＜グアム＞「患者の健康に対するより大きなリスクがあった」と弁護士が語る
グアム・メモリアルホスピタルオーソリティの関係者は、グアム・デイリーポスト紙に、病院のネットワークへの「不正アクセス」の複数の事例に関する情報を公開しないことは、患者を守るための戦略的な動きであり、この動きが患者の命を危険にさらすという GMH 看護師からの明確な懸念が提起されたにもかかわらず、このように述べました。
「GMHAは、このような状況下でも、患者さんに対して同じレベルの優れたケアを維持しています。より困難な状況でしたが、私たちのスタッフはその困難に立ち向かいました。この事態の結果、私たちのサービスのどれもが停止したわけではありません。GMHの広報担当者であるシンディ・ハンソン氏は、「私たちの医療パートナーは非常に優秀で、サービスに影響が出ないよう、必要なところでサポートしてくれた」と述べました。
しかし、GMHのリリアン・ポサダス管理者、ジェレマイア・ルーサー法律顧問、看護師を含むGMHスタッフによる、情報漏洩から1週間後のタウンホールミーティングの音声記録をポストが入手したところ、第一線で働く看護師たちは、GMHが当初「情報漏洩」と認定したネットワーク停止によって患者ケアを損なったというメッセージを管理者に断固として伝えようとしたとのことです。
「この7日間、私たちの診療がいかに安全でなかったかを、あなた方は理解していないと思います。なぜなら、この7日間、私たちが働いていた状況では、診療に失敗しうる、あるいは失敗している、非常に多くの微細な事柄があったからです。もしあなたが私たちの立場だったら、この患者の命より重要なセキュリティ違反はないと言うでしょう」と、ある看護師は声に苛立ちをにじませながら言いました。
録音で聞いた別の看護師は、50以上の病院で20年以上の経験があると言い、GMHの情報漏洩への対応に愕然としたと話します。
「仕事に行くのが怖くなったのは、これが初めてです」と、その看護師はGMHのリーダーに言いました。「今この瞬間、この病院にいるすべての患者が危険にさらされていることを知ると、明日出勤するのが物理的に恐ろしくなります。災難を通り越しています」
ルーサー氏はその後、録音で聞いた看護師と面会しました。
「私は彼らと個別に話をしました。この件が始まった当初から、ダウンタイムが原因で患者に危害が加えられた、あるいは危害が加えられる可能性があるという具体的な事例を私に知らせるようスタッフに求めてきました」とルーサー氏はGuam Daily Post紙に語っています。
しかし、害がなかったからといって、リスクがなかったとは言えないと彼は言います。
ルーサー氏は、「今、私に提示されている情報では、投薬に問題があり、デジタルから手動になったことで遭遇するとわかっていた患者の健康に対するリスクが大きくなった」と述べ、システムの停止による負傷の「特定の事例」を把握していないことを明らかにしました。
保健委員会の副委員長であるジョアン・ブラウン上院議員は、情報通信システムがオフラインになってから死者は出ていないとの認識を示しつつ、「不正アクセス」に対する病院の対応には批判的で、月曜日に議長や他の議員数人と病院を訪問した際には「不快感」が残ったと指摘しました。彼女は、GMHはまだいくつかの是正措置を実施していないと述べました。
スタッフからの質問
この音声は、「情報漏洩」が発覚してから1週間後に録音されたもので、看護師たちは、ネットワークが最初にシャットダウンしたときに、なぜ事故対策本部が出動しなかったのかと質問しています。
「もし、誰かが私たちのシステムを壊したり、侵入したりしたことが少しでもわかっていたのなら、その日のうちに誰かが事故対策本部を立ち上げるべきでした。待つべきではなかったのです。これは台風と同じです。ある看護師は、「翌日に出社したときにも、このような事態が発生していることを知りました。翌日に出社しても、自分たちが今どこにいて、その日のために何をすべきか、患者を守るために何をすべきかを考えていたので、てんやわんやだった」と語っています。
録音で聞いたポサダス氏は、計画を立てるのに十分な時間がなかったと述べました。
「私は、できる限りすべてを伝えようとしています。当初、閉鎖の必要性を告げられたときは、ほとんど時間がなかったのです。実際には、すでに閉鎖することが決まっていたのです。計画を立てる時間もありませんでした。とても緊急性が高く、……計画もありませんでした。電話線に影響が出るかどうかもわかりませんでした」と、ポサダス氏はGMHの看護師たちを明らかに失望させました。
GMHは、火曜日、ポスト紙への声明の中で、「挑戦」に立ち向かい、サービスの停止を防いだ職員に感謝したが、ネットワーク停止中に継続的なケアを提供するために職員が克服した苦労は詳述されていません。
しかし、GMHは、いつ、どのように国民に通知するかという計画を立てており、病院がまだデータシステムへの不正侵入者を特定しようとしていたことから、最適なタイミングを検討したそうです。
「3月2日に不正アクセスが発覚した時点では、発信元を特定できていませんでしたし、不正アクセスを行った事業者に警告を出さないために、情報を共有することもありませんでした。もし、不正アクセス元が特定されたことを知らされていたら、システムから自分の存在を消すことができ、さらに損害を与える可能性があるという懸念がありました」とハンソン氏は言います。
そのため、情報漏洩の公表を遅らせたのだといいます。
「私たちは、ネットワークをダウンさせることが、患者の健康情報やネットワークそのものを危険にさらすことのないよう、未承認のユーザーをシステムから追い出す最も迅速でクリーンな方法であると判断しました」とルーサー氏は言います。
このシャットダウンは、48時間から72時間の予定で、3月4日に開始されました。しかし、火曜日の報道時点では、GMHはオンライン化されたサービスはないと発表しています。
「明らかに評価は間違っていた」とルーサー氏はポスト紙に語っています。
また、患者さんのケアをサポートするためのオペレーションが、手動やアナログモードでどのように実行されるかを適切に考慮することなく、ネットワークがシャットダウンされたことに対して、スタッフが不満を口にするのは当然だったかもしれません。
「間違いがあったのなら、それはおそらく政権が犯した間違いだろう、…。私は、その設定や設定しないことの決定には関与していないので、政権の考えを推測することはできません。… それは政策的な決定です。私は、そのような政策や意思決定には関わらないようにしています」とルーサー氏は言いました。
GMHの弁護士が確認したところでは、シャットダウン予定期間中の「ダウンタイム」の可能性も考慮されたとのことです。
「私が推察し、推測するとすれば、やはり、休日のある週末に48時間のダウンタイムが発生し、その時にインシデント・コマンド・センターは必要ないという理論で運営されていたという事実によるものです」と彼は言っています。
ルーサー氏は、GMHの管理部門のもとでは、政策立案的な役割を担っていないと言いました。彼は、自分の注意を喚起された特定の状況において、査定評価に従事しています。
「私は全知全能ではない」と彼は言いました。
彼は、ポスト紙と話をしたときに、マニュアルのプロトコルが稼働していると言いました。病院の情報技術部門は、システムがオンラインに戻ったら、なぜダウンタイムが予測を上回ったのかを調査する予定だと彼は付け加えました。
録画が流出
ルーサー氏は、まずGMHのスタッフとミーティングを行い、それから一般に通知するつもりだったが、その計画が実行される前に、タウンホールミーティングの録音が漏れてしまったと語りました。
GMHが侵入を発見した当初、ルーサー氏はこれを「違反」と表現したが、この件に関する非公開のイベントに出席した関係者に対しては、この言葉を誤って使っていたと火曜日に述べています。
ブリーチ（Breach）は動詞として、障壁や防御を突破することと定義されています。
GMHは、病院のデータに不正アクセスした者が「ファイアウォールを通過」しなかったため、今回の事態は「違反」ではないと主張しました。
ルーサー氏は、タウンホールの後、病院のIT部門から、検出された事件は「不正アクセス」に相当するとの報告を受けたとポスト紙に語っています。
米国国立標準技術研究所によると、これは、ネットワーク、システム、アプリケーション、データ、その他のリソースに許可なく論理的または物理的にアクセスする場合に発生するとしています。
連邦捜査局による病院への訪問は、木曜日に予定されています。GMHのIT部門は、「不正アクセス」の範囲を確認するために24時間体制で作業しているとルーサー氏は述べました。
現時点では、ログの性質とFBIに引き渡される内容を見れば、セキュリティ上の欠陥があることがわかるとルーサー氏は言いました。
ルーサー氏は、「彼らが実際に見たのは、セキュリティ上の欠陥が悪用され、ある個人や個人がネットワークに不正にアクセスできるようになったということです」と述べました。
この情報に基づいて、病院はFBIを含む適切な当局に通知しましたが、病院のIT部門は、この脅威はグアムに限定されたものではないと考えており、したがって、グアム検事総長事務所には知らせないようにしたと同氏は述べています。
火曜日の午後の時点で、GMHのシステムの約75％が復旧したとハンソン氏は述べています。「これは流動的な状況であり、明確な時間枠をお伝えすることはできません」と彼女は述べました。
