量子解読攻撃に耐えられる医療機器はわずか6％

医療機関は、診療記録を守る標準的な暗号の防壁を崩しかねない将来の量子コンピューティング能力に対し、十分な保護策を整えられていない。¹ セキュリティーアナリストによる評価では、病院の機器は現時点で量子攻撃への防御が著しく不足しており、医療機器は従来型のコンピューターインフラに大きく後れを取っている。¹ サイバーセキュリティー企業フォアスカウトの調査部門が実施した監査によると、量子レベルの解読を防ぐ対策を備えている医療機器はわずか6%だった。¹ この数字は、量子耐性を備えたセキュリティー構造をすでに導入している従来型の企業向けコンピューター資産の50%と比べ、大きな差がある。¹ この調査結果は、医療分野全体が、この重大な変化に備えてデジタル防御網を整える取り組みで大幅に遅れていることを示している。¹

量子ハードウェアは量子力学の原理を利用して情報を処理する。理論家は、量子コンピューターが従来のコンピューターインフラよりも複雑な計算を飛躍的に速く実行すると見込んでいる。¹ こうした処理装置はかつて純粋な仮説上の存在と見なされていたが、数年以内に実用化され、前例のないセキュリティー上の課題をもたらす可能性がある。¹ 世界各国の政府機関や民間企業は、高性能の量子プロセッサーが従来の数学的暗号を容易に無効化することを懸念している。従来の暗号は現在、金融から医療まで幅広い分野で機密情報をランダムな数字に変換している。¹ これを受け、敵対者が脆弱な標的を侵害する前に、従来型コンピューターと高度な量子プロセッサーの双方からの侵入を防ぐアルゴリズムを導入する、耐量子計算機暗号の展開を急ぐ国際的な取り組みが始まっている。¹

医療現場の備えを測るため、研究者は50以上の病院施設で稼働する250万台を超える機器を調査した。¹ 調査対象の一覧から、輸液ポンプやベッドサイドの生体情報モニターなどの専門的な医療機器は、標準的なコンピューターサーバーやオフィス用ワークステーションに比べ、耐量子計算機暗号の基準への対応が著しく遅れていることが分かった。¹ 一般的な医療施設では従来型の企業向け機器がネットワーク接続されたハードウェア全体の66%を占めるが、現代的な暗号方式への移行から取り残された医療機器は、システム全体に大きなリスクをもたらす。¹ 医療従事者がベッドサイド業務で常に頼りにしている一方、治療機器はパッチ適用や再設定が非常に難しいことで知られており、課題をさらに複雑にしている。¹

監査ではさらに、医療関連企業で稼働する、外部からアクセス可能なポータルやプログラム可能なアプリケーション・インターフェースを5,500以上調べ、ネットワーク全体のリスクを精査した。¹ 外部に公開された接点のうち、新たな耐量子計算機暗号の要件に技術的に対応できる通信プロトコルを維持していたのは、わずか31%だった。¹ こうした外部システムと内部の医療機器は重要な診療情報を扱うため、電子化された患者カルテ、医療画像、検査結果などの重要な資産が深刻な危険にさらされている。¹ 調査結果は、十分に保護されていない医療機器やウェブゲートウェイを通じ、機密性の極めて高い医療記録が日常的に送信、閲覧、保存されているため、こうした記録が特有の脆弱性を抱えていることを裏付けている。¹

フォアスカウトで運用技術と医療分野のサイバーリスク対策を統括する副社長を務めるダニエル・トリベラート氏は、今後数日のうちに実用的な量子ハードウェアによる攻撃が病院に迫っているわけではないと説明した。¹ むしろ差し迫った問題は、敵対者が現在、暗号化されたデータを収集し、将来のコンピューターで解読できる時まで保管するという手法にある。¹ 評価報告は、最終的な解読の脅威が現実になるのはまだ数年先である一方、悪意ある組織がすでに暗号化された医療記録を蓄積している可能性があるため、直ちに対策が必要だと指摘している。¹ この受動的な収集を想定しなければ、実用的な量子解読が現実のものとなった瞬間に、過去の記録が広く暴露される恐れがある。¹

診断履歴、医療画像記録、検査結果、服薬記録は数十年にわたって機密性と有用性を保つため、遅延解読を狙う手法の下で医療業界は特に大きな危険にさらされている。¹ 侵入後すぐに無効化して再発行できるクレジットカード情報とは異なり、人の遺伝的特徴や生涯にわたる病状は、その人の一生を通じて変わらない。¹ 医療データは長期間にわたって機密性を保つため、サイバーセキュリティー当局は病院幹部に対し、対策を先送りせず、耐量子計算機暗号への移行に速やかに取り組むよう求めている。¹ 量子プロセッサーが実用化されてからセキュリティーを強化しても、蓄積されたデータベースは、過去のネットワーク通信を傍受していた者に取り返しのつかない形で解読されることになる。¹

この新たな暗号上の課題は、医療現場を襲う既存の破壊的なサイバー攻撃の波と並行して進行している。¹ フォアスカウトは、今年1月から8月までに世界の医療機関に対する恐喝・ランサムウェア攻撃の公表が461件あったと記録した。これは前年の同じ期間に比べ47%増だった。¹ こうした攻撃の主な標的は米国の施設で、記録された恐喝の申し立て全体の60%超を占めた。¹ IBMの財務統計によると、医療データの漏えいが発生した場合、組織が負担する費用は平均で約$6.64 millionに上る。¹ アナリストは、こうした多額の財務的損失が、医療システムにとって長期的な量子耐性への投資を急ぐ理由になると指摘している。¹

経営幹部に向け、トリベラート氏は、病院の経営者は量子防御を、緊急に今すぐ支出するか、ハードウェアが登場するまで何もしないかの二択と捉えるべきではないと述べた。¹ その代わり、標準的な技術調達サイクルや複数年にわたる機器更新に耐量子計算機の要件を組み込めば、将来的に大規模で無秩序な修復費用が発生するのを防げる。¹ 基準を設定するため、同氏は医療機関の管理者に対し、まず接続された全機器を登録し、リスクの高いネットワーク構成要素を徹底的に洗い出すよう助言した。¹ 既存のデジタル依存関係を可視化すれば、重要な期限が来る前に、最新の暗号更新に対応できない旧式機器を特定できる。¹

量子耐性ネットワークへの移行に着手する組織は、技術的な基準の策定を担う連邦機関、米国立標準技術研究所が作成した指針に沿って、技術戦略を立てることができる。¹ 同研究所は2024年、業界横断的な近代化を促すため、耐量子計算機暗号に関する初の正式な基準一式を公表した。¹ 報告によると、医療機関は公表済みの連邦指針をすぐに活用できる一方、医療分野に特化した法的義務はまだ確定していない。¹ トリベラート氏は、医療ネットワークに独自の耐量子計算機要件が課されるのか、それとも量子耐性が既存のコンプライアンス義務に単に組み込まれるのか、監督当局はまだ明確にしていないと強調した。¹