リスク管理とレガシー技術が医療企業にとって大きな脅威、報告書が判明

ダイブ・ブリーフ：

• 昨年、10社中9社以上の医療機関がサイバー攻撃を受け、そのうち7割の組織で患者ケアに支障が出たと、火曜日に発表された報告書（マネージドセキュリティサービスプロバイダーのFortified Health Securityによる）で明らかになった。
• Fortifiedの報告書では、医療機関がNISTサイバーセキュリティフレームワークの中で最も改善が見られた分野と、依然として深刻なリスクとなっている分野が挙げられている。
• このデータは、なぜ病院や他の医療機関がランサムウェア犯罪者の主要な標的であり続けているのかを示している。

ダイブ・インサイト：

医療機関が自らの主要なサイバーリスクの特定と対策に奔走する中、Fortifiedの報告書はどこから着手すべきかの手がかりを提供している。

報告書によると、医療機関における5つの最大のセキュリティギャップは、リスク管理における統一戦略の欠如、サプライチェーンの脆弱性への注意不足、新技術の導入に偏重しレガシーシステムの維持管理が疎かになっていること、不完全な資産インベントリ、従業員教育の不十分さである。

近年の大規模サイバー攻撃は、これらのリスクがどのように関連しているかを浮き彫りにしている。特にサプライチェーン管理の弱さは、病院、薬局、専門医療施設など医療エコシステムの相互接続性を考えると深刻な問題である。2024年のChange Healthcareの情報漏洩事件は、業界が一部の目立たないが広く使われているベンダーに依存していることを示した。古い資産インベントリはこれらの脆弱性をさらに悪化させ、サプライチェーン攻撃の被害修復を困難にしている。そして、こうした攻撃の多くは新製品導入の陰で放置されてきたレガシー技術を狙っている。

古いシステムのセキュリティ確保は医療機関にとって依然として大きな課題だが、Fortifiedは過去1年で最も改善が見られた分野であることも明らかにした。次いで、復旧プロセスの改善、対応計画、インシデント後のコミュニケーション、脅威分析の成熟度が続く。

その他の改善分野には、リーダーシップの関与、リスクアセスメントの成熟度、ID管理が含まれる。特にID管理は、多くの攻撃が盗用または偽造された認証情報から始まることを考えると重要である。

Fortifiedの報告書は、2023年から2025年6月までの顧客とのやり取り（インシデント対応やサイバーセキュリティフレームワークに基づくセキュリティスコアを含む）に基づいていると、広報担当者は述べている。Fortifiedの顧客はすべて北米に所在し、地方のコミュニティ病院から大規模な大学医療センター、統合型医療提供ネットワークまで多岐にわたるという。