米国政府の新たなサイバーセキュリティパフォーマンス目標は、米国の病院や他の医療機関で情報セキュリティを担当する部門にとって重要である。1 月、米国保健福祉省（HHS）は、医療に特化した任意のサイバーセキュリティパフォーマンス目標（CPG）を発表した。目標には 2 種類ある：基本目標と高度目標である。重要なサイバーセキュリティパフォーマンス目標：もしあなたが米国の病院や他の医療機関で情報セキュリティを担当しており、政府の新しい「任意」のサイバーセキュリティパフォーマンス目標（CPG）を、まあ、任意だと考えるなら、あなたは警告サインを無視していることになる。「CPG の利点は、風がどこに向かって吹いているのか、組織が何に取り組むべきかという基準と期待を示していることです」と、Google Cloud の最高情報セキュリティ責任者室ディレクター、テイラー・レーマン氏は述べる。「今日実現しないかもしれませんが、HHS の文書に記載されていることは、最終的な規制や法的強制力を持つ新たな規制要件になる可能性が高い」とテイラー・レーマン氏は語った。「任意であるということが、何もしなくてよいという意味だと思うなら、それはおそらく間違いです。任意の目標が義務化されることは、医療分野の他のセキュリティ規制でもよくあることです。」情報セキュリティは依然として課題である。1 月初旬、2023 年にランサムウェア感染やデータ窃取の被害を受けた医療ネットワークが過去最多の 46 件（病院数
141）に上った中、ホワイトハウスがまもなく米国の病院に対し、連邦資金を受け取る前に基本的なサイバーセキュリティ基準を満たすよう義務付けるのではないかとの噂が流れた。この期間、侵入を行った犯罪者たちは、病院に身代金を支払わせるために、ますます危険な恐喝手法を用いた。病院規制について尋ねられたメディケア・メディケイドサービスセンター（CMS）は、Sign-up に対し、12 月に発表された米国保健福祉省（HHS）のサイバーセキュリティ戦略を説明する構想文書を参照するよう回答した。二つの目標 1 月下旬、米国保健福祉省は医療に特化した任意の CPG を発表した。これらの目標は基本と高度の 2 つのカテゴリに分かれており、それぞれのカテゴリには、サイバー攻撃からより良く身を守るために取ることができる 10
の具体的な対策が含まれている。基本目標は、すでに病院や診療所で導入されていることが望まれる初歩的なセキュリティ対策のように見える。しかし、テイラー・レーマン氏によれば、それらはすべて実際の攻撃と侵害に基づいているという。「これらはすべて非常に明白だと言いたいところですが、明らかにすべてが公にされているわけではありません」と彼は述べた。それらには、既知の脆弱性の緩和、多要素認証の使用、電子メールセキュリティの実装、安全な行動に関する従業員トレーニング、機密データの暗号化、従業員、契約業者、ボランティアが組織を離れる際の資格情報の無効化が含まれる。基本的なインシデント対応計画、一意の識別子の使用、ユーザーアカウントと特権アカウントの分離、ベンダーリスク評価も、基本目標の一部である。もう一つの重要な目標である、従業員が退職する際の資格情報の無効化も、見かけほど簡単ではない。「大学医療システムで、5
つ以上の学術施設がある場合、学生がいつ卒業し、いつ去るのかを把握できません」とライマン氏は述べた。データの機密性、および患者の個人識別情報（PII）と健康データの保護は、機密情報の保護に違反すると政府機関との間で問題が生じる可能性があるため、長い間、医療を確保するための唯一の目標と見なされてきた。「可用性は機密性と同様に、あるいはそれ以上に重要です」とレーマン氏は述べた。彼はさらに、多くの医療機関がセキュリティをこのように捉えるように十分に進化していないと付け加えた。「データが侵害されるかどうかは気にかけますが、それで死ぬことの方がもっと心配です。」