医療機器の安全確保：FDAの規制制定を前にH-ISACが新たなガイダンスを公開
医療業界全体で第4四半期は様々な理由から重要な時期です。医療保険会社はオープンエンロールメントの最盛期を迎え、医療機関は患者の年次定期健診の完了に追われます。
HCIT分野では、2023年秋にも次のような重要な節目を迎えます。10月1日以降米国食品医薬品局（FDA）は、医療機器メーカーがサイバーセキュリティソフトウェアとアップデート機能を製品に組み込んでいない場合、権限により承認申請を却下できるようになります。
それがいよいよ実現します。FBIの最新の報告書によると、病院で使用されているネットワーク接続型医療機器やIoT機器の53%に重大な脆弱性が確認されており、医療IoT機器の3分の1にテクニカルな運用や機能に影響を及ぼす可能性のある重大なリスクが確認されています。
ハッキングされた医療機器は世界中の患者に危険をもたらす
特に米国病院協会は、インスリンポンプがハッカーの攻撃を受ける危険性があるとするFDAの警告に言及しました。これは決して前例のないニュースではありません。2011年Black Hat USAカンファレンスで、研究者がワイヤレスインスリンポンプが遠隔操作でハッキングされ、患者の命が危険にさらされる可能性があることを実演して大きな注目を集めました。
しかし、FitchSolutionsが2023年上半期に発表した主要医療機器のテーマと市場動向に関するレポートで指摘されているように、特に糖尿病管理テクノロジーを含むHCIT機器の急激な増加を考慮すると、危険性はさらに高まる可能性があります。
「これは我が国だけでなく、他の国々にとっても大きな懸念事項です」と、Northwell HealthのSenior Health AdvisorであるMark Jarrett博士はWNYW-TV New Yorkに語り、患者には「命に関わる危険性がある」と指摘しています。
最も危険性が高いレガシーテクノロジー
遠隔での患者のモニタリング、薬剤投与、仮想医療の提供が可能な機器の導入には、極めて大きい臨床的および経済的メリットがあります。
しかし、新しいFDAの規制は既に使用されている何100万台もの医療機器には適用されません。重要なセキュリティアップデートや暗号化プロトコルが組み込まれていない旧式機器は対象外なのです。そのため、膨大なサイバー攻撃の脆弱性が存在し、医療業界全体に大きな影響が及ぶ可能性があります。
「長年その危険性に向き合ってきており、今後も向き合って行くことになります」と、Hospital for Special Surgery（HSS）のChief Information Security OfficerであるVikrant Arora氏はWNYWに述べています。
インシデント対応の緊急時計画
ただし、システムの監視やアップグレードを行う部門がない、あるいは財政難により閉鎖の危機に瀕している多くの他の小規模な病院とは異なり、Hospital for Special Surgery（HSS）には複数の緊急時計画があります。
「機器が侵害された場合に、患者への影響を最小限に抑えながらインシデントに対応する方法がマニュアル化されています」と、Arora氏は述べています。
これらのプロトコルは、Health Information Sharing and Analysis Center（H-ISAC）の推奨事項に沿っています。H-ISACが新たに発表したホワイトペーパー「Improving Medical Device Security by Moving From Shared to Defined Responsibility（共有責任から定義責任への移行による医療機器のセキュリティの向上）」には、複雑なアップデート、パッチ、脆弱性管理プロセスに関する重要なガイダンスが記載されています。
主要な推奨事項の共有
これまで、医療機関や医療機器メーカーは、セキュリティの向上、アクセスコントロール、脆弱性管理などのタスクは相手側が対応することだと考えていたため、脆弱性は放置されたままという大きな問題がありました。
H-ISACのガイダンスでは、より踏み込んだ明確なアプローチをとることで、情報共有と共同作業の推進を促し、Responsible（実行責任者）／Accountable（結果責任者）／Consulted（相談先）／Informed（報告先）マトリックスを確立することを推奨しています。
主要な推奨事項は次の通りです。
担当者間のタスク責任を明確に定義して、失敗のリスクを低減する
責任分担マトリックスを活用して、医療機器を扱う関係者のタスク責任を明確にする（H-ISACにより包括的でカスタマイズ可能なテンプレートが提供されている）
マトリックスを常に最新状態に維持して、更新内容を関係者に周知する
「ブラックボックス」化された医療機器からクラウドサービスまで、ソフトウェアソリューションの運用における責任分担を把握する
金銭的損失のみならず生命も奪うセキュリティの欠如
H-ISACのレポートは、未対応あるいはサポート終了ソフトウェアに関するCISAアドバイザリに沿っています。新規設備への投資不足は、特にパンデミック後の経営コストの高騰に苦しむ資金不足の医療機関にとっては理解できることですが、潜在的なセキュリティ脅威に対処しないことの影響の重大さは歴史が証明しています。
ランサムウェア攻撃は脆弱性を狙う
2017年、北朝鮮の国家支援型ハッカー集団が、Windowsの脆弱性（名称：EternalBlue）を悪用して、WannaCryランサムウェア攻撃を行いました。Microsoftは脆弱性の修正を行いましたが、Windows XPやWindows 8などのサポート対象外のバージョンの脆弱性は解消されませんでした。
英国のNational Health Service（NHS）の約90%は、2014年にMicrosoftがサポートを終了したオペレーティングシステムWindows XPを使用していたと推定されています。WannaCry攻撃により、NHSの医療施設では数1000件の予約や手術がキャンセルされ、推定9200万ポンドの経済的な損失が発生しました。
デフォルトパスワードの危険性
IDCは最近、重大な攻撃の多発にもかかわらず、「医療機器がデフォルトのパスワードや設定のまま使用されているケースが依然として多く、オンラインで公開されているマニュアルから脅威アクターが簡単に発見できてしまう」と指摘しています。
CISAの報告書では、固定あるいはデフォルトのパスワードや認証情報の使用は、「危険であり、国家の安全保障や経済安全保障、国民の健康と安全に重大なリスクをもたらす」と指摘しています。米国政府機関は、「指定重要インフラおよび国家重要機能（NCF）」を支えるシステムの遠隔アクセスや管理アクセスにおいて、単一要素認証を使用することについても同様の注意を喚起しています。
脅威の防止、セキュリティの確保、チームの支援
Akamaiにはそうした課題を解決できる次のような手段があります。
Akamaiのフィッシング対抗多要素認証（MFA）であるAkamai MFAなら、従業員アカウントの乗っ取りやデータ漏えいを防止できます。
Akamai Enterprise Application Accessは、ハイブリッドワークフォースのセキュリティを確保しながら、アクセス環境を改善します。
ゼロトラストセキュリティモデルなら、機器の新旧に関わらず、従来のアラートを出すだけの対応ではなく、予防を最優先としたアプローチを採用でき、セキュリティを大幅に向上できます。元々ネットワーク接続を想定されていなかった機器がほぼすべてにネットワークに接続する必要がある現状において、最も包括的なアプローチといえます。
医療分野において、予防はまさに最高の薬と言えます（その効果は多岐にわたります）。
