医療業界の混乱：データ侵害が数十の病院とクリニックを襲う

フロリダ州およびその他19州で広範な事業を展開する著名な医療プロバイダーであるHCA Healthcareは、最近、最大1,100万人に影響を与える可能性のある深刻なデータ侵害の被害に遭いました。この不穏な事件は、患者の個人情報がオンラインフォーラムに流出したことで明るみに出ました。

具体的には、侵害されたデータセットには、以下を含む機密性の高い個人識別情報 (PII) が含まれていました。

• 患者の氏名、都市、州、郵便番号
• 電話番号やメールアドレスなどの連絡先、性別、生年月日
• 特定のサービス提供日、場所、今後の予約日

HCAの声明によると、脅威アクターは「外部ストレージロケーション」から2,700万行のデータを盗み出しましたが、HCAのネットワークやシステムでは「悪意のある活動」は検出されませんでした。

IBM Securityの2023年データ侵害コストレポートによると、医療分野におけるデータ侵害の平均コストは1,100万ドルに上昇しており、これは、医療業界における堅牢なサイバーセキュリティ対策の重要性がますます高まっていることを痛感させるものです。

Ponemon InstituteおよびVerizon Data Breach Investigations Reportsが継続的に報告しているように、医療業界は他のすべてのセクターと比較して、より多くのデータ侵害に直面しています。

なぜこれらのインシデントが発生するのでしょうか？

この事例では、「外部ストレージロケーション」への不正アクセスが大規模なデータ窃盗を容易にしました。従来、ストレージロケーションは、社内インフラストラクチャ内に組み込まれた内部のData Loss Prevention制御やデータベースアクティビティ監視技術によって厳重に保護されていました。

しかし残念ながら、現代のビジネスおよびIT運用においては、多様なユーザー、デバイス、場所、コンテキスト、ビジネス目的が、保存されたデータと連携しています。これらの変数は、データの保護方法に特有の課題をもたらします。特に、従来のネットワーク境界外にある「外部ストレージロケーション」にアクセスする場合には、その傾向が顕著です。

ヘルスケアシステムの相互接続性を考慮すると、単一のターゲットが侵害された場合でも、広範囲にわたる影響が生じる可能性があります。

Center for Internet Security (CIS)によると、「個人医療情報（PHI）は、クレジットカード情報や通常の個人識別情報（PII）よりも闇市場で価値が高い。そのため、サイバー犯罪者にとって医療データベースを標的とする動機がより強くなる」とされています。

サイバー攻撃は常に深刻な脅威として存在し、組織の事業運営、知的財産、機密データ、評判に潜在的な損害を与えるなど、重大なリスクをもたらします。しかし、医療分野においては、そのリスクはさらに高まります。データ損失は生命を脅かす結果につながる可能性があり、患者記録の盗難は、影響を受けた個人に永続的な影響を与えるプライバシー侵害となります。

特に医療分野では、以下のような多くのサイバーセキュリティ課題に直面しています。

• 安全なデジタルインフラへの投資不足
• 不十分なトレーニング
• 古く脆弱なインフラ
• 標準以下のサイバーセキュリティ対策
• 複数機関の依存関係から生じる複雑性
• サイバーセキュリティ導入に伴う高コスト
• 従業員のサイバーリテラシーの欠如

これらの問題が蓄積されることで、脅威アクターに悪用されやすい多数の脆弱性や、不適切に保護された侵入ポイントが生み出されます。これらの弱点に依存して非常に機密性の高い貴重なデータを保護しようとすると、潜在的な結果は計り知れないものとなり、広範な損害につながります。

何ができるでしょうか？

残念ながら、これらのデータ侵害は一般の方々の制御が及ばないものです。医療提供者は通常、治療のために皆様から収集した情報を使用するため、病院や医療提供者に対して特定の詳細を差し控えることはできません。

病院や医療機関が利用するような相互接続されたネットワークが普及した現代において、組織はデータの保存と管理のために、サードパーティのデータセンター、アウトソーシングされたデータウェアハウジングソリューション、クラウドストレージプロバイダーなどの外部ストレージロケーションに依存することがよくあります。これらの外部ストレージソリューションは、利便性、拡張性、費用対効果を提供する一方で、重大なセキュリティリスクももたらします。ここでZero Trust Network Access (ZTNA)の概念が重要になります。

ZTNAは、すべての要求（例えば、外部ストレージの場所へのアクセス要求）を潜在的に悪意のあるものとして扱い、プロセスのすべてのステップで検証と承認を要求します。これは、以下の理由により、外部ストレージの場所を扱う際に特に重要です。

• データ露出と漏洩: 外部ストレージロケーション、特にクラウドストレージサービスは、サービスプロバイダーの従業員や他のユーザーを含む多数の当事者によってアクセスされる可能性があります。適切なセキュリティ対策が講じられていない場合、機密データが意図せず露出したり、漏洩したり、不正な個人によってアクセスされたりする可能性があります。
• 認証情報の侵害: 攻撃者がフィッシング、ソーシャルエンジニアリング、またはその他の手段を通じて有効な認証情報にアクセスした場合、これらの認証情報を悪用して外部ストレージの場所とその中のデータにアクセスする可能性があります。ZTNAは、追加の認証要素を要求し、要求元の信頼レベルを継続的に再評価することで、侵害された認証情報の影響を最小限に抑えます。
• 内部脅威: 組織は従業員を信頼していますが、内部脅威の可能性は残ります。外部ストレージの場所に正当なアクセス権を持つ従業員が、その権限を悪用したり、認証情報の盗難の被害に遭ったりする可能性があり、潜在的なデータ侵害につながる可能性があります。ZTNAは、ユーザーの態勢、コンテキスト、および行動を常に評価することで、このリスクを軽減します。
• ラテラルムーブメント: 攻撃者が組織のネットワークに侵入することに成功した場合、ラテラルムーブメントを試み、ストレージの場所（内部または外部接続）にアクセスする可能性があります。ZTNAはラテラルムーブメントの機会を制限し、攻撃対象領域を減らし、潜在的な損害を制限します。
• 統合されたデータ保護: 組み込みのData Loss Prevention (DLP) 機能により、不正なユーザーが任意の場所やデバイスから機密データをアップロード、ダウンロード、さらには閲覧することを防ぎます。継続的なデバイスのポスチャ評価に基づいて、適応型アクセス制御を適用できます。

貴重なデータ、ましてや機密性の高い個人医療記録の保護に関しては、データがどのように、どこに保存され、誰またはどの資産によってアクセスされ、使用されているかに強く焦点を当てる必要があります。

組織は、すでに漏洩したデータを遡って「脅威ハンティング」することはできません。すでに漏洩したデータを見つけ出し、時間を巻き戻し、すべてを元に戻すことができる製品やツールは存在しません。だからこそ、データ保護は、データ侵害がそもそも発生するのを防ぐために、データの発見、識別、分類、保護というプロアクティブな体制に依存するのです。

分類は、ファイルやコンテンツにコンテンツフィンガープリントまたはタグ/定義を適用することで、機密コンテンツを識別し追跡します。一部の組織では、Titus、Boldon James、またはMicrosoftのAzure Information Protection (AIP) などのソリューションによって設定された既存のデータ分類がある場合があります。一部のDLPソリューションは、全体的なプロセスを迅速化するために、既存の分類と統合し、それを活用する機能を提供します。

データ分類をセキュリティ対策に統合する方法はいくつかあります（ただし、これらに限定されません）。

• コンテンツフィンガープリンティング: データのローリングハッシュのインデックスを構築し、それに関するコンプライアンスポリシーを作成することで、機密情報や秘匿性の高い情報が組織外に流出するのを防ぎます。
• ファイル/データ属性: キーワードと辞書、ファイルメタデータ、またはファイル/ドキュメント自体のコンテンツに基づいてファイルを分類する機能を提供します。
• 光学文字認識（OCR）: 税務書類、パスポート、クレジットカード情報、または画像としてアップロードまたは共有される可能性のある個人識別データに対するDLP保護を拡張します。
• インデックスドキュメントマッチング（IDM）: Word、PDF、PowerPoint、CADドキュメントなどの機密企業データのコンテンツをフィンガープリント化し、それ以外の方法では発見が困難な機密データの検出精度を向上させます。
• 正確なデータマッチング（EDM）: 構造化された機密データのフィンガープリント化を実行し、スプレッドシートやCSVなどの構造化データファイルに保存されているPIIやその他の機密データを、非常に高い検出精度と低い誤検知率で検出するように設計されています。

特にEDMの場合、Skyhigh Securityは、最大60億セルのフィンガープリントを確立するためにこれを使用します。これにより、行と列の形式（通常はCSV形式でデータベースから抽出される）で機密性の高いユーザーデータベースレコードを保護し、そのデータの構造化されたインデックスを構築し、DLPポリシーを使用して機密情報が組織外に漏洩するのを防ぎます。

この場合、患者の医療記録（より全体的には、従業員や顧客の記録など）は、保護が必要な大量の機密情報グループの典型的な例です。このような記録はパターンや辞書用語のマッチングによって保護できますが、これらのデータマッチング方法は複雑な条件とルールロジックを必要とし、誤検知が発生しやすいという問題があります。

氏名、生年月日、固有の患者識別子、電話番号といった機密記録の個々のフィールドを照合することは、有用ではない可能性があり、容易に誤検知につながる可能性があります。しかし、同じテキスト内（メールやドキュメントなど）で、同じ機密記録の2つ以上のフィールド（例えば、氏名と社会保障番号の両方）を照合することは、意味のある関連情報が存在することを示します。EDM (Enhanced) フィンガープリントは、定義された列内の実際の単語を、記録（行または列）内の特定の近接性で元のユーザー記録と照合することで、誤検知を防ぎます。

基本的に、これらはエンタープライズグレードのDLPソリューションおよび体制に含まれるべき最低限の機能です。

既存のお客様向けに、Skyhigh Securityの統合データ保護は、機密情報がどこに配布され、どのように使用され、すべてのクラウドアプリケーション、Web、プライベートアプリ、メール、エンドポイント全体でどこから漏洩したかを示す視覚的な表現を提供し、データコンプライアンスのリスクを浮き彫りにします。Skyhigh Securityは、データ保護ポリシーに分類を適用してアクションをトリガーし、機密データが特定されたときにインシデントを生成することで、データ損失から保護します。

Skyhigh SecurityのCloud Access Security Broker (CASB) プラットフォームは、オーストラリアのメディケア番号、DEA登録番号、National Drug Codes (NDC)、National Provider Identifications (NPI)、英国のNational Health Service (NHS) 番号など、医療データ識別子に関する組み込みの定義、検証、キーワード情報をネイティブにサポートしています。

現実として、データを継続的に発見し、定義し、分類し、保護することは、単純な「設定して忘れる」タスクではありません。また、徹底的かつ正確に行う場合、非常に迅速に完了する作業でもありません。

データ分類は、データ保護とデータプライバシーの重要な要素の一つです。したがって、データ発見、定義、分類のための共通のプラクティスの強力な基盤を築くことで、組織は潜在的な情報漏洩チャネルがどこにあっても、より広範で実質的なデータ保護を適用できるようになります。