10月21日に見つかった侵入
Quest Diagnosticsが不正アクセスを把握したのは10月21日だ。Quanumは、一部の顧客が検査を注文し、結果を受け取り、検索するために使う。会社は連邦捜査当局へ連絡し、外部のサイバーセキュリティ専門家を起用した。[1]
SEC提出資料では、事業運営や患者へのサービスに重大な支障は生じていないと説明した。一方、アクセスされた患者記録の範囲は調査中である。[1]
「サービスが動いている」と「情報が安全である」は別の確認だ。 システムを復旧して検査を続けられても、閲覧や持ち出しの記録を調べるには時間がかかる。現段階で人数を断定する報道や投稿は、会社の開示を越えている。
患者記録は何を含むのか
Quest Diagnosticsは「certain patient records」と記した。氏名、検査結果、保険情報、請求情報などの内訳は示していない。AP通信も、影響人数と具体的な記録は不明だと報じた。[2]
医療データは、カード番号のように交換して終わりにできない。診断名や検査履歴は本人の健康状態と結びつき、なりすまし、恐喝、差別的な判断に悪用されるおそれがある。ただし、今回それらすべてが流出したと確認されたわけではない。
通知を受けた利用者が見るべきなのは、対象期間、情報項目、暗号化の有無、閲覧だけか持ち出しまで確認されたかだ。会社から案内がない段階で、個人がQuanumを利用していたかどうかも決めつけられない。検査を依頼した医療機関が別の仕組みを使っている場合もある。
医療機関側は、Quest Diagnosticsから受け取った通知と自院の利用範囲を照合する必要がある。患者へ伝えるときも、確認済みと調査中の項目を分けたい。範囲を広く言い過ぎれば、余計な不安と問い合わせが増える。
患者からの問い合わせに備え、検査日、依頼元、利用したサービスを追える状態にしておくことも役立つ。会社の追加開示が出たとき、自院の患者が対象かを早く判断できる。
企業の健康診断では、本人、勤務先、医療機関、検査会社の間で情報が動く。誰がどの結果を見られるのかを曖昧にしないことが大切だ。今回の対象が確定する前でも、閲覧権限と保存先を棚卸しする作業は進められる。
過去の事故とは分ける
Quest Diagnosticsには過去の大規模な情報流出がある。AP通信によると、2016年には約3万4000人分の検査結果や連絡先が流出した。2019年には委託先American Medical Collection Agencyが侵害された。約1190万人の個人情報が影響を受けた。[2]
しかし、今回の人数を過去の数字から類推してはいけない。2019年は請求回収会社を通じた事故で、今回は検査注文と結果照会のシステムが対象だ。入口も影響範囲も同じとは限らない。
同社はAP通信に対し、今回の侵害は、今週問題になったPHPの脆弱性とは関係がないと確認した。[2]
直前に大きな障害や脆弱性が報じられると、別の事故まで同じ原因へ結びつけやすい。原因は調査資料で確かめる必要がある。
検査網の接点が弱点になる
検査会社のシステムには、病院、診療所、医師、患者、保険・請求の業務が接続する。多くの組織が使う入口は便利だが、認証情報が盗まれたり、設定が誤ったりしたときの影響も広がりやすい。
守る対象は中央のデータベースだけではない。顧客アカウント、権限の付け方、API、端末、委託先、サポート窓口まで連鎖する。医療機関が退職者のアカウントを残したり、複数人で認証情報を共有したりすれば、提供会社だけで管理し切れない。
医療データの安全は、検査会社と利用組織の共同作業になる。 多要素認証、必要最小限の権限、短い保持期間が要る。異常な検索や大量取得の検知も、契約時の説明だけでなく運用中に確かめる必要がある。
企業の健康診断や福利厚生で外部検査を使う担当者も、自社が保持する情報と検査会社へ渡す情報を分けて把握したい。漏えい時の通知期限、問い合わせ窓口、従業員への説明手順を委託契約で確認しておくと、調査中でも動きやすい。
次の開示で見る三点
今後の判断材料は、影響した人数、対象データ、侵入期間の三つだ。さらに、第三者が記録を閲覧しただけなのか、外部へ持ち出した証拠があるのかを区別したい。
調査報告では、侵入経路を塞いだ時点と、記録を最後に確認された時点も重要になる。発見日だけでは侵入期間は分からない。通知を受け取ったら、会社が示す対象期間と自分の利用日を照合したい。
Quest Diagnosticsは、調査結果に応じて本人通知や規制当局への追加報告を行う可能性がある。現時点では補償や監視サービスの提供も明らかにしていない。利用者は、同社や医療機関を装う連絡に反応せず、公式窓口から案内を確認するのが安全だ。
今回の開示は、被害規模を示す最終報告ではない。患者記録へのアクセスを会社が認め、調査が続いているという第一報である。人数が出るまで待つだけでなく、医療データを預ける接点を各組織が洗い直す契機になる。
まとめ
- Quest DiagnosticsはQuanumへの不正アクセスと一部患者記録へのアクセスを開示した
- 影響人数や情報項目は未確定で、過去事故の数字を今回へ当てはめられない
- 医療機関と企業は、自らの利用範囲、権限、通知手順を確認する必要がある
読者のコメント (0)
コメントを残す