CSAジャパンブログページCSAジャパンブログページメニューコンテンツへ移動バイオ/医療サプライチェーンのサイバーセキュリティリスク管理(後編)コメントをどうぞクラウドセキュリティアライアンスのヘルス・インフォメーション・マネジメント・ワーキンググループ(HIM-WG)が2022年5月11日に公開した「医療サプライチェーンのサイバーセキュリティリスク管理」(https://cloudsecurityalliance.org/artifacts/healthcare-supply-chain-cybersecurity-risk-management/)について、前編では、サプライヤーに対するリスク管理や継続的なモニタリングの重要性を提示した、後編では、実務的なサプライチェーンリスクの取扱や対応計画策定上の留意事項、欧米のサプライチェーンセキュリティ標準化動向などについて概説する。医療機関は、組織の規模に見合ったサプライチェーンリスク管理のためのプログラムを設置する必要がある。サプライチェーンリスク管理(SCRM)プログラムは、組織の規模に関係なく不可欠であり、ひと度リスクを特定したら、効果的にリスクを低減するために管理する必要がある。その際には、サプライチェーンベンダーを関与させながら、リスク管理に必要な戦術およびシステムのセキュリティパフォーマンス評価に取組む必要がある。リスク管理パフォーマンス基準を満たすために求められるサプライチェーンを維持することによって、リスクの露出を抑制しなければならない。ベンダーに対する迅速かつ適切で実用的なフィードバックは、サプライチェーンベンダーが的確なことを実行するために、強力な動機付けとなる。加えて、医療機関は、サプライチェーンベンダーに対して、リスクにより優先順位付けされた行動計画を提供する必要がある。CSAは、サプライチェーンリスクの取扱に関連したベストプラクティスとして、以下のような対策を挙げている。間でリスク情報を共有できるような仕組みを構築しておくことが望ましい。サプライチェーンリスクのモニタリングと対応計画サプライチェーンモニタリングは、企業や団体組織が原材料や部品をサプライヤーに注文して、最終製品が顧客のところに届くまでの間、サプライチェーンにおける様々なオペレーションやイベントを追跡する総括的なプロセスであり、医療機関の業務上の有害事象を回避または最小化するために、できるだけ早く混乱を検知することを目的としている。飲みたリングの対象には、物流およびその他の複雑な業務プロセスが含まれており、医療機関の既存のサプライチェーンに関する特定のサプライヤーのリスク評価や、定期的なスクリーニングなども実施される。定期的なモニタリングや監査は、効果的なコンプライアンスプログラムの重要ファクターとなっている。医療機関は、サプライチェーンインフラストラクチャ全体に渡る入内な脆弱性の露出を抑制する機能を備える必要がある。これには、サプライチェーンベンダーの再委託先がどこにあるかを知ることも含まれる。CSAは、再委託先管理に関連して、以下のような点を推奨している。付与されていることを確認する他方、世界中の医療機関が、ランサムウェア攻撃など、様々な深刻度を持ったサプライチェーン脅威に直面していることから、サプライチェーン上のサイバー脅威を防止、検知、対応するためのセキュリティリスク管理計画を策定しておく必要がある。CSAは、医療機関に対して、以下のようなサプライチェーンリスク対応計画を立てるよう推奨している。サプライチェーンリスクマネジメントガイド(HIC-SCRiM)第2.0版」(https://healthsectorcouncil.org/hic-scrim-v2/)を公開している。HIC-SCRiM)第2.0版は、以下のような構成になっている。情報システム、コンポーネント、サービスのサプライヤーと第三者であるパートナーが、識別され、優先順位付けられ、サイバーサプライチェーンのリスクアセス面とプロセスにより、評価されている。CSF要求事項ID.SC-5への適合」は、NISTサイバーセキュリティフレームワークのサプライチェーンリスク管理関連要求事項を、医療・公衆衛生セクター特有の要件とマッピングしたものである。附表A~Eは、医療機関が、サプライチェーンリスク管理策を道入・運用する際に必要なガイドライン・テンプレート類となっている。1996:医療保険の携行性と責任に関する法律)とクラウドコンピューティングに関するガイダンス」(https://www.hhs.gov/hipaa/for-professionals/special-topics/health-information-technology/cloud-computing/index.html)を公開しており、クラウドサービスプロバイダー(CSP)の役割や法的責任が明確になっている。医療・バイオに限らず、全産業レベルでも、サプライチェーンリスク管理策の標準化に向けた動きが加速している。800-161:連邦政府システムおよび組織のためのサプライチェーンリスクマネジメント・プラクティス」(https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf)と題するガイドラインを公開している。800-161改定第1版(https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161r1.pdf)を公表している。800-161改定第1版では、サプライチェーンについて、企業の複数レベル間に渡るリソースおよびプロセスの紐付けされた設定であり、それぞれが製品・サービスの調達から始まる購入者で、製品・サービスのライフサイクルを通じて拡張するものであるとしている。サプライチェーンを通したリスクについて、サプライヤー、そのサプライチェーン、製品またはサービスから発生する場合がある損害や侵害の潜在的可能性であるとしている。その上で、以下のような構成となっている。欧州ネットワーク情報セキュリティ庁(ENISA)が、病院の医療専門家向けに、サイバーセキュリティの目的を満たす調達プロセスの改善方法についての標準的な指針を提供することを目的として、2020年2月24日に「病院におけるサイバーセキュリティ向け調達ガイドライン」(https://www.enisa.europa.eu/publications/good-practices-for-the-security-of-healthcare-services)を公開している。ENISAは、そして、病院に対する脅威について、以下の5つを柱に定義している。悪意のある行動システム障害その上で、以下の各フェーズについて、セキュリティ調達関連推奨事項およびグッドプラクティスを整理している。け専用アクセス制御メカニズム頻繁なまたはアーキテクチャ/システム変更後のペネトレーションテストのスケジュール設定このように、サプライチェーンリスク管理策は、世界各国の医療機関の調達基準に組み込まれており、今後、サプライヤー企業およびその外部パートナーは十分注意する必要がある。コメントをキャンセルメールアドレスが公開されることはありません。