موضوع المشاركة: إشارة وسائل الإعلام

ستخضع مؤسسات الرعاية الصحية بجميع أشكالها وأحجامها لمعايير أكثر صرامة للأمن السيبراني بدءًا من عام 2025 مع القواعد المقترحة الجديدة، ولكن ليس كلها لديها الميزانية اللازمة لذلك.

منذ البداية، كان قانون HIPAA دائمًا هو الأفضل، رغم أنه غير كافٍ، في تحديد الأمن السيبراني لصناعة الرعاية الصحية.

"يوجد تاريخ من التركيز في المكان الخطأ بسبب الطريقة التي تم بها وضع قانون HIPAA في منتصف التسعينيات"، كما يقول إيرول فايس"في ذلك الوقت، كان هناك هذا الدفع الكبير لنقل السجلات الطبية والصحية إلى الوسائط الإلكترونية. ومع ظهور لوائح HIPAA، كان الأمر كله يتعلق بحماية خصوصية المرضى ولكن ليس بالضرورة تأمين هذه السجلات."

لقد أدى تركيز قانون HIPAA على الخصوصية إلى الحد من قدرته على معالجة تهديدات الأمن السيبراني الأكثر تنوعًا في العقد الأول من القرن الحادي والعشرين، وخاصة برامج الفدية. وفي الوقت نفسه، بدلاً من استخدامه كأساس لتطوير موقف أمني قوي، كانت المنظمات تميل إلى التعامل مع قانون HIPAA باعتباره مجموعة من المربعات التي يجب التحقق منها. "لقد انتهى الأمر توجيه الميزانيات نحو الامتثال وليس بالضرورة الأمنويقول فايس: "في السنوات الخمس أو الست الماضية، رأينا ما يحدث في بيئة غير مؤمنة بشكل صحيح، وغير مقيدة بشكل صحيح، وغير مدعومة بشكل صحيح، عندما تتعرض لهجمات برامج الفدية".

ويقدر بينجري من شركة ديسبيرسيف أن "تطبيق قواعد أمن HIPAA الجديدة، حتى لو كانوا يتبعون بالفعل جميع ضوابط المعهد الوطني للمعايير والتكنولوجيا، قد يكلف ما يصل إلى 100,000 ألف دولار لمكتب طبيب صغير، أو قد يصل إلى ملايين الدولارات إذا كنت مجموعة طبية كبيرة".

ووفقاً لفايس، فإن إحدى الطرق المحتملة التي قد تتمكن بها مؤسسات الرعاية الصحية من التعامل مع كل هذه القواعد الجديدة والتكاليف المرتبطة بها هي الاستعانة بمسؤول أمن معلومات افتراضي خارجي (vCISO). ويقول: "الأمر لا يتعلق فقط بشراء التكنولوجيا. بل يتعلق أيضاً بتجنيد واحتفاظ بخبرة الأمن السيبراني التي تحتاجها لإدارة العمل".

"لا تعرف هذه المنظمات من أين تبدأ"، يواصل. "سوق الأمن السيبراني مربك للغاية. هناك الكثير من اللاعبين. وهناك الكثير من الحلول. لذا إذا كان لديك 100 دولار لإنفاقها على الأمن السيبراني، أين تنفق هذا المبلغ؟ إنهم بحاجة إلى المساعدة حتى يتمكنوا من معرفة كل ذلك. وأعتقد أن شيئًا مثل مسؤول أمن المعلومات الافتراضي يمكن أن يساعد في تنفيذ استراتيجية، ثم يكون موجودًا على أساس افتراضي - للتحقق، ليكون موردًا لتلك المنظمة عندما يكون لديهم أسئلة ويحتاجون إلى بعض المساعدة. يبدو وكأنه نموذج لائق لهذه المستشفيات الريفية الصغيرة التي لا يمكنها بالضرورة تبرير أو توظيف مسؤول أمن المعلومات بدوام كامل ".

اقرأ المقال كاملا في Dark Reading. اضغط هنا