医療分野におけるランサムウェア： applicationの脅威ベクトル
医療業界は、セキュリティインシデントの増加と回復時間の遅延に直面しており、依然として攻撃者のお気に入りのターゲットとなっています。 厳しい予算と複雑なインフラストラクチャ近代化の取り組みにより、必然的にサイバーセキュリティのギャップが生じます。 ランサムウェアはあらゆる業種を標的としていますが、医療分野では、特に脆弱性の悪用や資格情報の侵害を通じたアプリケーション レベルの攻撃による脅威が増加しています。
医療保険の携行性と責任に関する法律 (HIPAA)、経済的および臨床的健全性のための医療情報技術に関する法律 (HITECH)、およびペイメント カード業界データ セキュリティ標準 (PCI-DSS) などのコンプライアンス要件を満たすことはビジネス上の必須事項ですが、急速に変化する業界で競争力と顧客の信頼を維持するには、個人医療情報 (PHI) を保護することが最も重要です。
このブログ記事では、AI によって強化された患者と医療提供者のパーソナライズされたエクスペリエンスの提供と、それらを接続するアプリや API を標的とする、増加し続けるランサムウェアのセキュリティ脅威からの防御との間で、ますます困難になるバランスを医療機関がどのように取っているかについて説明します。
アプリ、API、AIは患者ケアに不可欠です
電子健康記録 (EHR) システムを通じて患者ポータルにオンラインでアクセスできる利便性と、オンラインで支払いを行える機能は必須条件です。
悪意のある行為者はこれに気づかずにはいられません。 Healthcare IT Newsの記事で説明されているように、Silk Typhoon は医療や病院を含むさまざまな分野を標的とする、中国政府が支援するハッキング組織です。 脅威アクターは、クラウドapplicationsの脆弱性を悪用して機密データに不正アクセスし、サプライ チェーンを混乱させ、重要なインフラストラクチャに重大な脅威をもたらしました。
Forrester の予測によると、米国のトップ 10 医療保険会社の半数が、会員の支援を強化するために AI を活用するとのことです。 この分野の先駆者であるEpicは、患者の4人に1人が、医療システムがAIを活用していないことに不安を抱くと指摘しています。AIエコシステムはAPIを介して接続され、その基盤となるソフトウェアサプライチェーンにはハイブリッドおよびマルチクラウド環境にまたがるコンポーネントが含まれていることを考えると、AIはリスクをさらに高め、ボットや悪意のある自動化による脆弱性の悪用やビジネスロジックの悪用など、セキュリティハッキングインシデントを増加させるでしょう。 同じリスクは、生成 AI を通じて顧客エクスペリエンスを向上させ、ケアを効率化するために患者と医療提供者に公開される自然言語処理 (NLP) インターフェースにも当てはまります。
コンプライアンス義務が効力を持ち始めている
米国の医療機関は急速に、耐え難いリスクに陥っていることに気づき始めている。 2018 年以降、ハッキング関連の侵害が 239% 増加しているにもかかわらず、サイバーセキュリティを強化しプライバシーを保護する技術への投資を維持する予定はわずか 42% で、中には投資を減らす予定の企業もあります。 情報機関や業界団体が患者ケアデータへの差し迫った脅威について警鐘を鳴らしているにもかかわらず、このギャップは存在しています。 HITECH および PCI-DSS の義務により適切なセキュリティの責任が求められていますが、ヘルスケア業界は、コンプライアンス要件を満たすだけではもはや十分ではないことを理解する必要があります。
ランサムウェアはアプリ攻撃によって増加しています
2024 年、医療業界におけるランサムウェア攻撃で最も一般的な攻撃ベクトルは、脆弱性の悪用と資格情報の侵害であり、攻撃の複雑さと深刻さが増しているため、復旧に時間がかかるようになっています。 たとえば、applicationの脆弱性を悪用し、認証なしで任意のコードを実行する一連の攻撃が 1 月から続いており、脅威アクターはこれらのバグを標的にして Web シェルを展開し、その後の活動に悪用しています。
脆弱性に加えて、アプリや API によって公開されるビジネス ロジックは、本質的にボットによる悪用に対して脆弱です。 F5 Labsによると、ログインフローを標的とする高度な永続的ボットは医療業界で最も蔓延しています。 たとえば、遺伝子検査会社 23andMe の衰退は、顧客の健康情報や祖先の情報を漏洩したクレデンシャル スタッフィングキャンペーンが一因とされた。 ボットは正当な資格情報を使用し、ソフトウェアの脆弱性を悪用しようとしていないため、セキュリティアラームがトリガーされない可能性があります。 多要素認証 (MFA) はクレデンシャル スタッフィングの防止に役立ちますが、リアルタイム フィッシング プロキシ (RTPP) の増加により、完璧ではありません。
新たな基準が必要です
幸いなことに、セキュリティ業界はすでに時代を先取りしています。 長年にわたり、組織は SSL/TLS トラフィックの動的なポリシーベースのステアリングを通じてセキュリティ検査機能を最適化し、投資を最大限に活用し、ポリシーを合理化し、多層防御アプローチを使用してインフラストラクチャとapplications内のランサムウェアを検出してきました。
Web アプリおよび API 保護プラットフォームは、ランサムウェアに対するapplicationセキュリティ防御をさらに強化します。 統合されたコントロールにより、クライアント ブラウザー、モバイル デバイス、クラウド、新しいインタラクティブ インターフェース、ソフトウェア開発ライフサイクルなど、複数の環境にわたって、Web、API、AI アプリの脆弱性の悪用を軽減し、ビジネス ロジックを悪用から保護できます。
F5 の医療向けソリューションは、あらゆる場所のあらゆるアプリ、あらゆる API に対するランサムウェアを阻止することで、コンプライアンス要件を満たし、患者と医療提供者のデータの漏洩を軽減し、組織が感染拡大を抑制できるよう支援します。
詳細については、 Webapplicationおよび API 保護の Web ページをご覧ください。