異種混在環境は以下のような問題を引き起こす可能性がある。
- 異なるテクノロジを導入した場合に、ソフトウェアやハードウェアの脆弱性が顕在化する。
- システムに異なるテクノロジが混在することで、適切な管理が困難になる。
- ハードウェアコンポーネントのサポートが打ち切られる。
- ソフトウェアのサポートが打ち切られ、更新やパッチが提供されなくなる。
報告書は次のように警告している。「特に10年以上前のレガシーなシステムは、極めて危険な状態にある。そうしたシステムに重要なデータが保管されている場合、ハッカーは容易にそれらのデータにアクセスできる。にもかかわらず、レガシーなシステムは往々にしてインフラストラクチャの深部に統合されており、容易に置換できない」
専門家の不足
報告書は医療関連機関で情報漏えいが頻発する原因の一つとして、サイバーセキュリティ専門家の不足も指摘している。だが、これは特に目新しい話ではない。サイバーセキュリティの専門家には複雑かつ高度な専門知識が求められる。そこに医療関連機関が求める厳格な要件が加われば、資格を満たす専門家の数が不足するのは当然だ。たとえば、以下の資格を満たす専門家がどれだけいるか考えてみてほしい。
- 最低でも大卒以上（しかし大半の求人は、それ以上の学歴や長年の実務経験を要求している）。
- 会計、HIPAA、HITECH、PCI DSSの知識。
考えられる対策
報告書は、専任のセキュリティチームによって管理される、情報セキュリティプラットフォームの構築が急務だとしている。「医療関連機関は、情報セキュリティを各部門で分散管理する代わりに、セキュリティチームとシステムオペレーションセンター（SOC）を設置し、システムセキュリティのガバナンスを中央管理すべきだ。SOCは全セキュリティシステムのアクセス、監視、防御における中枢として機能する。変更管理やアクセス制御など、組織全体で運用するアプリケーションも、SOCを通じて管理する」
次に、報告書はポリシーと作業手順を明確に定義することの必要性も説いている。「情報セキュリティチームは、組織構造に適した明確で簡潔なポリシーを定義し、経営陣の承認を得る必要がある。ポリシーの施行は、情報セキュリティに対する従業員の意識向上にも寄与する」
報告書は以下のようなポリシーを推奨している。
- 情報セキュリティに関するポリシー： 情報セキュリティに対する従業員の意識向上を後押しする。
- ガバナンスに関するポリシー： コンプライアンスの要件、基準、実施要項について定義する。
- 役割や責任範囲に関するポリシー： 従業員の情報アクセス範囲と説明責任について定義する。
総括
報告書の最後は、われわれの置かれた現実を包み隠さず伝える見解で結ばれている。
「米国の生命線となるインフラストラクチャの中で、医療関連機関は最も対策が遅れており、最も標的とされている分野である。爆発的な普及を見せるIoTが、皮肉にも医療関連機関に対する攻撃のハードルを劇的に引き下げる役割を果たそうとしている。今や興味本位のアマチュアハッカーが、医療関連機関に壊滅的な打撃を与える可能性がある。また、営利目的のハッカーがあらゆる経路からシステムに侵入し、高値の付く情報を窃取する可能性がある。そして諸外国政府のサイバー攻撃部隊が、無防備なシステムから将来の諜報活動や敵対行為に役立つ情報を引き出す可能性がある」
医療関連機関に保管されている情報がどれだけ重要で、どれだけプライベートなものなのかを考えると、暗澹たる思いになる。この現状に正しく対処するためには、いったいどれだけの労力が必要になるのだろうか。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
