米上院は、Change Healthcareへのランサムウェア攻撃を受けて提出されたヘルスケア分野のサイバーセキュリティ法案を可決しました。この攻撃では、1億9,000万人分の機微な医療情報が流出しました。
「2026年ヘルスケア・サイバーセキュリティ・レジリエンス法（Health Care Cybersecurity and Resiliency Act of 2026）」は、先週、全会一致で可決されました。医療機関に対する連邦政府のサイバー要件が拡大される可能性があります。
同法案は、保健福祉省（HHS）に対し、次の対応を求めています。
- 民間の医療関連事業者すべてに、多要素認証などの最低限のサイバーセキュリティ基準の導入を義務付けること
- HHS職員向けのサイバーセキュリティ手順を定めた計画を拡充し、2年ごとに更新すること
- 医療分野のサイバーセキュリティ人材の拡充に向け、研修やベストプラクティスを提供すること
- 地方の事業者にサイバーセキュリティ対応の準備に関する指針を示すこと
- HHS内のサイバーセキュリティ活動の監督と調整を担う代表者を1人指名すること
同法案はさらに、HHSにサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と連携するよう求めています。両機関は、医療事業者向けにサイバーセキュリティ情報を提供するとともに、重大インシデントへの対応を調整するための共同サイバー計画を策定します。
医療関連企業は、健康情報への不正アクセスを本人に通知する際、データ侵害の被害者総数も記載することが義務付けられます。
法案を提出したのは、ビル・キャシディ上院議員（共和党、ルイジアナ州）です。マギー・ハッサン議員（民主党、ニューハンプシャー州）、マーク・ワーナー議員（民主党、バージニア州）、アンガス・キング議員（無所属、メイン州）も超党派で支持しました。
キャシディ議員は次のように述べています。「サイバー攻撃は病院を機能停止に追い込み、患者の私的な医療記録を流出させる恐れがあります。悪意ある攻撃者が高度な手口で医療システムに侵入するケースが増えています。ヘルスケア・サイバーセキュリティ・レジリエンス法は、医療提供者が脅威への防御を強化し、患者の健康データを守る助けとなるでしょう」
米国病院協会（AHA）も法案を支持しました。サイバーセキュリティ対策の導入を支援する補助金が盛り込まれた点を評価しています。
AHAは、約5,000の病院、医療システム、その他の医療機関を代表する団体です。一方で、規則が外部委託先のベンダーにも適用されるのかについて、さらに明確にしてほしいとの考えを示しました。
AHAは次のように指摘しています。「公民権局（OCR）に報告された保護対象医療情報（PHI）の漏えいの大半は、第三者のサービス事業者やソフトウェア事業者を含む、病院以外の医療提供者を狙ったハッキングが原因でした」
AHAは最近の事例をいくつか挙げました。中でも最も目立つのが、Change Healthcareのインシデントです。この事件は米国の医療システムを数カ月にわたって混乱させ、1億9,000万人の米国民に関する大量の医療データが流出しました。
AHAはさらにこう述べています。「健康情報を扱う第三者も、対象事業者（covered entities）や業務提携者（business associates）と同じプライバシー・セキュリティ基準で規制すべきだと考えます」
ここ数カ月、医療テクノロジー企業を巻き込んだ注目度の高いデータ侵害が相次ぎ、数百万件の記録が流出しています。
医療データ企業のAestoは先月、2025年末に発生したサイバー攻撃で950万人以上の機微な情報が漏えいしたと、連邦規制当局に報告しました。Baylor Geneticsでも、280万人以上に影響する侵害が起きました。電子カルテ大手のCareCloudでも、3月のサイバーセキュリティインシデントにより、さらに370万人が被害を受けています。
下院の共和党と民主党の幹部は、法案に関するコメントの求めに応じませんでした。
ワーナー議員は声明で次のように述べました。「医療システムへのサイバー攻撃は、患者の生死に関わる事態を招き、数百万人の米国民の機微な情報を危険にさらします」
「この重要な法案の上院通過に貢献できたことを誇りに思います。下院にも迅速な対応を求めます。この法案はサイバーセキュリティを強化し、患者とその情報の保護を高めます。バージニア州をはじめ全米の地方の医療提供者に、サイバー脅威から身を守るための新たな手段も提供するでしょう」
翻訳元: https://therecord.media/senate-passes-healthcare-cyber-bill-after-change-breach
