健康-ISAC ハッキングヘルスケア 6 年 17 月 2020 日

2020 年 6 月 18 日

TLP White: 今週の Hacking Healthcare では、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) が発表した、重要インフラ分野の産業用制御システム (ICS) をサイバー攻撃から保護するための新しい戦略について取り上げます。次に、クラウド環境内の構成ミスのあるデータベースが悪意のある攻撃者にいかに早く発見され、悪用されるかを示す最近の脅威研究を分析しますが、だからといって医療機関がデータベースの導入を思いとどまるべきではない理由も説明します。最後に、米国国立科学財団 (NSF) が支援する、COVID-19 研究に関連する患者データを保護するためのプロジェクトを取り上げ、その影響について探ります。

念のためお知らせしますが、これは Hacking Healthcare ブログの公開バージョンです。さらに詳しい分析と意見については、H-ISAC のメンバーになって、このブログの TLP Amber バージョン (メンバーポータルで入手可能) を受け取ってください。

ようこそへ戻るヘルスケアのハッキング.

1. CISA が新しい ICS セキュリティ戦略に取り組みます。

先週、CISAのクリス・クレブス局長は、重要なインフラ分野のICSをサイバー攻撃から保護するための新しい戦略を発表しました。【1] 新しい戦略では、データ分析の使用、トレーニングの改善、新しい技術的ソリューションの導入に重点が置かれています。【2] クレブス氏はさらに、「コミュニティがICSキルチェーンを阻止するために使用できる情報を分析して提供するための詳細なデータ機能を開発する予定です」と述べました。【3] この発表は、ICS のセキュリティ確保とリスク軽減を中心とする官民連携の情報共有活動である ICS 共同作業グループ (ICSJWG) の仮想会議中に行われました。【4]

これは、CISAがICSサイバーセキュリティに関して最近発表した唯一の進展ではない。1か月弱前、CISA、エネルギー省（DOE）、および英国の国立サイバーセキュリティセンター（NCSC）は、共同文書「 産業用制御システム向けの推奨サイバーセキュリティ対策.【5] 2 ページのインフォグラフィックでは、ICS の所有者とオペレーターがサイバーセキュリティの準備を強化するために、さまざまなサイバーセキュリティの考慮事項、リスク、影響、および予防措置をわかりやすく簡潔に説明しています。

ICS にあまり馴染みのない方のために説明すると、ICS は産業分野や重要インフラで一般的に見られるさまざまな制御システムをカバーする広義の用語です。米国国立標準技術研究所 (NIST) は、「これらの制御システムは、高度に相互接続され、相互に依存するシステムであることが多い米国の重要インフラの運用に不可欠です」と指摘しています。【6] ヘルスケア分野では、ICS はさまざまな製造、化学、製薬プロセスで使用されています。

分析と行動

* H-ISACメンバーシップが必要です *

2. 誤って構成されたデータベースはどのくらい早く侵害されるのでしょうか?

セキュリティ研究者が、個人情報やビジネス情報の機密が詰まった安全対策が講じられていないデータベースを発見したというニュース記事を目にすることは珍しくありません。研究者が安全対策が講じられていないデータベースの所有者に連絡して安全を確保するには、数日から数週間かかることも少なくありません。安全対策が講じられていないデータベースは、ほとんどの場合、偶発的な構成ミスが原因です。しかし、安全対策が講じられていないまま放置された場合、悪意のある人物によってどれほど早く侵害されるのでしょうか。Comparitech の調査によると、非常に迅速に侵害されることが判明しています。

11 月 22 日から XNUMX 月 XNUMX 日まで、Comparitech はクラウドサーバー上にダミーデータベースを構築し、セキュリティ保護されていない状態にしました。Comparitech は、機密データが閲覧、盗難、または変更される前に、構成エラーなどの問題を修正するのにどれくらいの時間がかかるかを正確に把握することに興味を持っていました。【7] インターネットの広大さと、比較的目立たないデータベースが見過ごされる可能性にもかかわらず、Comparitech は、最初の不正なリクエストが偽のデータベースが展開されてからわずか 8 時間 35 分後に届いたと報告しています。【8]

その後 11 日間で、Comparitech は米国、ルーマニア、中国、オランダを含む多数の国の IP アドレスからの不正なリクエストを 175 件記録しました。【9] 注目すべきは、このデータベースが当初はShodanのような人気検索エンジンにインデックスされていなかったが、16年まで^th22 月。データベースがインデックスに登録されると、登録から 1 分以内に XNUMX 日の記録となる XNUMX 件の不正リクエストが初めて受信されました。【10] さらに、研究が終了してから 1 週間後、データベースが攻撃され、その内容が削除され、身代金を要求するメッセージが残されました。

アクションと分析

* H-ISACメンバーシップが必要です *

3. NSF は研究に使用される患者データの保護を支援するツールに資金を提供します。

通常の状況では、医療部門が患者データを保護することに用心深いアプローチをとっているため、プライバシーとセキュリティの保護が不必要に強力すぎるために医学研究の実施が妨げられていると感じる人々が苛立ちを感じるかもしれません。誰もがビッグデータ、クラウドコンピューティングリソース、相互運用性の変革力を熱心に指摘する時代に、研究プロセスに関与するさまざまな関係者の間で、患者データが必要とされるプライバシーとセキュリティで扱われるようにする方法をめぐって緊張が生じています。この緊張は、データを研究や共有に利用しやすくすることで、COVID-19 に関する理解を大幅に前進させることができる可能性がある世界的なパンデミックの期間中に高まっています。

この問題の一部に対処するため、NSF はテキサス大学ダラス校とヴァンダービルト大学医療センターのコンピューター科学者に 200,000 万ドルの助成金を交付しました。【11] 目標は、「政策立案者や医療提供者が[患者のプライバシーを侵害することなく医療提供者が研究者に開示できる情報の量に関する決定]を行うのに役立つオープンソースのソフトウェアツール」を作成することです。【12] テキサス大学とヴァンダービルト大学の合同チームは、「研究目的で患者データを公開する際に個人が特定されるリスクに焦点を当て」ており、既存のツールで調査される特性よりも評価される特性をより包括的にすることを目指しています。【13]

アクションと分析

* H-ISACメンバーシップが必要です *