」と同氏は語りました。
「医療リーダーが優先すべきは、根本的な強化です。ガバナンス、レジリエンス、人材能力、サプライヤー保証、そしてリスク管理——これらの基盤を整えられれば、AIのメリットを享受しながら、AIがもたらす新たなリスクにも対応できる態勢が整うはずです。」
翻訳元: https://www.infosecurity-magazine.com/news/reactive-security-failing/
