[論文レビュー] Mobile Technology in Healthcare Environment: Security Vulnerabilities and Countermeasures

Sajedul Talukder, Shalisha Witherspoon+2 more|arXiv (Cornell University)|Jul 29, 2018

Electronic Health Records Systems参考文献 1被引用数 4

ひとこと要約

本論文は、Epic Roverを対象として、モバイルヘルスケアアプリケーションにおけるセキュリティ脆弱性を評価し、HIPAAおよびNIST基準と整合する包括的なリスク軽減フレームワークを提案する。技術的、管理的、物理的対策を適切に講じることで、医療分野におけるモバイル導入は安全かつコンプライアンスを満たすことができ、臨床効率の向上とエラーの削減に寄与することが示された。

ABSTRACT

Mobile devices and technologies offer a tremendous amount of benefits to users, although it is also understood that it introduces a set of challenges when it comes to security, compliance, and risks. More and more healthcare organizations have been seeking to update their outdated technology, and have considered the adoption of mobile devices to meet these needs. However, introducing mobile devices and technology also introduces new risks and threats to the organization. As a test case, we examine Epic Rover, a mobile application that has been identified as a viable solution to manage the electronic medical system. In this paper, we study the insights that the security team needs to investigate, before the adoption of this mobile technology, as well as provide a thorough examination of the vulnerabilities and threats that the use of mobile devices in the healthcare environment brings, and introduce countermeasures and mitigations to reduce the risk while maintaining regulatory compliance.

研究の動機と目的

• 医療環境におけるモバイルデバイスの導入に関連するセキュリティ脆弱性および脅威を評価すること。
• 電子的患者健康情報（EPHI）へのアクセスを目的としたモバイルソリューションとしてのEpic Roverの実現可能性およびセキュリティ体制を評価すること。
• HIPAAおよびNISTサイバーセキュリティフレームワークと整合するリスク軽減戦略を特定および実装すること。
• モバイルデバイスの導入が医療機関にとって正当化可能かどうかを判断するための定性的リスクアセスメントを実施すること。
• BYODおよび企業所有デバイスモデルを含む、安全な展開のための実行可能な提言を提供すること。

提案手法

• Epic Roverに対する脅威および脆弱性分析を実施し、12の主要な脅威とそれに対応する脆弱性を同定した。
• HIPAAセキュリティルールに定める管理的・物理的・技術的対策を、NISTサイバーセキュリティフレームワークの機能にマッピングした。
• 脅威の発生確率、影響度、固有リスク、残存リスクを評価するための定性的リスクアセスメントマトリクス（表IV）を構築した。
• エンドツーエンド暗号化、セキュアな無線アクセス、およびセキュアな送信プロトコル（例：HTTPS、S/MIME）などの技術的対策を提案した。
• 二要素認証、ロールベースアクセス制御、および必須のユーザー教育を含む管理的対策を実装した。
• リモートワイプ、フルディスク暗号化、自動OS/アプリ更新などのデバイスレベルの保護を推奨した。

実験結果

リサーチクエスチョン

• RQ1 Epic Roverのようなモバイルデバイスを医療現場で使用する際の主なセキュリティ脆弱性および脅威は何か？
• RQ2 既存の規制基準（HIPAA）と業界フレームワーク（NIST CSF）は、モバイルヘルスケアセキュリティのニーズとどのように整合するか？
• RQ3 EPHIの露出リスクを低減するために、技術的・管理的・物理的対策のうち、どの措置が効果的か？
• RQ4 推奨される対策を実装した後の残存リスクレベルはどの程度であり、モバイル導入は依然として正当化可能か？
• RQ5 Epic Roverのようなモバイルヘルスケアアプリケーションを展開する際、使いやすさ、効率性、セキュリティのバランスをどのようにとれるか？

主な発見

• Epic Roverは、医療歴、検査結果、生命徴候を含む患者データのリアルタイムアクセスを可能にし、臨床ワークフローの改善と文書作成エラーの削減に寄与している。
• 本研究では、不正アクセス、データ漏洩、デバイス紛失など、12の顕著な脅威を同定し、そのリスクレベルは高～中程度であった。
• 暗号化、リモートワイプ、二要素認証、セキュアなネットワークプロトコルの導入により、残存リスクが許容可能な水準まで低減された。
• 定性的リスクアセスメントマトリクス（表IV）は、適切な対策を講じれば、モバイル導入の利点がリスクを上回ることを確認した。
• デバイス暗号化、アクセス制御、定期的なパッチ適用を強制することで、組織はHIPAA準拠を達成し、攻撃面も縮小できる。
• ユーザー教育および意識向上プログラムは、デバイス紛失やフィッシング攻撃などの人的要因に起因するリスクを軽減する上で不可欠であると判明した。