SECURITY
歯抜けのセキュリティ
PWNED 「PWNED」の週刊コラムへようこそ。ここではセキュリティ対策の「やってはいけない」実例を取り上げています。今週の残念な物語は、ヘルスケア業界のとても不健全な一角からのものです。
自社ネットワークに大穴を開けてしまった経験談をお持ちの方は、ぜひ [email protected]までお寄せください。匿名希望にも対応します。
今回の話は、ヘルスケア業界向けのデジタルマーケティング・SEO企業Directionの創業者兼CEOであるChris Kirksey氏の提供によるものです。同氏は顧客企業のシステムに対するセキュリティ監査も手掛けています。
昨年、Kirksey氏がある歯科医院のシステムを点検していたところ、奇妙な点に気づきました。患者データベースへの管理者権限を持つアカウントが3つ存在しており、そのうちの一つは、この歯科医院がはるか以前の2021年に契約を打ち切ったスケジューリング会社のものでした。
このアカウントは少なくとも3年間にわたって有効な状態が続いており、4,000件の患者記録にアクセスできる状態でした。保護対象の医療情報にアクセスできる不要なアカウントを放置していたことで、HIPAA(医療保険の携行性と責任に関する法律)のコンプライアンス上のリスクが生じていました。特に、本来アクセス権限を持たないはずの人物がなおもデータにアクセスできる可能性があった点は深刻です。
このシステムの運用を担当していたオフィスマネージャー自身、この危険なログイン情報の存在すら把握していませんでした。どうやら、このアカウントを設定した業務委託先の担当者が誰にも報告しないまま会社を去ってしまったようです。誰もその存在を知らなかったため、削除すべきだと気づく者もいませんでした。
Kirksey氏は直ちに、この歯科医院のシステムで見つかった3つの管理者アカウントすべての削除に着手しました。そのうえで、顧客向けに新たなポリシーを策定しました。
「この一件以降、恒久的なルールを設けました」と同氏は語ります。「ベンダーとの契約関係が終了するたびに、自動的にアクセス権限を停止する仕組みを導入し、内容にかかわらず年に2回、アカウントの全リストを見直すようにしています」
この一件以来、Kirksey氏はこれまで携わってきた他の6つのヘルスケア関連施設でも、同様のセキュリティの穴を発見しています。恐ろしい話です。
「誰もがパスワードを書き留めた付箋や、ずばり『passwords.xls』という名前のファイルを心配します。そういうものはすぐに見つかりますし、話のネタにもなりやすいからです」と同氏は語ります。「しかし、存在すら忘れられたログイン情報を気にする人はいません。そして実際に何年も放置され、目に見えない実害を引き起こし続けているのは、たいていそうしたアカウントなのです」
ここから得られる教訓は非常にシンプルです。自社のデータにアクセス可能なアカウントをすべて把握し、それぞれに存在すべき正当な理由があるかを確認する必要があります。何も問題がなさそうに見えても、定期的な監査を実施してください。
そして、これまでも見てきたように、「ゾンビアカウント」は命取りになりかねません。従業員や業務委託先の担当者が離職する際は、その人物が使用していたアカウントだけでなく、業務の過程で作成したアカウントについても必ず確認してください。 ®
