病院のサイバーセキュリティ危機：政府の目標無視できず

アメリカの病院や医療機関は、政府が提案する「自発的な」サイバーセキュリティ目標（CPGs）を無視できない状況にある。これらの目標は、将来的に規制や新たな法的要件へと発展する可能性が高く、2023年には46のヘルスネットワークがランサムウェア感染やデータ窃盗に直面している。ホワイトハウスは、連邦資金の受領条件として、病院が基本的なサイバーセキュリティ基準を満たすことを要求する方針を示している。

医療機関は、古い技術スタックや限られた予算のために、サイバーセキュリティ目標の達成に苦労している。基本的なセキュリティ対策の実施や多要素認証の導入、退職した従業員の資格情報の取り消しなどが困難である。攻撃の防御だけでなく、復元力や回復力の強化も重要視されている。

患者の個人情報や健康情報の保護はもちろん、医療機関のセキュリティはデータの可用性にも関わる重要な問題である。データ漏洩よりも、データによる命の危険がより重大な問題とされているが、多くの医療機関はこの考え方にまだ追いついていない。

特に、小規模な地方コミュニティの医療機関は、技術的な課題に直面しており、技術的な負債の解消には多大な努力が必要である。これにより、組織の存続が危ぶまれることもある。

医療機関は、既知の脆弱性の軽減、多要素認証の使用、メールセキュリティの実装、従業員教育、データの暗号化など、基本的なセキュリティ対策の実施に取り組む必要がある。攻撃の防御だけでなく、復元力や回復力の強化も同様に重要である。

【ニュース解説】

アメリカの病院や医療機関は、政府から提案された「自発的な」サイバーセキュリティ目標（CPGs）に直面しています。これらの目標は、将来的に法的要件や規制へと発展する可能性が高いため、実質的には無視できないものとなっています。2023年には、多数のヘルスネットワークがランサムウェア感染やデータ窃盗に見舞われ、ホワイトハウスは連邦資金の受領条件として基本的なサイバーセキュリティ基準の遵守を求める方針を示しています。

医療機関が直面する技術的な課題は多岐にわたります。特に、古い技術スタックを使用している場合や、限られた予算内での運営が求められる場合、基本的なセキュリティ対策の実施や多要素認証の導入、退職した従業員の資格情報の取り消しなどが困難になります。さらに、攻撃の防御だけでなく、復元力や回復力の強化も重要な課題となっています。

患者の個人情報や健康情報の保護は、医療機関のセキュリティにおいて重要な要素ですが、データの可用性も同様に重要です。データ漏洩のリスクはもちろんのこと、データの不可用性が患者の命に直接影響を及ぼす可能性があるため、多くの医療機関はこの新しい考え方に追いつく必要があります。

特に、小規模な地方コミュニティの医療機関は、技術的な課題に直面しており、技術的な負債の解消には多大な努力が必要です。これにより、組織の存続が危ぶまれることもあります。

医療機関は、既知の脆弱性の軽減、多要素認証の使用、メールセキュリティの実装、従業員教育、データの暗号化など、基本的なセキュリティ対策の実施に取り組む必要があります。これらの対策は、攻撃の防御だけでなく、復元力や回復力の強化にも寄与します。このような取り組みは、医療機関が直面するサイバーセキュリティの課題に対処し、患者の安全とデータの保護を確保するために不可欠です。

from Ignore Uncle Sam's 'voluntary' cybersecurity goals for hospitals at your peril.