医療機関に対するサイバー攻撃が増え続け、対応コストが膨らみ、患者ケアへの悪影響も強まっています。サイバーセキュリティ企業Proofpointの委託で実施された最新の調査で明らかになりました。調査結果は2026 Ponemon Healthcare Cybersecurity Reportとして公表されています。
調査はPonemon Instituteが実施しました。サイバーセキュリティ方針の策定、ベンダーや委託先の選定、セキュリティ予算の管理を担当するIT・ITセキュリティ担当者705人が回答しています。回答者の内訳は、公的医療提供者が22%、民間医療提供者が18%、医療保険者が18%、支払者が11%、医療保険会社が10%で、残りはライフサイエンス、製薬、バイオテクノロジー企業です。
調査によると、過去12カ月間に少なくとも1件のサイバー攻撃を受けた組織は97%に上りました。1組織あたりの平均攻撃件数は51件で、前年同時期の43件から増えています。インシデントの74%で、患者ケアに悪影響が出ました。 報告書は、クラウド/アカウント侵害、ビジネスメール詐欺（BEC）、ランサムウェア攻撃、サプライチェーン攻撃という4種類の攻撃に注目しています。患者ケアへの影響が最も大きかったのはサプライチェーン攻撃で、被害を受けた回答者の90%が患者ケアに影響したと答えました。次いでランサムウェア攻撃が72%、BECが69%、クラウド/アカウント侵害が65%でした。
攻撃の種類によって、影響の出方も異なります。BECの結果、処置や検査が遅れたと答えた回答者は68%でした。ランサムウェア攻撃で入院期間が長引いたとの回答は70%、クラウド/アカウント侵害で医療処置に伴う合併症が増えたとの回答は59%です。サプライチェーン攻撃で死亡率が上昇したと答えた回答者も35%いました。
こうした攻撃は、医療機関に大きな金銭的負担ももたらします。調査では、過去12カ月間で最も被害額が大きかったサイバー攻撃のコストを尋ねました。その平均は420万ドルで、2025年の390万ドルから増えています。最大のコスト要因は業務の中断で、1件あたり平均139万ドルでした。2025年は120万ドルでした。
調査からは、医療機関がAIツールの導入を進めている実態も見えてきました。AIを組み込んでいると答えた回答者は45%で、内訳はサイバーセキュリティ運用が24%、サイバーセキュリティと患者ケアの両方が21%です。ただ、AIツールやプラットフォームを統制し保護する能力が、利用の拡大に追いついていないケースが少なくありません。回答者の60%は、AIシステムで扱う機密データを管理する統制が不十分だと答えました。セキュリティ対策を導入済みでも、42%はその対策がAIプラットフォームでの利用を想定して整備されたものではないと回答しています。組織内のAIツールの利用状況を完全に把握していると答えたのは、3分の1にあたる32%にとどまりました。AI特有のリスクとして特に懸念されていたのは、AIベンダーからのサプライチェーンリスク（40%）、プロンプトを通じたデータ漏えい（36%）、AIが生成するフィッシングやソーシャルエンジニアリングの試み（34%）、治療判断に影響する悪意ある出力や偏った出力（32%）です。
ハッキングによるインシデントが増え続ける一方で、医療分野ではインサイダーリスクも引き続き課題です。過去12カ月間に少なくとも2件のデータ損失または外部流出インシデントを経験した組織は97%で、1組織あたりの平均は21件でした。回答者の過半数（54%）がこれらのインシデントは患者ケアに影響したと述べ、56%はインサイダーによるインシデントで死亡率が上昇したと答えています。
Proofpointは次のように説明しています。「サイバーセキュリティインシデントは、臨床業務をますます混乱させ、組織のリソースを奪い、ケアの提供にも影響しています。今後数年間で最も成功する医療機関は、サイバーレジリエンス、アイデンティティセキュリティ、人的リスク管理、サプライチェーンセキュリティ、AIガバナンスを統合した戦略を描き、業務と患者の転帰の両方を守る組織でしょう」
翻訳元: https://www.hipaajournal.com/healthcare-cyberattacks-increasing-greater-impact-patient-care/
