医療業界では、セキュリティインシデントが増加傾向にあり、復旧にも時間を要することから、依然として攻撃者の格好の標的となっています。限られた予算と複雑なインフラのモダナイゼーションにより、サイバーセキュリティ上のギャップは避けられません。ランサムウェアはあらゆる業種を標的としていますが、医療業界では、特に脆弱性の悪用や認証情報の侵害を通じたアプリケーションレベルの攻撃が、脅威の増加を招いています。
医療保険の相互運用性と説明責任に関する法律（HIPAA）、経済的および臨床的健全性のための医療情報技術に関する法律（HITECH）、ペイメントカード業界データセキュリティ基準（PCI-DSS）などのコンプライアンス要件への対応は、ビジネス上不可欠です。しかし、急速に変化する業界で競争力と顧客の信頼を維持するには、個人健康情報（PHI）の保護が何よりも重要です。
このブログ記事では、医療機関が、AIによってさらに強化された患者と医療従事者向けのパーソナライズされた体験の提供と、両者をつなぐアプリやAPIを標的とする、増大し続けるランサムウェアのセキュリティ脅威への防御との間で、ますます難しくなるバランスにどのように対処しているかを解説します。
アプリ、API、AIは患者ケアに不可欠
電子健康記録（EHR）システムを通じて患者ポータルにオンラインで簡単にアクセスでき、オンライン決済も利用できることは、今や最低限必要な条件です。
悪意ある攻撃者もこの状況を見逃してはいません。脅威アクターは、クラウドアプリケーションの脆弱性を悪用して機密データに不正アクセスし、サプライチェーンを混乱させ、重要インフラに重大な脅威をもたらします。
Forresterの予測によると、米国の大手医療保険会社上位10社のうち半数が、加入者支援の強化にAIを活用する見込みです。この分野の先駆者であるEpicは、医療システムでAIが使用されていなければ、患者の4人に1人が不安を感じると指摘しています。AIエコシステムはAPIを介して接続され、その基盤となるソフトウェアサプライチェーンにはハイブリッド環境やマルチクラウド環境にまたがるコンポーネントが含まれています。そのため、AIによってリスクへのエクスポージャーがさらに拡大し、脆弱性の悪用や、ボットおよび悪意のある自動化によるビジネスロジックの不正利用など、セキュリティ侵害インシデントが増加します。同様のリスクは、生成AIによって顧客体験を向上させ、医療を効率化するために患者や医療提供者に公開される自然言語処理（NLP）インターフェースにも当てはまります。
コンプライアンス要件の強制力が高まりつつある
米国の医療機関は、急速に許容できないリスクにさらされつつあります。2018年以降、ハッキングに関連する侵害が239%増加しているにもかかわらず、サイバーセキュリティの強化とプライバシー保護に役立つテクノロジーへの投資を維持する予定の組織はわずか42%で、中には投資を削減する可能性がある組織もあります。情報機関や業界団体が患者ケアデータに迫る脅威について警鐘を鳴らしているにもかかわらず、こうした隔たりが生じています。HITECHとPCI-DSSの要件により、適切なセキュリティを確保する責任が求められる中、医療業界は、コンプライアンス要件を満たすだけではもはや十分ではないことを認識する必要があります。
“基準とすべきはコンプライアンスではなく、サイバーセキュリティのベストプラクティスです。”
アプリ攻撃がランサムウェアを助長
2024年、医療分野を狙ったランサムウェア攻撃で最も多く使われた攻撃経路は、脆弱性の悪用と侵害された認証情報でした。また、攻撃の複雑化と深刻化により、復旧にかかる時間も長期化しています。その一例として、アプリケーションの脆弱性を悪用し、認証なしで任意のコードを実行する実環境での一連の攻撃が1月から続いています。脅威アクターはこのバグを狙ってWebシェルを展開し、その後の活動に悪用しています。
脆弱性に加え、アプリやAPIを通じて公開されるビジネスロジックは、本質的にボットによる悪用を受けやすいものです。F5 Labsによると、ログインフローを標的とする高度な持続型ボットは、医療業界で最も多く見られます。たとえば、遺伝子検査企業23andMeの経営悪化は、その一因として、顧客の健康情報や祖先情報を流出させたクレデンシャルスタッフィング攻撃が挙げられています。ボットは正規の認証情報を使用し、ソフトウェアの脆弱性を悪用しようとするものではないため、セキュリティアラームが作動しない可能性があります。多要素認証（MFA）はクレデンシャルスタッフィングの防止に役立ちますが、リアルタイムフィッシングプロキシ（RTPP）の増加により、万全ではありません。
新たなベースラインが必要です
幸いなことに、セキュリティ業界はすでに先手を打っています。組織は長年にわたり、SSL/TLSトラフィックをポリシーに基づいて動的に振り分けることで、セキュリティ検査機能を最適化してきました。これにより、投資効果を最大化し、ポリシーを合理化するとともに、多層防御アプローチを用いてインフラストラクチャやアプリケーション内のランサムウェアを検出しています。
WebアプリおよびAPI保護プラットフォームは、ランサムウェアに対するアプリケーションセキュリティ防御をさらに強化します。統合された制御機能により、クライアントブラウザ、モバイルデバイス、クラウド、新しい対話型インターフェース、ソフトウェア開発ライフサイクルなど、複数の環境にわたって、Web、API、AIアプリの脆弱性を悪用する攻撃を緩和し、ビジネスロジックを不正利用から保護できます。
医療機関向けF5ソリューションは、あらゆる場所のあらゆるアプリとAPIをランサムウェアから保護することで、コンプライアンス要件への対応と患者および医療従事者のデータ漏えいリスクの軽減を支援し、被害の拡大を抑えます。
詳細については、F5 solutions for healthcareをご覧ください。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。