インシデント発生後の業務復旧に関して、最高セキュリティ責任者（CISO）のうち、自らを上位2つの成熟度レベルに位置づけているのはわずか22%に過ぎない。この調査結果は、Health-ISACが76人のセキュリティ担当役員を対象に実施した2026年版CISOベンチマークレポートによるものだ。回答者は、医療機関、製薬会社、医療機器メーカー、保険会社、医療IT企業など多岐にわたる。実際、回答者の4分の1以上が、NISTサイバーセキュリティフレームワークの復旧機能において、自らをレベル1または2に位置づけている。
CSFの他の機能はすべてより高いスコアを示しており、レベル4または5の成熟度を報告した割合は検出が60%でトップ、次いで保護が55%、識別が48%、対応が44%となっている。Health-ISACはまた、大規模組織でさえ回復の平均レベルは3であると指摘した。同様に、どの機能においてもレベル5に達しているプログラムはわずか6～10%に過ぎない。
このプールは複数のセグメントにまたがっているため、これらの数値は業界全体を概観するものです。規模の区分は、ベッド数ではなく、従業員数と収益区分に基づいて行われます。
検出能力はあっても復旧能力が伴わない場合、組織は攻撃を明確に認識できる一方で、臨床システムをどれだけ迅速に復旧できるか確信が持てないという状況に陥ります。Health-ISACはこのギャップを臨床リスクと捉え、事業継続と災害復旧への投資を役員レベルの優先事項に引き上げることを推奨しました。
