医療従事者や病院スタッフのアクセス制御は、機密性の高い患者データを保護するための重要なゲートウェイです。テキサス州ヒューストンを拠点とする非営利の地域密着型医療システムであるMemorial Hermann Health System（MHHS）は、保護対象保健情報（PHI）が攻撃者の格好の標的になる医療記録であることを理解しています。11件の病院にわたり、事務スタッフ、医療従事者、ボランティア、学生など63,000人以上のユーザーを抱えるMHHSは、データを危険にさらすことなく、大きな成果を生み出す患者ケアの提供を支援するテクノロジーソリューションを必要としています。
こうしたテクノロジーへのアプローチにより、MHHSはアイデンティティをセキュリティ戦略の主要な要素として扱うようになりました。「アイデンティティの属性はすべて、適切に管理されなければ重大な損害を引き起こす可能性があります」と、副CISOのZach Phillippe氏は述べています。「個人が何を実行でき、何を閲覧でき、自社のシステムとどのようにやり取りするかを把握することは、他のあらゆる形態のサイバーセキュリティと同様に価値のあることです」
患者データの保護に向けてエンタープライズレベルのセキュリティコントロールを導入
組織の成長に伴い技術スタックも拡大し、システム全体で200を超えるサービスとしてのソフトウェア（SaaS）アプリケーションが展開される中で、チームはこうしたクラウドベースのアプリすべてで可視性を維持する方法を必要としていました。MHHSの既存プロセスは、散在するスプレッドシートと手作業によるアクセスレビューを伴っていたため、多大な労力と時間を要するものでした。「アクセス制御を常に最新の状態に保つことが私たちの責任です」と、サイバーリスクおよびIAM担当ディレクターのPadma Sree Ventrapragada氏は付け加えます。「ただし、レビューを手作業で行っていたときは、すべてを分析し終えた頃には、また最初からやり直さなければなりませんでした」
その一方で、アプリの数が増え続けるにつれて、エンドユーザーからのパスワードリセット要求もますます頻繁になっていました。こうしたリセット要求がITサポートチームの主要なタスクとなり、より複雑な問題に集中できなくなりました。MHHSのチームは、オンプレミスとクラウドベースのアイデンティティ管理に対応し、複雑な組織をサポートして、ユーザーに負担をかけない多要素認証（MFA）を提供できる、エンタープライズ対応のアイデンティティパートナーが必要だと認識していました。「MFAはセキュリティ制御ソリューションのトップ5に入るものであり、Oktaを利用すれば、MFAを導入してセキュリティギャップを解消できると確信していました」とPhillippe氏は述べています。
レジリエンスと日常的なユーザー保護の向上
現在、OktaはMemorial Hermannのクラウドレジリエンス戦略の中核を担っています。ハリケーンやサイバー攻撃によってローカルネットワークがオフラインになった場合でも、臨床医はEMRデータにアクセスして患者の安全を確保できます。「Oktaは当社のシステムと統合できるため、継続的な本人確認と認可が可能になり、レジリエンスが向上します」とPhillippe氏は述べています。「そのアクセスは、患者のケアに直接影響します。臨床医が紙の書類に頼らざるを得なくなると、医療の提供が遅れてしまいます。そのため、私たちは災害時と日常業務の両方に対応できるよう備えておく必要があります」
MHHSは、基本的なアイデンティティ制御と継続的な監視および検知を単一のアイデンティティパートナーに集約することで、認証前、認証中、認証後を通じて、エンドツーエンドのセキュリティをより一貫して提供できます。MHHSの職員は、シングルサインオン（SSO）、Adaptive MFA、FastPassを利用することで、デバイスにアクセスした瞬間からアクセスがシンプルかつセキュアなものになります。これは、システムの拡張ネットワーク内のユーザーであっても同様です。アクティブなMHHSアカウントの95%以上でMFAによってセキュリティが確保されているため、組織は最も重要なシステムがフィッシング攻撃から保護されていると確信できます。
また、チームは、場所やMHHSとの関係を問わず、完全にセルフサービスでパスワードをリセットできるようになりました。このボトルネックを解消し、パスワードに関する他の調整も行ったことで、サービスデスクへのITチケットが半分以下に削減されました。その結果、臨床医はアクセスではなく、患者の治療に集中し続けられるようになりました。
MHHSの中核となる職員以外にも、小規模な地方の医療施設で働く臨床医やスタッフもOktaによってセキュリティが確保されています。これらの施設では、業務にMHHSの電子医療記録（EHR）ソリューションが利用されています。FastPassを使用することで、通常は独立して業務を行う各診療所が、院内のさまざまなデバイスから患者情報やその他の貴重なデータに安全かつ一貫してアクセスできるようになり、患者に継続的なケアを提供できます。
ログインのセキュリティを確保したことで、チームはユーザーリスクを継続的に検知・修復する方法の構築に注力できるようになりました。Identity Threat Protection（ITP）とIdentity Security Posture Management（ISPM）を利用すれば、手動のレビュープロセスから脱却し、継続的なリアルタイム監視に移行できることがわかりました。「MFAだけでなく、当社の状況を大きく変えたソリューションはIdentity Security Posture Managementでした」とPhillippe氏は述べています。「これを使わないのは、トラブルを招くようなものです」
継続的な監視から「継続的な修復」へ
MHHSの臨床医が患者に集中できるようになった一方で、MHHSのセキュリティチームも、より影響の大きいプロジェクトに再び注力できるようになりました。手作業のスプレッドシートによる監査プロセスをITPとISPMの組み合わせに置き換えることで、自動化された継続的なアイデンティティの検知・対応システムを構築しました。この新しいアプローチは、統合されたIdentity Security Fabricの利点を活用して、組織全体のセキュリティポスチャに関する継続的なインサイトをチームに提供します。
ITPは、Oktaのテレメトリーを強化し、アクティブな脅威を修復するリアルタイムの脅威検知と対応を提供する一方、ISPMは、アイデンティティセキュリティハイジーンにおける主要なギャップを監視し、その対処を支援します。「ITPとISPMにより、私たちは特定の時点でのレビューから、組織全体でのリアルタイムかつ継続的な検知と対応へと移行しています」とVentrapragada氏は述べています。「必要な情報がすべて事前に提示されるため、目の前の課題にすぐに対処できます」
この組み合わせは、業務の中断を防ぐための鍵となります。「サイバー攻撃によってインフラが被害を受け、救命救急センターでの治療を他の施設に振り向けなければならなくなると、人命に重大な影響が及びます」とPhillippe氏は述べています。「ITPのようなツールの価値は、私たちにとって計り知れないものがあります。なぜなら、私たちのシステムが安全であれば、患者様も安全だからです」
チームの注意を検知ではなく修復に向けることで、MHHSは次回の監査を待つのではなく、潜在的なセキュリティギャップが出現した瞬間にそれを解消できます。Ventrapragada氏は次のように続けます。「ISPMは自己優先順位付けを行うため、実際には優先度の低い複数の問題が絡み合っている複雑な課題を解決できます。これがなければ、一つひとつ個別に対応していたかもしれません」この優先順位の変更により、チームはこれまで以上に迅速に問題を特定して修正できるようになりました。かつては複数のツールを横断して調査するのに丸1週間以上かかっていたアイデンティティハイジーンの作業が、今では毎週わずか数時間で済むようになっています。
ヘルスケア向けのセキュアなAIエージェントをサポートする自動化の拡大
各業界でAIエージェントをワークフローに統合する動きが進む中、MHHSは、こうしたエージェントをケアエクスペリエンスに導入するために、自社のインフラストラクチャを評価し、そのセキュリティを確保する好機であると捉えています。「AIエージェントをアイデンティティの新しいクラスとして扱うことが重要です」とVentrapragada氏は述べています。「アイデンティティパートナーであるOktaは、すでに人間と非人間のアイデンティティの検出と保護を支援してくれています。この関係を継続してAIのセキュリティを確保していくことを期待しています」
サービスアカウントとAIエージェントの監視・保護に加えて、チームはISPMとOkta Workflowsを組み合わせて、ライフサイクル管理を自動化する新しい方法を検討しています。「ISPMがアイデンティティのギャップを検出し、Workflowsが自動的に修正します。これらが一体となることで、継続的な監視から継続的なアイデンティティの修復へと移行できるようになります」とPhillippe氏は述べています。「そしてOktaチームは、パートナーとして私たちを真摯に思ってくれていることを示してくれました。誰もが得られるものではありませんが、私たちは共に他に何ができるかを見出す準備ができています」
お客様について
Memorial Hermann Health System（MHHS）は、テキサス州南東部で事業を展開する大手総合医療システムです。6万3,000人を超えるユーザーのアクセスを管理するには、職員、医療スタッフ、研修医やボランティアなどの非正規職員を含む、多様な臨床ペルソナと管理ペルソナのセキュリティを確保する必要があります。
