クラウド接続した医療機器のサイバーセキュリティ対策

1. Cloud Security Alliance Health Information Management WG Seattle, WA, USA クラウド接続した医療機器のサイバーセキュリティ対策 (2021年7月28日)

3. AGENDA 1. OWASP／Cloud Security Alliance 「OWASP セキュアな医療機器導入基準Version 2.0」 (2018年8月発行) 2. CSA Health Information Management WG 「クラウドに接続された医療機器の管理」 (2020年3月発行) 3. CSA Health Information Management WG 「医療サイバーセキュリティ・プレイブック」 (2021年7月発行) 4. CSA Health Information Management WG 「医療システムにおけるAI」（2021年中発行予定）～SaMD(Software as a Medical Device)の視点～ 5. Q&A／ディスカッション

4. 4 1. OWASP／Cloud Security Alliance 「OWASP セキュアな医療機器導入基準Version 2.0」 (2018年8月発行) • 対象＝医療機器を導入する医療機関 • 目的：医療施設内における医療機器のセキュアな導入のための包括的な指針を提供する出典：「OWASP Secure Medical Device Deployment Standard Version 2.0」（2018年8月）

5. 5 概要(1) 項目内容調達時のコントロール・セキュリティ監査／評価・プライバシー・インパクト評価・サポート評価（例．セキュリティパッチ当て）境界の防御・ファイアウォール・ネットワーク侵入検知／予防システム（NIDS／NIPS）・プロキシサーバー／Webフィルターネットワークセキュリティのコントロール・ネットワークのセグメント化・内部ファイアウォール・内部ネットワークのNIDS／NIPS ・Syslogサーバー・ログのモニタリング・脆弱性のスキャニング・DNSシンクホール出典：「OWASP Secure Medical Device Deployment Standard Version 2.0」（2018年8月）

6. 6 概要(2) 項目内容デバイスセキュリティのコントロール・デフォルト認証情報の変更・アカウントのロックアウト・セキュアな転送の実現・ファームウェア／ソフトウェアのスペア・コピー・デバイス構成のバックアップ・ベースライン構成・暗号化ストレージ・異なるユーザーアカウント（例．特権ユーザー）・管理インタフェースへのアクセス制限・メカニズムの更新・法令遵守のモニタリング・物理的セキュリティ出典：「OWASP Secure Medical Device Deployment Standard Version 2.0」（2018年8月）

7. 7 概要(3) 項目内容インタフェースと中央ステーションのセキュリティ・OSのハードニング・暗号化された転送・メッセージセキュリティ – HL7 v3セキュリティ標準規格セキュリティテスト・ペネトレーションテストインシデント対応・インシデント対応計画・模擬的インシデント出典：「OWASP Secure Medical Device Deployment Standard Version 2.0」（2018年8月）

8. 8 2.CSA Health Information Management WG 「クラウドに接続された医療機器の管理」(2020年3月発行) • 対象＝医療機器を導入する医療機関  イントロダクション  医療機器のセキュリティライフサイクル  調達前  調達後／展開前  展開／運用管理  廃棄  提言と結論  参考文献出典：CSA Health Information Management WG「Managing the Risk for Medical Devices Connected to the Cloud」（2020年3月）

9. 9 イントロダクション • 医療機器と患者の近接性を表す隔たりの程度分離の程度定義機器サポート責任段階0 機器が患者に埋め込まれているベンダーおよび／または医師・医療スタッフ段階1 機器が患者に接触するベンダーまたは臨床工学段階2 機器は患者に接触しないが、患者の生命兆候または体液、データを測定するベンダーまたは臨床工学段階3 機器は患者に接触しないが、適切な患者診断に重要なことを行う可能性があるベンダーまたは臨床工学段階4 機器は患者から離され、診断／臨床機器よりも運用ツールであるベンダーまたはIT 出典：CSA Health Information Management WG「Managing the Risk for Medical Devices Connected to the Cloud」（2020年3月）

10. 10 医療機器のセキュリティライフサイクル • ライフサイクルのフロー出典：CSA Health Information Management WG 「Managing the Risk for Medical Devices Connected to the Cloud」（2020年3月）調達前運用＆維持調達後／展開前情報提供依頼書文書の収集＆レビュー構成レビュー機器の維持評価セキュリティテスト

11. 11 調達前(1) • 医療機器の調達意思決定＝医師、臨床工学、IT、情報セキュリティが関与する部門横断的なプロセス • 米国食品医薬品局（FDA)の医療機器サイバーセキュリティ関連文書保存に関する医療機関向け推奨事項 1. 機器に関連するサイバーセキュリティリスクについてのハザード分析、低減、設計上の考慮事項 2. 考慮されたリスクに対するサイバーセキュリティコントロールに紐付いたトレーサビリティのマトリックス 3. 機器ライフサイクルを通して、検証済の更新やパッチを提供するための計画 4. ソフトウェアの完全性を保証するのに適切なセキュリティコントロールの概要 5. サイバーセキュリティコントロールに関する仕様を含む指示

12. 12 調達前(2) • 製造業者による医療機器セキュリティ開示説明書(MDS2) • 医療情報管理学会（HIMSS)と全米電気機器製造業者協会(NEMA)が共同で策定した様式 • 機器に関する記述、プライベートデータ管理に関する情報、機器のセキュリティ機能に関する情報が含まれる • FDAの医療機関向け推奨事項であり、要求事項ではないが、国際医療機器規制当局フォーラム（IMDRF)の「医療機器サイバーセキュリティ原則および実践」でも推奨されている

13. 13 調達前(3) • 脆弱性の重要度に基づくパッチ提供の製造業者向け要求事項（例）出典：CSA Health Information Management WG「Managing the Risk for Medical Devices Connected to the Cloud」（2020年3月）重要度要求される時間重要な 1週間高 2週間中 3週間低 4週間

14. 14 調達後／展開前(1) • ネットワーク／クラウド接続前の機器テストにおける医療機関向け推奨事項 1. 構成のレビューや、調達前評価の間に収集した構成情報の検証：文書には、すべての相互接続とデータフローダイアグラムに関する一覧表が含まれる。 2. 利用するすべての公開ポートおよびプロトコルを特定するための「Nmap」のスキャン：「Nmap」は、オープンソースのネットワーク探索・監査ツールである。 3. 「Nessus」や「Qualys」のような製品を利用した脆弱性スキャン： 4. 構成スキャン： 5. ペネトレーションテスト：発見した脆弱性を有効活用するために、セキュリティエンジニアは、侵害された機器からのインストール、マルウェア、検索、ダウンロードなどのデータや、機能無効化の試みについて調査すべきである。

15. 15 調達後／展開前(2) • 追加テスト項目例大項目中項目小項目ネットワーク偵察・マニュアルのレビュー・技術仕様のレビュー・構成のレビュー発見・ネットワークポートの識別・NMAP（ポートスキャンツール）・ユーザーID／パスワードのテスト・マニュアル／スクリプト化・ブルートフォース（総当たり）攻撃の既知のパスワード・Hydra – ブルートフォース攻撃を仕掛けるパスワード脆弱性スキャン・脆弱性の識別・Nessus／Qualys（脆弱性スキャンツール）・検出結果の妥当性評価・プロトコル固有のテスト：telnet、ssh、ftp、snmp、http、ssl (TLS) の弱点・認証のすり抜け（管理者以外＞管理者ユーザー）

16. 16 調達後／展開前(3) • 追加テスト項目例(２) 大項目中項目小項目 Webアプリケーション・インタフェース偵察・マニュアルのレビュー・技術仕様のレビュー・構成のレビュー発見・Webアプリケーションポートの識別（NMAPから）・Niktoを稼働させた発見・スパイダーによるWebサイトのインデックス・認証手法のテスト・デフォルトのユーザーID／パスワード・ブルートフォース（総当たり）攻撃の既知のパスワード・Hydra – ブルートフォース攻撃を仕掛けるパスワード脆弱性スキャン・Web Inspect／Burp Suiteスキャンの稼働・特定のコードインジェクション脆弱性のテスト・ページへの直接のアクセス – バイパスのテスト・認証のすり抜け（管理者以外＞管理者ユーザー）

17. 17 調達後／展開前(4) • 追加テスト項目例(3) 大項目中項目小項目無線通信偵察・マニュアルのレビュー・技術仕様のレビュー・構成のレビュー発見・デバイスのアクセスポイント向けブロードキャストのスキャン脆弱性スキャン・デバイスが未知のアクセスポイントに設定されていないことの保証・その他の無線通信手法のテスト・ZigBee ・Bluetooth セキュアな通信チャネル・セキュアな通信テスト・トラフィックのセキュリティと機密性を保証するための、トラフィックのスニッフィング・ブロードキャストの探索・アウトバウンドや迷惑なトラフィック（ベンダー、クラウド、サードパーティ）の探索・その他の内部デバイスやサーバー、データベースとの通信

18. 18 展開／運用管理(1) • 段階0:埋め込み医療機器をインターネット／クラウドに接続する場合 • 埋め込み機器に加えて、インターネット／クラウドに接続するベースステーションおよびそれに接続する中間機器など、複数の機器が使用されるため、個々の機器ごとに、アップグレードやパッチ当てを実行する必要がある出典：CSA Health Information Management WG「Managing the Risk for Medical Devices Connected to the Cloud」（2020年3月） [埋め込み医療機器のコネクション] 埋め込み人工内耳輸血ポンプペースメーカーベースステーションタブレット／スマートホンクラウド

19. 19 展開／運用管理(2) • 段階0:埋め込み医療機器をインターネット／クラウドに接続する場合（続き） • 医療機関が、セキュリティテストを完了し、すべての脆弱性を低減したとしても、以下のような課題が残る。 1. 個々の機器は、どのようにして、アイデンティティ／アクセス管理を遂行するか？ 2. 医療機関は、どのようにして、発見された追加的な脆弱性が是正されたかを保証するか？

20. 20 展開／運用管理(3) • 段階1:機器が患者に接触する場合 • 機器の多くは、一旦、医療機関のネットワークに接続した上で、患者の電子健康記録（EHR）やクラウドに接続される • 段階０と同様に、アイデンティティ／アクセス管理とアップグレードやパッチ当てが課題 • 標準化されたOSの1つを使用している時は、強力な認証を機器に追加すべきである • 機器を患者に接続し、使用している時は、アップグレードやパッチ当てできない • 医療機関は、セグメント化されたネットワークに機器を分離し、パッチ当てできるまでの間、機器を保護するため、補完的なコントロールをネットワークに適用スべきである • ウイルス対策やエンドポイント保護機能が機器に追加できない場合、セグメント化されたネットワーク経由で、データフローをコントロールスべきである

21. 21 展開／運用管理(4) • 段階2:機器は患者に接触しないが、患者の生命兆候または体液、データを測定する場合 • 機器を医療機関のネットワークに接続し、インターネット／クラウドにデータを送付することができるが、アイデンティティ／アクセス管理の欠如が課題となる • 認証の欠如は、機器およびクラウドの双方に脆弱性をもたらすので、少なくともPINのような基本的アクセスコントロール機能を設定すべきである • 機器は、直接患者に接続されていないので、ベンダーから入手可能なアップデートやパッチ当てを実行することは可能 • ベンダーは、機器の機能を変更しない点を保証するために、すべてのアップデートやパッチを承認する必要がある

22. 22 展開／運用管理(5) • 段階3:機器は患者に接触しないが、適切な患者診断に重要なことを行う可能性がある場合 • 機器が患者に接触することはないが、適切な患者診断のために、機器の機能性や完全性が重要なことがある • （例）放射線機器、臨床検査機器 • 優れたアイデンティティ／アクセス管理機能を有する機器もあれば、利便性のためにログインを省略した機器もある • クラウド上にデータを保存した時、アイデンティティ／アクセス管理の欠如の問題が顕在化する • ベンダーが、アップデートやパッチを承認したら、直ちに機器に適用する必要がある

23. 23 展開／運用管理(6) • 段階4:機器は患者から離され、診断／臨床機器よりも運用ツールである場合 • 機器は、患者から分離された状態にあり、運用ツール的性格が強い • （例）ベッドモニター • 機器は、患者のケアには利用されないが、医療安全上、重要である • 機器にアイデンティティ／アクセス管理機能が装備されていない • ベンダーが、アップデートやパッチを承認したら、直ちに機器に適用する必要がある

24. 24 提言と結論(1) • リスク評価やセキュリティレビューを実施したら、認証に関する機器の機能を強化する • 証明書が機器の真正性を裏付ける場面では、PKI（公開鍵インフラストラクチャ）を利用する • 医療機器における信頼レベルを保証するデジタル証明書と、インフラストラクチャをモニタリングするアプリケーションを組み合わせて、資格のない機器へのアクセスを特定し、防止する • ユーザーのスマートデバイス経由でインターネット／クラウドに接続する医療機器には、多要素認証（MFA）を導入する • 認証機能のない医療機器の場合、認証ゲートウェイを使用する • 継続的モニタリングにより、医療提供組織およびクラウドプロバイダーの双方が望ましいセキュリティ動態を維持していることを保証する

25. 25 提言と結論(2) • 医療機関は、CASBを活用して、どの機器がクラウドに接続しているか、どのデータがクラウドに送信されているか、データが送信されているのはどのクラウドプロバイダーかを把握する • 医療情報保護など、すべての規制上の要求事項を充足していることを保証する • クラウドセキュリティアライアンスの「クラウドコンピューティングの重大脅威」を参照する

26. 26 3.CSA Health Information Management WG 「医療サイバーセキュリティ・プレイブック」(2021年7月発行) • 対象＝新型コロナウイルス感染症（COVID-19）パンデミック対応を経験した医療機関  イントロダクション  プライマリーターゲットとしての医療  セキュアな医療の約束  現在と将来のための拡張性  時間、お金、資源  ライフサイクル全体の管理  セキュリティポスチャの向上  結論出典：CSA Health Information Management WG「Healthcare Security Playbook」（2021年7月）

27. 27 プライマリーターゲットとしての医療 • 医療産業の特徴 • 適正な医療を提供するためには、他産業よりも重大で長期に渡るリスクを提起する大量の機微データの収集が求められる • リスクの観点から、将来の潜在的損害を完全に低減することは不可能である • より機微な医療および関連する個人データがクラウド上に移動するにつれて、ターゲットの規模は成長し、データ容量は指数関数的に増加する • 米国内のみで利用可能な卓越した医療サービスを求めて、世界中の患者が、継続的に米国にやってくる • 医療は、サプライチェーンリスク管理の研究でもある • クラウドサービスを採用した組織は、いかなる新規CSPの採用も、「クラウドのどこかにある」別の主体に、必ず自組織を拡張することになる点を認識する • 医療におけるサイバーセキュリティとクラウド技術のスキルのギャップに取組む

28. 28 セキュアな医療の約束 • CSA STARのクラウド責任共有モデル出典：CSA Health Information Management WG「Healthcare Security Playbook」（2021年7月）

29. 29 現在と将来のための拡張性 • 医療におけるクラウドコンピューティング活用の指針 • 1. クラウドコンピューティング向けのビジネスケースを構築する • 2. 医療ソリューションに基づいて特定のクラウドを特定し、優先付けする • 3. 適切なクラウド展開・サービスモデルを決定する • 4. HIPAA遵守を遂行する：すべてのクラウドサービスやクラウドサービスプロバイダーに関するエンタープライズリスク評価 • 5. すべてのセキュリティ／プライバシー要件への取組を保証する • 6. 既存のエンタープライズシステムで、統合および相互運用性の事項を文書化する • 7. すべてのSLAやKPIに関するクラウドサービス同意書およびモニタリングツールについて交渉する • 8. すべてのクラウドサービスおよびクラウドサービスプロバイダーをモニタリング／管理するための責任マトリックス／モデルを構築する • 9.クラウドサービスおよびクラウドサービスプロバイダーの全体ポートフォリオに関するリスクダッシュボードを構築し、モニタリングする • 10. すべての高リスクの公開課題に関する報告書を、関連配布物とともに維持する • 11. 是正措置計画および状況を文書化する

30. 30 時間、金、資源 • リソース不足の背景：複雑化したシステム • より独立したプロセスが存在し、高いセキュリティリスクがつくられている • インタフェースや相互作用が多く存在し、高いセキュリティリスクがつくられている • モニタリングが比較的難しいために、テストや監査がなされていない部分がある可能性が高い • セキュアな構築や展開が比較的難しい • 従業員やステークホルダーが理解して、トレーニングを受けることが比較的難しい • 時間的制約：プロジェクト完了のために利用可能な時間量 • 費用的制約：プロジェクトのために利用可能な予算額 • 統合されたセキュリティシステムの構築が効果的な対応策となる

31. 31 ライフサイクル全体の管理 • データライフサイクルとは？ライフサイクルのステージ概要生成(Create) データが生成、獲得、修正される保存(Store) データがストレージレポジトリに委ねられる利用(Use) データが他の種類の活動で処理、閲覧、利用される共有(Shared) データや情報が他にアクセス可能なようにする保管(Archived) データが長期ストレージに置かれる破壊(Destroy) データが必要でなくなった時、物理的に破壊される

32. 32 セキュリティポスチャの向上 • セキュリティ意識の文化を構築し、リーダーシップの賛同を取り付け、スタッフ全体を関与させながら乗り気にさせる • セキュリティの利点に関する経営層の理解 • 従業員のエラーに起因する侵害を防止するためのトレーニング • セキュリティ内部監査制度の創設 • オープンソースソフトウェア・サプライチェーン攻撃の防止 • インシデント対応におけるサードパーティのSaaSプロバイダーや IaaSプロバイダーの管理 • クラウドプロバイダーの安全性や有効性に関する透明性と保証 • CSA CCM／CAIQの有効活用

33. 33 4.CSA Health Information Management WG 「医療システムにおけるAI」(2021年中発行予定) • CSA HIM-WGで公開・作成中のドキュメント • 「クラウドにおける医療ビッグデータ」（2020年7月公開） • 「遠隔医療のリスク管理」（2021年6月公開） • 「医療におけるブロックチェーン利用」（2021年7月公開） • 「クラウドにおける医療データのプライバシー保護」（2021年7/8月公開予定） • 「医療産業におけるランサムウェア」（2021年8/9月公開予定） • 「医療機器インシデント対応プレイブック」（2021年8/9月公開予定） • 「医療におけるITガバナンス・リスク・コンプライアンス」（2021年8/9月公開予定） • 「医療システムにおけるAI」（2021年中発行予定） • 「成功するベンダーリスク評価（VRA）プログラムの構築」・・・次回次回

34. 34 米国FDAデジタルヘルス・センター・オブ・エクセレンス(DHCoE) 「人工知能／機械学習（AI／ML）ベースのソフトウェア・アズ・ア・メディカルデバイス（SaMD）行動計画」 (2021年1月公開) • 定義 AIは、インテリジェントマシン、特にインテリジェントなコンピュータプログラムを作る科学および工学と広く定義されている。人工知能は、データ統計分析に基づくモデル、if-then文に本来依存しているエキスパートシステム、機械学習など、さまざまな技術を利用することができる。 MLは、データから学習し、稼働するソフトウェア・アルゴリズムを設計・教育することができる人工知能技術である。ソフトウェア開発者は、機能が変わらないように「ロックされた」、または行動が新たなデータに基づき経時変化できるように「適応的な」アルゴリズムを構築するために、機械学習を利用することができる。

35. 35 AI／MLベースSaMD行動計画の領域(1) 行動領域概要 1. AI／MLベースのSaMD向けテーラーメイドの規制フレームワーク・あらかじめ設定された変更コントロール計画に関するガイダンスの発行など、AI／MLベースのSaMD向けに提案されたフレームワークを更新する 2. グッド・マシンラーニング・プラクティス（GMLP）・グッド・マシンラーニング・プラクティス構築のハーモナイゼーションを推奨する＊医療機器サイバーセキュリティプログラムと連携する 3. ユーザーに対する透明性を組み込んだ患者中心のアプローチ・AI／MLベースの機器に関する最近のFDA患者エンゲージメント諮問委員会会合に従って、次のステップは、機器表示がユーザーに対する透明性を支援し、AI／ML ベースの機器における信頼性を強化する方法に関する公開ワークショップを開催することである

36. 36 AI／MLベースSaMD行動計画の領域(2) 行動領域概要 4. アルゴリズムのバイアスと堅牢性に関するレギュラトリーサイエンス手法バイアスの特定と消去、アルゴリズムの堅牢性の評価と促進など、機械学習の評価と改善のための手法を開発するためのレギュラトリーサイエンスへの取り組みを支援する 5. リアルワールドパフォーマンス（RWP） AI／MLベースのSaMD向けのRWPプロセスを検証しているステークホルダーとともに、取り組む出典：FDA「Artificial Intelligence/Machine Learning (AI/ML)-Based Software as a Medical Device (SaMD) Action Plan」（2021年1月）

37. 37 • 5. Q&A／ディスカッション

クラウド接続した医療機器のサイバーセキュリティ対策

クラウド接続した医療機器のサイバーセキュリティ対策

Recommended

More Related Content

What's hot

What's hot(20)

Similar to クラウド接続した医療機器のサイバーセキュリティ対策

Similar to クラウド接続した医療機器のサイバーセキュリティ対策(20)

More from Eiji Sasahara, Ph.D., MBA 笹原英司

More from Eiji Sasahara, Ph.D., MBA 笹原英司(14)

クラウド接続した医療機器のサイバーセキュリティ対策