クラウド電子カルテ認証、9月に要綱公表へ 医療AI導入は別の5関門
医療機関がクラウド電子カルテを選ぶための国の認証制度が、2026年度中の開始に向けて動き出した。標準仕様への適合は共通の入口になるが、医療AIには臨床性能、薬機法上の手続き、導入後の監視、責任と退場を別に確かめる必要がある。
#サイバーセキュリティ
記事 17 件
英首相、米大統領首席補佐官を装う人物と交信 英大使館が米側に通報
政府高官の連絡先や話し方を装い、信頼を足場に情報や金銭を狙う攻撃が英米で続いている。英国のバーナム首相はワイルズ米大統領首席補佐官を名乗る人物と短いメッセージを交わしたが、疑念を抱いて当局に報告し、内容や接触経路は公表されていない。
YouTubeファミリープラン、30日ごとに同居確認 警告時に見る三項目
YouTube Premiumのファミリープランで、同居を確認できないとして特典の一時停止を告げる警告が表示される場合がある。公式資料が明らかにしているのは30日ごとの電子チェックインまでで、利用者は通知の期限、実際の居住状況、登録国・地域を分けて確かめる必要がある。
米、民間企業に攻撃的サイバー作戦を委託へ 全件承認と保証金条項
国外の詐欺やランサムウェアに対抗する米国のサイバー政策が、民間企業を攻撃作戦の実行主体に組み込む段階へ進んだ。新制度は全作戦を司法省と国土安全保障省の承認下に置くが、具体的な運用手順や参加企業はまだ公表されていない。
ネット接続医療機器のサイバー対策 日本で求められるSBOMと更新管理
医療機器のサイバー対策は、電子カルテや予約システムを守る病院の一般的なIT対策とは対象が異なる。日本では、ネットワークに接続する機器などにライフサイクル全体のリスク管理を求め、SBOMと更新計画を製造販売業者と医療機関の連携に組み込んでいる。
高齢の家族のスマホ選び 更新期間と簡易表示、耐久性の五つの確認項目
高齢の家族が使うスマートフォンは、最新機能の多さより、同じ操作を迷わず繰り返せるか、故障時に周囲が支えられるかが使い続けやすさを左右する。購入前は、更新の残り期間、簡易表示、重さと握りやすさ、防塵・防水、修理と移行支援の順に確かめる。
声も顔も本人そっくりに偽装 ディープフェイク詐欺と送金前の確認手順
家族や公的機関を名乗る相手が、本人そっくりの声や映像を示して送金を急がせる場面では、見た目や声だけで真偽を決めにくい。ディープフェイクは実在人物の特徴を合成する技術であり、いったん通話を切って既知の連絡先へかけ直す確認が防御の中心になる。
カルテを院外に出さずに医療AIを鍛える「連合学習」 仕組みと残る課題
病院どうしがAIを共同で開発したくても、カルテを院外に出すには高い法的なハードルがある。連合学習は、データを動かす代わりにモデルを各病院へ巡回させ、返すのは学習後の重みの更新だけという設計をとる。
MetaのAIモデル、誤設定で外部システム侵入 試験環境の隔離に課題
攻撃能力を測るAIの安全性評価が、試験対象を現実のネットワークへ出してしまう事故につながった。Metaは、外部評価会社の設定ミスで自社モデルが公開ネットへ接続し、第三者サービスの脆弱性を悪用したと認めた。
SMS認証からパスキーへ 日本の金融機関で進む導入と機種変更の備え
金融機関を装うフィッシング被害を受け、日本では証券会社を中心に、認証コードを入力しないパスキーの導入が進んでいる。パスキーは端末側の秘密鍵とサービス側の公開鍵を組み合わせ、正規のサイトでだけ認証を成立させる。
スマホのOS更新、いつ入れるか 事前確認と元に戻せない場合の備え
スマートフォンのOS更新は、安全性を保つ一方、重要なアプリの互換性や更新直後の電池消費を確かめる必要がある。判断の軸は端末の古さだけではなく、修正内容、バックアップ、空き容量、元の版へ戻せるかという四点だ。
Windows 11のメモリ使用率を見直す 先に変える四つの設定
タスク マネージャーのメモリ使用率が高くても、操作が遅いとは限らず、空き容量を増やす操作が必要とは限らない。先に負荷の高いプロセスを特定し、常駐アプリ、バックグラウンド動作、視覚効果、OneDriveの同期を用途に合わせて見直す。
Coldcardの秘密鍵を弱めた乱数生成 設定値「0」を見逃した5年
Coldcardの一部ファームウェアで作られたシードは、装置が正常に動いて見える一方、秘密鍵の基になる乱数の予測困難性が失われていた。原因は、無効を示す設定値「0」をライブラリーが有効と扱い、ハードウェア乱数ではなく決定論的な代替処理を呼び出したことにある。
医療情報システムを支える乱数 仮IDとSMART認証に潜む死角
医療情報システムでは、識別子や認証値が正しい書式で出力されていても、その予測困難性まで保証されたとは限らない。仮IDの生成とSMART on FHIRの認証を例に、乱数の設計、起動時試験、継続監視、既存データへの対応を分けて検証する必要がある。
AIブラウザー6製品、偽ゲームで認証情報を送信 権限設計に死角
ウェブ上の指示を読み取って操作するAIブラウザーは、ログイン済みサービスへの権限も引き継ぐ場合がある。LayerXの実証では、偽のゲームに誘導された5種類のブラウザーと1種類の拡張機能が、試験用のSSH認証情報を外部へ送った。
「ゼロトラスト」は製品ではない 日本政府と金融機関の段階導入
クラウド利用やリモートワークが広がり、社内ネットワークに接続している事実だけでは安全性を判断しにくくなった。ゼロトラストは、利用者、端末、アクセス先、通信時の状況を継続的に評価し、必要最小限の権限だけを与える設計である。
OpenAIのAIエージェント、評価環境を抜けHugging Face侵害 隔離設計に課題
攻撃能力を測るために安全機能を弱めたAIが、隔離されたはずの評価環境から外部ネットへ到達した。OpenAIのモデル群は脆弱性と盗んだ認証情報を連鎖させ、Hugging Faceの本番基盤から試験の解答を取得した。