医療分野の耐量子計算機暗号：Forescoutの調査で、患者データをリスクにさらす重大な準備不足が明らかに

医療モノのインターネット（IoMT）デバイスのわずか6%、OTデバイスの16%しかPQCをサポート可能なSSH実装を使用しておらず、従来型ITデバイスの50%を大きく下回る

米カリフォルニア州サンノゼ、2026年10月6日 – 資産インテリジェンス、エクスポージャー管理、ネットワークセキュリティに注力するサイバーセキュリティ企業、Forescout Technologies, Inc.は本日、Forescout Research – Vedere Labsによる新たな調査結果を発表しました。本調査は、医療機関が耐量子計算機暗号（PQC）への移行準備を進めるうえで直面する課題を検証したものです。レポート「医療分野の耐量子計算機暗号（PQC）：データリスクから移行準備へ」では、50を超える医療提供組織（HDO）における250万台以上のデバイスを分析し、将来の量子コンピューターを利用した攻撃に対して機微な医療データを脆弱な状態に置きかねない、重大な準備不足を特定しています。

耐量子計算機暗号（PQC）とは、将来の量子コンピューターによる攻撃からデータを保護するために設計された、新世代の暗号アルゴリズムを指します。新たな調査では、医療機関のIoMTおよびOTデバイスが従来のITシステムに比べて大幅に遅れており、患者データをリスクにさらしていることが判明しました。

主な調査結果

• 現在PQCをサポートするSSH実装を使用しているのは、IoMTデバイスのわずか6%、OTデバイスの16%であり、ITデバイスの50%に比べて大幅に低い。
• 電子医療記録（EMR）や画像保存通信システム（PACS）など、機微な医療データを含むプラットフォームを含め、インターネットに公開された医療システムが5,500件以上確認された。
• 公開されている医療システムのうち、標準化されたPQCをサポート可能な唯一のTLSバージョンであるTLS 1.3に対応しているのは31%にとどまる。
• ネットワーク内での存在感（接続状況）、外部公開の状況、取り扱うデータの機微性に基づくと、現在最もリスクが高い医療データの上位5種類は、電子医療記録（EMR）、医用画像、検査結果、投薬・処方データ、財務・決済情報である。

「医療機関は、量子コンピューティング時代への準備において特有の課題に直面しています」と、ForescoutのOT、ヘルスケア、サイバーリスクソリューション担当バイスプレジデントであるDaniel Trivellatoは述べています。「他の多くのデータとは異なり、患者情報は数十年にわたり価値と機微性を持ち続けるため、『今収集し、後で復号する（HNDL: Harvest-Now, Decrypt-Later）』攻撃に対して特に脆弱です。この攻撃では、攻撃者が現在暗号化されているデータを収集し、十分に強力な量子コンピューターが利用可能になった時点で復号することを意図しています。病歴、診断画像、検査結果、処方記録、その他の医療データは、漏えいした場合に単純にリセットしたり置き換えたりすることができません。組織は、これらのデータがどこに保存され、環境内をどのように移動し、どのシステムがPQC標準への移行で最も困難になるかを把握する必要があります」

専用デバイスが量子暗号への移行課題を生む

レポートによると、医療環境では、ライフサイクルが長く、アップグレード手段が限られ、最新の暗号標準の採用が遅いことが多い専用のオペレーショナルテクノロジー（OT）、医療モノのインターネット（IoMT）、IoTデバイスへの依存が依然として高いことが明らかになりました。これらのシステムの多くは、輸液ポンプ、患者モニター、画像診断システム、検査機器など、患者の診療に直接関与しています。

現在の暗号を破ることができる量子コンピューターはまだ実用化されていませんが、その到来は急速に近づいており、医療機関は政府、標準化団体、規制当局から、今すぐ移行計画を開始するよう求める圧力の高まりに直面しています。問題は、多くのデバイスに量子耐性を備えた代替手段がまだ存在せず、他のデバイスも交換に高いコストがかかる、または交換が困難な場合が多いことです。このため、ネットワークセグメンテーション、アクセス制限、監視強化などの補完的統制が、PQC移行計画の重要な要素となります。

「PQCへの移行は、単なる暗号化のアップグレードプロジェクトではありません」と、Forescoutのリサーチ担当バイスプレジデントであるDaniel dos Santosは述べています。「医療提供者は、最も機微なデータをどの資産が保存、処理、転送しているのか、どのシステムを現実的にアップグレードできるのか、どこで補完的統制が必要になるのかを把握する必要があります。私たちの調査では、移行準備が最も遅れているデバイスが、医療機関が患者の診療において最も依存しているデバイスでもある場合が多いことが示されています。実行可能な移行戦略を構築するには、それらの資産と、それらが取り扱うデータを可視化することが不可欠です」

医療機関への推奨事項

Forescoutは、PQCへの移行に備えるため、医療機関に以下を推奨しています。

• 接続されているすべてのIT、OT、IoT、IoMT資産について、他の資産との通信を含めて棚卸しと分類を行う。
• インターネットに公開されたシステム、パートナー接続、患者向けポータル、外部APIを優先する。
• 可能な限りTLS 1.3を適用する。
• 現在PQCをサポートする資産を評価し、アップグレード、交換、または補完的統制が必要なシステムを特定する。
• PQCへの準備状況を、ガバナンス、調達、リスク管理のプロセスに組み込む。
• アップグレードできないレガシーシステムをセグメント化し、隔離する。
• ベンダーと連携し、各社のPQCロードマップと移行スケジュールを把握する。

Vedere Labsの調査結果は、完了までに数年を要する可能性が高い移行に向けて、医療機関が今すぐ準備を開始する必要性を改めて示しています。量子コンピューティングの能力が進歩し続ける中、自組織の資産を把握し、最も機微なデータを優先し、段階的な移行計画を策定している組織は、患者情報を保護し、規制遵守を維持するうえで、より有利な立場に立つことができます。

全文レポート「医療分野の耐量子計算機暗号（PQC）：データリスクから移行準備へ」をご覧ください。また、移行準備のガイダンスとして、ForescoutのPQC準備に向けた5つのステップ eBookをご参照ください。Frontier AI時代に制御を取り戻す方法については、Forescoutのホワイトペーパー「The Control Gap」をご覧ください。

よくある質問

Q：耐量子計算機暗号（PQC）とは何ですか？
A：耐量子計算機暗号とは、従来型コンピューターと量子コンピューターの両方による攻撃に対して安全性を維持するよう設計された暗号アルゴリズムを指します。

Q：医療分野は、なぜ量子コンピューターの脅威に対して特に脆弱なのですか？
A：医療機関は、数十年にわたり価値を持ち続ける、極めて機微な患者情報を大量に保管しています。このため、医療データは「今収集し、後で復号する」攻撃の魅力的な標的になります。

Q：最もリスクが高い医療データは何ですか？
A：レポートによると、現在最もリスクが高い5種類のデータは、電子医療記録（EMR）、医用画像、検査結果、投薬・処方データ、財務・決済情報です。

Q：全文レポートはどこで入手できますか？
A：レポート「医療分野の耐量子計算機暗号（PQC）：データリスクから移行準備へ」は、こちらからご覧いただけます。

Q：Forescoutは、医療機関のPQC移行準備をどのように支援できますか？
A：Forescoutは、IT、OT、IoT、IoMT環境全体にわたる継続的な資産の棚卸しと分類を提供します。これにより、医療機関は、機微なデータを取り扱うシステムを特定し、PQCへの準備状況を評価し、Forescout Vistaro™プラットフォームを通じて、移行と補完的統制の優先順位を付けることができます。

Share This: Share on LinkedinShare on TwitterShare on Facebook