Les organisations de soins de santé de toutes formes et de toutes tailles seront tenues de respecter des normes de cybersécurité plus strictes à partir de 2025 avec de nouvelles règles proposées, mais toutes n'ont pas le budget pour cela.
Depuis le début, la loi HIPAA a toujours été la meilleure réglementation, bien qu’insuffisante, régissant la cybersécurité dans le secteur de la santé.
« [Il y a] un historique où l'accent a été mis au mauvais endroit en raison de la manière dont la loi HIPAA a été définie au milieu des années 1990 », explique Errol Weiss, responsable de la sécurité des systèmes d'information (CISO) du Healthcare Information Sharing and Analysis Center (Health-ISAC). « À l'époque, il y avait une forte volonté de transférer les dossiers médicaux et de santé sur un support électronique. Et avec l'avènement de la réglementation HIPAA, il s'agissait avant tout de protéger la confidentialité des patients, mais pas nécessairement de sécuriser ces dossiers. »
L'accent mis par la loi HIPAA sur la confidentialité a limité sa capacité à faire face à des menaces de cybersécurité plus diverses dans les années 2010, en particulier les ransomwares. Pendant ce temps, au lieu de l'utiliser comme base de référence pour développer une posture de sécurité robuste, les organisations ont eu tendance à traiter la loi HIPAA davantage comme un ensemble de cases à cocher. orienter les budgets vers la conformité et pas nécessairement vers la sécurité« Et au cours des cinq ou six dernières années, nous avons vu ce qui se passe dans un environnement qui n'est pas correctement sécurisé, pas correctement lié, pas correctement sauvegardé, lorsqu'il est touché par un ransomware », explique Weiss.
« Même s'ils suivent déjà tous les contrôles du NIST », estime Pingree de Dispersive, la mise en œuvre des nouvelles règles de sécurité HIPAA « pourrait coûter aussi peu que 100,000 XNUMX dollars pour un petit cabinet médical, ou plusieurs millions si vous êtes un grand groupe médical. »
Selon Weiss, les établissements de santé qui ont du mal à s'adapter à toutes ces nouvelles règles et aux coûts qui y sont associés pourraient recourir à un responsable de la sécurité informatique virtuel externalisé (vCISO). « Il ne s'agit pas seulement d'acheter la technologie. Il s'agit également de recruter et de conserver l'expertise en cybersécurité dont vous avez besoin pour fonctionner », explique-t-il.
« Ces organisations ne savent pas par où commencer », poursuit-il. « Le marché de la cybersécurité est très confus. Il y a beaucoup d’acteurs et de solutions. Donc, si vous avez 100 $ à dépenser en cybersécurité, où les dépenser ? Elles ont besoin d’aide pour pouvoir comprendre tout cela. Et je pense qu’un CISO virtuel peut aider à mettre en œuvre une stratégie, puis être présent sur une base virtuelle – pour faire le point, être une ressource pour cette organisation lorsqu’elle a des questions et qu’elle a besoin d’aide. Cela semble être un modèle convenable pour ces petits hôpitaux ruraux qui ne pourraient pas nécessairement justifier ou embaucher un CISO à temps plein. »
Lire l'article complet dans Dark Reading. Cliquez ici
