医療IoTのセキュリティ、データ流出より大きな問題とは
医師の中でも、特に救急救命室の医師には、度胸と冷静さが欠かせない。極めて深刻な病気やけがを診ることになるからだ。暴行や事故、重大な疾患に対処することも少なくない。
Credit: Creative Commons Lic.
米カリフォルニア大学サンディエゴ校メディカルスクールの教員であるChristian Dameff氏は、そうした事例のすべてに経験があるが、それだけではない。同氏は医療IoTのセキュリティに精通したホワイトハッカーでもある。サンディエゴで現地時間2017年11月16日、カンファレンス「Security of Things World USA」の基調講演に登壇した同氏は、現在の医療IoTのセキュリティについて、率直に言って憂慮すべき状態だと注意を促した。
現代の医療はテクノロジーが支えているとDameff氏は言う。若手医師の中には、紙のカルテや処方箋、あるいはライトボックスにとめたレントゲン写真を扱ったことがない人も少なくない。今やすべてがデジタルだ。
「現代の医療はソフトウエアで動いている。抗生物質、X線、手術をひっくるめたのと同じくらい重要だ。技術的なシステムがなかったら、現在の医師は、脳卒中や心臓発作、外傷への対処は実質的にお手上げだ」
中心的な問題は2つあるとDameff氏は指摘する。1つは、医療分野のセキュリティに関する議論において、もっぱらデータのセキュリティに重きが置かれていることだ。主に法令遵守という理由からだ。
「医療分野で情報セキュリティというと、HIPAA（Health Insurance Portability and Accountability Act）の話になる。HIPAA違反に対する制裁金への不安と、現実にデータ侵害の事例が年に数百件という単位で起きていることから、これが話題の中心になっている」
だが、これより大きな問題がもう1つある。現代の医療では、処置の自動化や迅速化が求められ、その実現のためにネットワーク接続型の医療機器が使われているが、こうした機器は、外部からの攻撃に対して、とんでもなく脆弱だ。
Dameff氏によると、この問題はずっと前からあったものの、糖尿病を患っているセキュリティ専門家のJay Radcliffe氏が2011年、自身が使っていた無線接続型のインスリンポンプがごく簡単にハッキングできると発表したことが契機となって、問題の規模の大きさに世間が注目するようになった。
「現代の患者は、無線接続型の多数の装置に囲まれている。装置は旧式のOSで動いていて、パッチは適用されておらず、ハードコーディングされているログイン情報はGoogle検索で調べがつく。効き目の強い薬剤を患者に投与する際に、こうした装置が制御に使われている。仮にこうした投与に計算ミスや改ざんが加われば、患者の命に関わりかねない。それが現代の医療IoTの状況だ。この状況を変えなくてはならない」
医療IoT機器の開発に新たな全体論的アプローチをもたらすためには、機器メーカーが医師と直接連携する必要があるとDameff氏は主張する。
「万一、機器がおかしな動作をすれば、単なる医療データの流出ではなく、患者に危害が及ぶ。医師を交えることで、そうした医療機器の特質を明確に意識しやすくなる」
病院のハッキングの恐れ
病院に影響をもたらすのは、ネットワーク接続型の医療機器の脆弱さだけではない。導入から長い年月が経過し、パッチを適用していないITシステムは、既知のハッキング手法の数々に対して脆弱だ。「WannaCry」のような悪名高い攻撃によって、特別な装置を含む病院全体のシステムが停止に陥る恐れがある。
こうした攻撃は一般ユーザーにとっても悩みの種だが、医療機関となると深刻度ははるかに高い。Dameff氏の言葉を借りれば、ランサムウエアやサービス拒否攻撃は人の命をじわじわ奪う。病院のシステムがダウンすると、緊急処置に支障が生じる。一分一秒を争う心臓発作や脳卒中の治療が、場合によっては何時間も遅れることになる。その結果、後遺症が残ったり、命を落としたりする恐れがある。
「脳卒中の処置はCTスキャナが動いていなければ無理だ」と、Dameff氏は言う。（了）
