シナリオ1：
HealthGenicは、カナダのトロントで患者に包括的な医療サービスを提供する大手総合医療機関です。同社は、患者の健康状態のモニタリング、予約のスケジュール設定、カスタマイズされた医療レポートの作成、患者データの安全な保管、そして患者、医師、臨床検査技師などの様々な関係者間の円滑なコミュニケーションを促進するために、ウェブベースの医療ソフトウェアプラットフォームを多用しています。
組織のサービス拡大と需要増加に伴い、頻繁かつ長期にわたるサービス中断が頻繁に発生するようになり、患者ケアや事務処理に重大な支障をきたすようになった。そこで、HealthGenicは直面するリスクの深刻度を評価するため、包括的なリスク分析を開始した。
リスク分析の結果をリスク基準と比較し、リスクとその重大性が許容範囲内か、あるいは許容できる範囲かを判断しようとした際、HealthGenicはキャパシティプランニングとインフラストラクチャの回復力に重大な欠陥があることに気づきました。この問題の緊急性を認識したHealthGenicは、自社プラットフォームを担当するソフトウェア開発会社に連絡を取りました。ソフトウェア開発会社は、医療技術、データ管理、およびコンプライアンス規制に関する専門知識を活用し、サービスの中断を無事解決しました。
しかしながら、HealthGenicはユーザーアクセス制御への不正な変更も発見しました。その結果、一部の医療報告書が改ざんされ、医療記録が不完全かつ不正確になっていました。同社はユーザーアクセス制御への意図しない変更を速やかに認め、修正しました。これらの変更の根本原因を分析した結果、HealthGenicはIT部門内の職務分掌に関する脆弱性を特定しました。この脆弱性により、システム管理権限を持つ担当者がユーザーアクセス制御も管理できてしまっていたのです。
そのため、HealthGenicは、職務分掌、ジョブローテーション、職務記述書、承認プロセスなど、組織構造に関連する管理を優先的に行うことを決定した。
サービス中断の影響に対応するため、ソフトウェア開発会社はクラウドプラットフォーム上でホストされるスケーラブルなアーキテクチャを採用することでインフラストラクチャを刷新し、需要に基づいた動的なリソース割り当てを可能にした。厳密な負荷テストとパフォーマンス最適化を実施し、潜在的なボトルネックを特定して対処することで、システムがユーザー負荷の増加に円滑に対応できるようにした。
さらに、同社は不正アクセスとデータ改ざんについて速やかに評価を行った。
インターンを含む全従業員がデータセキュリティの重要性と患者情報の適切な取り扱いを認識できるよう、HealthGenicは従業員研修、管理職によるレビュー、内部監査に特化した管理策を導入しました。さらに、患者データの機密性を考慮し、HealthGenicは多要素認証などの強力な認証方法を含む厳格な機密保持対策を実施しました。
HealthGenicは、直面する課題に対応するため、安全なクラウドコンピューティング環境を確保することの重要性を認識しました。そして、クラウドインフラストラクチャと運用方法のセキュリティを評価・強化するために特別に設計された、包括的な自己評価を開始しました。
シナリオ1に基づき、HealthGenicはどのような種類の対策を優先することに決定しましたか？