医療分野のサイバーセキュリティリスク

Trustwave社による医療機関に特有のサイバーセキュリティリスクの調査報告書をご紹介。

ヘルスケア業界の新たなトレンド3点

これらツールとの患者データが共有されることによる影響・リスクの可能性が生じ得ること。

ランサムウェアグループは、以前は医療関連をターゲットとすることを自制していると考えられていましたが、現在では広範囲に攻撃されています。むしろ患者の命がかかっているので積極的に身代金を払ってくれる相手として狙われています。

サードパーティーベンダーに関連するリスクと医療分野でのIoTデバイスの普及により、潜在的な攻撃対象の増加と業界インフラの脆弱性がさらに拡大します。

医療組織はカスタムアプリケーションに大きく依存していますが、多くの場合、適切なセキュリティテストやコード監査が不足しており、未発見の脆弱性が懸念されます。

医療機関は通常、多数のサードパーティと連携しており、関与するエンドポイントとユーザーの数がさ多岐に渡り、その結果、攻撃を受ける表面が拡大します。

医療業界では通常、心臓モニターや画像処理ハードウェアなど、接続された物理デバイスの数が多くなっています。ソフトウェアの機能が優先されるあまり、セキュリティレベルが低下することが考えられます。

医療組織は、監督機関へのコンプライアンスや既存のソフトウェアやハードウェアとの互換性の問題への懸念から、セキュリティ向上のための変更を迅速に導入することを躊躇することがよくあります。

患者の安全のため、システムクラッシュなどの予期せぬ混乱の回避に重点を置くあまり、医療機関はソフトウェアパッチの採用や変更に対して保守的かつ慎重です。

迂闊にパッチを当てて返って不具合が発生すると、最終的に患者に被害が及ぶからです。

フィッシング/BEC（ビジネスメール詐欺）
脆弱性の悪用
正規のログイン侵入。(セキュリティ保護されていない、デフォルト、低複雑性、または購入済みの資格情報を用いる)
既存のツールを使用 (Powershell、LOLBins)
Webシェルとセッション乗っ取り
マルウェア [ Infostealer（PC端末内に保存されているログインIDやパスワードなどを窃取する）、RAT（Remote Access Trojan：遠隔操作ウイルス)、ランサムウェア ]
DDoS

これは米国のレポートであり米医療機関の実態の報告ですが、日本でも大体当てはまっていると思いました。患者の安全を優先するあまり、現在のシステムの変更には慎重にならざるを得ないことはよくあることです。