Las organizaciones de atención médica de todas las formas y tamaños estarán sujetas a estándares más estrictos de ciberseguridad a partir de 2025 con nuevas reglas propuestas, pero no todas tienen el presupuesto para ello.
Desde el principio, HIPAA siempre ha sido la mejor, aunque insuficiente, regulación que dicta la ciberseguridad para la industria de la salud.
“[Existe] una historia de que el enfoque estaba en el lugar equivocado debido a la forma en que se diseñó la HIPAA a mediados de la década de 1990”, dice Errol Weiss, director de seguridad de la información (CISO) del Centro de análisis e intercambio de información sanitaria (Health-ISAC). “En aquel momento, había un gran impulso para transferir los registros médicos y sanitarios al medio electrónico. Y con la llegada de las regulaciones HIPAA, se trataba de proteger la privacidad del paciente, pero no necesariamente de asegurar esos registros”.
El enfoque de HIPAA en la privacidad limitó su capacidad para abordar amenazas de ciberseguridad más diversas en la década de 2010, en particular el ransomware. Mientras tanto, en lugar de usarlo como base para desarrollar una postura de seguridad sólida, las organizaciones tendieron a tratar a HIPAA más como un conjunto de casillas para marcar. orientar los presupuestos hacia el cumplimiento normativo y no necesariamente hacia la seguridad"Y en los últimos cinco o seis años, hemos visto lo que sucede en un entorno que no está adecuadamente protegido, no está debidamente atado, no tiene las copias de seguridad adecuadas, cuando son atacados por ransomware", dice Weiss.
“Incluso si ya están siguiendo todos los controles del NIST”, estima Pingree de Dispersive, implementar las nuevas reglas de seguridad HIPAA “podría costar tan solo 100,000 dólares para un consultorio médico pequeño, o podrían ser muchos millones si se trata de un gran grupo médico”.
Según Weiss, una forma posible en que las organizaciones de atención médica que se encuentran en dificultades podrían sortear todas estas nuevas reglas y sus costos asociados es con un director de seguridad de la información virtual (vCISO) subcontratado. Porque “no se trata solo de comprar la tecnología. También se trata de contratar y retener la experiencia en ciberseguridad que se necesita para operar”, afirma.
“Estas organizaciones no saben por dónde empezar”, continúa. “El mercado de la ciberseguridad es muy confuso. Hay muchos actores y muchas soluciones. Entonces, si tienes 100 dólares para gastar en ciberseguridad, ¿dónde los gastas? Necesitan ayuda para poder entender todo eso. Y creo que algo como un CISO virtual puede ayudar a implementar una estrategia y luego estar presente de manera virtual, para consultar y ser un recurso para esa organización cuando tengan preguntas y necesiten ayuda. Parece un modelo decente para estos pequeños hospitales rurales que no necesariamente podrían justificar o contratar a un CISO a tiempo completo”.
Lea el artículo completo en Dark Reading. Haga clic aquí
