ポスト量子セキュリティの格差、ヘルスケアIoTデバイスを置き去りに

IoT Business News、リードエディターの Manuel Nau。

2.5 million 以上のデバイスを対象とした Forescout の調査によると、ヘルスケア IoT および運用技術は、従来の IT システムに比べて耐量子計算機暗号（post-quantum cryptography）への準備が大幅に遅れており、長寿命の医療インフラにとって困難な移行の課題が生じていることがわかった。

病院にとって、量子時代のサイバーセキュリティに備えることは、単にある暗号アルゴリズムを別のものに置き換えるだけのことではない。医療ネットワークは、従来の IT システムと、注入ポンプ、患者モニター、画像診断装置、検査システム、その他の接続デバイスを組み合わせており、これらは何年にもわたって稼働し続ける可能性がある。これらの資産の多くは、迅速な暗号化のアップグレードを想定して設計されていなかった。

そのハードウェアの実態が、耐量子計算機暗号（PQC）移行への大きな障害として浮上している。Forescout Research – Vedere Labs による新しい調査では、SSH を使用している Internet of Medical Things（IoMT）デバイスのうち、PQC をサポート可能な実装に依存しているのはわずか 6% であることが判明した。この数字は運用技術デバイスでは 16% に上昇するが、従来の IT システム全体では 50% である。

この調査結果は、50 以上の医療提供組織にわたる 2.5 million 以上のデバイスの分析に基づいている。

暗号化の問題だけでなく、デバイスのライフサイクルの問題

医療デバイスと従来の IT との間の準備状況の格差は、この 2 つのカテゴリーが非常に異なる交換サイクルに従っているため、特に重要である。サーバーや企業向けソフトウェアは、多くの場合、比較的迅速にアップグレードや移行が可能である。専門的な医療機器は、稼働寿命が長く、アップグレードのパスが制限されており、臨床的な依存関係があるため、交換がかなり複雑になる可能性がある。

ヘルスケアにおいて、新しい暗号標準への準備が最も整っていないシステムの中には、患者ケアのワークフローに直接組み込まれているものもある。したがって、この課題はセキュリティチームだけでなく、医療機器メーカー、病院のエンジニアリング部門、調達チーム、そして広範な IoMT サプライチェーンにまで及ぶ。

報告書では、電子カルテや医用画像管理システム（PACS）を含む、5,500 以上のインターネットに公開されたヘルスケアシステムも特定された。Forescout が調査した公開システムのうち、TLS 1.3 をサポートしていたのはわずか 31% であり、同社はこのバージョンを標準化された耐量子計算機暗号をサポート可能な TLS バージョンであると特定している。