Quest Diagnosticsの検査依頼システムで情報漏えいが発生し、どの記録が流出したのか、患者や医療提供者は知らされるのを待っている。
検査業務を担う同社は10月22日、前日にQuanum Lab Services Managerシステムへの不正アクセスを発見したと公表した。Questは一部の患者記録がアクセスされたとみているが、影響を受けた人数や具体的な記録の内容はまだ分かっていない。
Quanum LSMを利用している医療機関にとって当面の課題は、どの患者とどの種類の情報が影響を受けたのかを待つ間も、検査の依頼と結果の提供を滞らせないことだ。
Questが確認したこと
同社は SEC提出書類で、サイバーセキュリティー・インシデントへの対応手続きを開始し、連邦法執行機関に通知するとともに、外部のサイバーセキュリティー専門家を起用したと説明した。同社によると、このインシデントによって事業運営や患者へのサービス提供能力が重大な影響を受けたことはない。
この公表内容から、社会保障番号や金融情報、特定の検査結果が流出したと判断することはできない。不正アクセスの全容は引き続き調査中だとする APの報道。
これは、関係する情報の内容が患者のリスクと取るべき防御策を左右するため重要だ。過去の医療関連インシデント、たとえば TriZettoの情報漏えいとそれに伴う訴訟では、情報漏えいの通知が迅速かつ明確に行われるかどうかへの懸念が浮き彫りになっている。
患者情報が長期的なリスクを生み得る理由
Corsica TechnologiesのCISOであるRoss Filipek氏は、起こり得る影響は調査で何が判明するかによって異なると述べた。
「QuestのQuanumプラットフォームは、患者情報と日常的な検査業務が交差するセンシティブな場所にあります。アクセスされた情報の内容によっては、犯罪者が個人情報詐欺に使ったり、誰かの治療に関するもっともらしいメッセージを作成したりする材料になり得ます。実際の検査に言及した詐欺は、一般的なフィッシングメールよりはるかに信じられやすく感じられる可能性がありますし、情報が流出した後に患者が自分の病歴を簡単に取り替えることもできません」とFilipek氏は述べた。
これらは起こり得るリスクであり、今回のインシデントで確認された結果ではない。入手可能な公表情報から、犯罪者が影響を受けた記録を詐欺や標的型詐欺に利用したと判断することもできない。
患者は、検査結果やアカウントの復旧、情報漏えいへの支援に関する予期しないメッセージを受け取った場合、個人情報を送信する前に、登録済みの医療提供者の連絡先を通じて確認すべきだ。最近の Microsoft 365カレンダーを悪用したフィッシングキャンペーンが示すように、見慣れた通信を装ったものが認証情報を盗む手段になることがある。
医療提供者が引き続き利用できるもの
Questは不正な活動を発見した後、Quanum LSMへのアクセスを一時停止した。同社は インシデント通知で、中核的な事業運営は継続していると説明した。
顧客が直接利用する検査情報システム（LIS）インターフェースや電子カルテ（EMR）を使っている医療提供者は、そうした接続経由で引き続き検査を依頼できる。Questによると、これらの接続は影響を受けていない。
Questは、早ければ10月23日にもフルサービス機能を復旧する見込みだと説明したが、その見通しはサービスが再開したことを意味しない。影響を受けたQuanum LSMの顧客は、紙の依頼書やQuanum eLabsを使って検査を依頼し、結果を受け取ることができる。Questは結果を取得する方法として、電話やeFaxの選択肢も案内している。
アクセス停止の影響を受けた医療機関は、利用可能な業務手順をQuestに直接確認し、未処理の依頼や結果を追跡すべきだ。その インシデント対応計画では、技術的な調査と並行して、業務継続、コミュニケーション、患者からの問い合わせへの対応責任を割り当てておく必要がある。
アクセスを見直しながら診療を止めない
医療機関のセキュリティーチームにとって、サービスの復旧と患者データ流出の調査には、それぞれ別の対応が必要になる。検査依頼の接続が機能しているからといって、侵入者がどの記録にアクセスしたのかが判明したり、患者への連絡が不要になったりするわけではない。
「医療機関にとって実務上の教訓は、各アカウントがどれだけの患者情報にアクセスできるのかを調べることです。正規の業務フローが記録への経路に変わる前に、異常なアクセスを検知できるよう監視する必要があります」とFilipek氏は述べた。
Quanum LSMを利用している組織は、影響を受ける業務フローを特定し、暫定的な対応を記録するとともに、Questの更新情報を確認する担当者を決めるべきだ。セキュリティー部門とプライバシー部門は、調査結果が明らかになるのに合わせて、影響を受けたアカウントの詳細、アクセス日時、データの種類を確認する必要がある。そうした事実を基にアクセス権を見直し、さらなる調査や防御措置が必要かどうかを判断できる。
患者は、Questの顧客すべてが影響を受けたと決めつけず、確認済みの更新情報を追うべきだ。次に重要な進展は、誰の情報がアクセスされ、そこに何が含まれていたのかがより明確になることだ。それまでは、医療提供者は業務の継続を維持し、具体的な調査結果に基づいて行動できるよう備える一方、患者は連絡内容を確認し、未完了の検査について問い合わせるべきだ。
詳しく読む： DentaQuestの情報漏えいで1,500万人が影響を受けたことは、流出した医療情報と本人確認情報の組み合わせが重要である理由を示している。