医療とヘルステックのためのオフェンシブセキュリティ。
カルテ、検査結果、既往歴は、存在するなかで最も機微で、最も狙われるデータのひとつです。私たちはその重みを踏まえて、病院、保険者、検査機関、ヘルステックを検証します。
医療が優先的な標的になった理由
健康データに有効期限はありません。カード番号は数分で止められますが、流出した既往歴は数十年にわたって使えてしまいます。恐喝、保険金詐欺、差別のために。加えてこの分野は停止に耐えられません。病院のシステムを止めれば、その場で診療に影響が出ます。だからこそ、恐喝の相手として狙われます。
- 臨床データは恒久的で、流出後に発行し直すことができません。
- 常時稼働への圧力が、修正や更新を当てる余地を狭めます。
- 接続された医療機器は、ベンダーの支援が切れた古い基盤で動いていることが少なくありません。
- 保険者・検査機関・医療機関の連携が、本来分かれているネットワークの間に暗黙の信頼を生みます。
医療環境で検証する範囲
臨床データがどこで生まれ、どう動き、誰が手を届かせられるのかを描きます。誰も意図して設計していない経路も含めてです。
役割に基づくアクセス制御、部門間の分離、オブジェクト単位の権限確認。自分のものでない記録を読めてしまうなら、ここで表に出ます。
登録、パスワード再設定、予約、結果の閲覧。アカウント乗っ取りが起きるのはたいていこの辺りです。
診察ルーム、録画、電子処方と署名。第三者が入り込めないか、内容を取り出せないか、書類を偽造できないかを確かめます。
保険者・検査機関・公的システムとのデータ交換。臨床の相互運用インターフェースやサービス間認証を含みます。
事務系ネットワーク、臨床ネットワーク、接続機器の分離。そして、それぞれから最初の足がかりがどこまで届くか。
提携クリニック、請求代行、リモートアクセスを持つ委託先。この分野の事故で繰り返し現れる侵入口です。
業界の義務に沿った証跡
報告書はデータ保護責任者、コンプライアンス、監査に向けて書かれており、さらなる読み替えを必要としません。
- 要配慮の区分
- 健康データは要配慮の区分にあたり、依拠できる根拠が限られます。悪用の各シナリオで、どの本人とどの根拠が影響を受けるのかを記録します。
- 該当する場合の HIPAA
- 米国の保護対象医療情報を扱う組織については、指摘を評価で確認される保護措置に対応づけます。
- 重要事業者としての義務
- 医療提供者は重要な事業者として扱われ、リスク管理と事故対応の義務を負います。報告書は定期的な検証の証跡になります。
- 漏えい時の通知
- 個人に実質的なリスクがある場合、通知義務が生じます。私たちの証跡は実際の露出範囲を見積もる助けとなり、通知するか否かの判断を左右します。
臨床環境での進め方
診療にリスクを及ぼさない範囲設定
臨床系と事務系の環境を分けます。患者の診療に影響しうるものは、複製環境と書面の承認がない限り能動的な検証を行いません。
必要最小限のデータ
実データは可能なかぎり少ない量で影響を示し、立証に不可欠でない限り、証跡上の患者識別情報はマスクします。
悪用と連鎖
私たちが探すのは全経路です。最初の侵入から臨床記録まで。単独の欠陥はあまり語りませんが、記録に届く連鎖はすべてを語ります。
是正と再テスト
本人の露出度で優先順位をつけ、是正に伴走し、再検証します。最終報告書が、一巡した対応を記録します。
お渡しするもの
- 本人へのリスクを扱う経営向け報告書
- 再現できる技術報告書
- 機微データの露出マップ
- 根拠を添えた CVSS 評価
- 識別情報をマスクした証跡
- 診療への影響に基づく優先順位
- 是正済み項目の再テスト
- 監査向けの完了報告書
この業種でよくある質問
検証で診療に使うシステムが止まりませんか？
+
止めません。この点は開始前に決めます。臨床環境の能動的な検証は、複製環境がある場合か、個別の書面承認がある場合に限ります。それ以外は取り決めた時間帯の中で、量の上限を設け、期間中ずっと連絡経路を開いたまま進めるので、どの作業も数秒で止められます。
検証中に実際の患者記録に触れますか？
+
影響を示す手段がそれしかない場合に限り、常に最小限の量で扱います。可能なかぎりテスト用の記録で実証します。実データが避けられない場合、証跡は識別情報をマスクして作成し、資料は正式な確認のうえ工程の終了時に破棄します。
接続された医療機器も対象ですか？
+
対象ですが、扱いを変えます。多くは支援の切れた古いソフトウェアで動いており、能動的な検証には危険が伴います。その場合は露出、分離、そしてその機器から攻撃者がどこまで届くかを評価し、機器そのものに強く働きかけることはしません。
報告書は監督機関への説明に役立ちますか？
+
露出範囲を見積もるのに役立ちます。どの区分のデータに、どの経路で、どれだけの手間で到達しうるのかを記述します。それが本人へのリスク評価を支えます。通知義務が問題になる場面では、そこが判断の中心になります。