Ir ao contido principal

Saúde-ISAC Hacking Healthcare 10-11-2022

|
Logotipo de Hacking Healthcare cun rato de ordenador, unha icona de sombreiro de hacker e unha cruz médica.

TLP Branco

Esta semana, Hacking Healthcare comeza a investigar o que significa unha recente orde executiva da administración Biden para o futuro dos fluxos de datos transatlánticos UE-EE. Desglosamos o que acaba de suceder, o que esperar nos próximos meses e o que os membros de Health-ISAC deberían considerar facer ao respecto. A continuación, investigamos un novo informe que suxire que os consumidores estadounidenses están a tomar a ciberseguridade e a privacidade máis en serio e avaliamos o que isto pode significar para o sector sanitario.

Como recordatorio, esta é a versión pública do blog Hacking Healthcare. Para obter análises e opinións máis profundas, convértete en membro de Health-ISAC e recibe a versión TLP Amber deste blog (dispoñible no Portal dos membros).

Versión pdf:

descargar

 

 

Versión de texto:

Benvido de novo a Hacking Healthcare.

1. Outro paso cara a un novo marco transatlántico de privacidade de datos para a UE e os EUA

Os fluxos transatlánticos de datos entre a Unión Europea e os Estados Unidos levan moitos anos prexudicados debido a impugnacións legais que citan as diferenzas aparentemente irreconciliables na privacidade e as proteccións de datos esixidas pola UE e as funcións de vixilancia permitidas polos Estados Unidos. Varios intentos de crear un mecanismo legal para satisfacer a ambas as partes fracasaron nos tribunais da UE, pero a necesidade económica de fluxos de datos transatlánticos sen obstáculos significa que ambas as partes intentaron unha vez máis atopar unha solución alternativa. Unha recente Orde Executiva de Biden achegou o esforzo un paso máis á súa finalización, pero resolverá esta nova estratexia realmente os problemas que condenaron os mecanismos anteriores? [i]

Para poñer isto en contexto, repasemos rapidamente como chegamos ata aquí. Os fluxos de datos transatlánticos entre a UE e os Estados Unidos fixeron uso de varios mecanismos no pasado, incluídos os Principios internacionais de porto seguro e o Escudo de privacidade UE-EE. En última instancia, estes mecanismos foron anulados nos tribunais da UE porque non proporcionaron as proteccións de privacidade dos datos necesarias para manter os datos da UE a salvo da vixilancia do goberno estadounidense. A UE e os Estados Unidos continuaron traballando xuntos para elaborar substitucións que moitas veces foron criticadas como "papel sobre as fendas" en lugar de resolver os problemas subxacentes. O marco de privacidade de datos UE-EE. UU. (EU-EU DPF) é o último destes intentos.

Para avanzar no novo marco, a administración de Biden asinou unha orde executiva a semana pasada que tiña como obxectivo abordar as preocupacións que apareceron na sentenza máis recente da UE que invalidou o Escudo de privacidade UE-EE.

Segundo un comunicado de prensa da Casa Branca, a nova Orde Executiva «reforza un conxunto xa rigoroso de salvagardas de privacidade e liberdades civís para as actividades de intelixencia de sinais dos Estados Unidos». [ii] A Casa Branca sinala especificamente que a nova Orde Executiva creará un mecanismo «multicapa» para que as persoas de determinados estados ou «organizacións de integración económica rexional» «obteñan unha revisión e reparación independentes e vinculantes das reclamacións de que a súa información persoal» foi recollida pola intelixencia de sinais dos Estados Unidos. [iii] Isto inclúe a creación dun novo Tribunal de Revisión da Protección de Datos.

En canto ao que vén despois, agora corresponderá á Comisión Europea preparar un proxecto de decisión de adecuación e iniciar un procedemento de adopción. [iv] Aínda que os funcionarios da UE dixeron que pode levar máis de seis meses traballar nestes seguintes pasos, se van ben, "os datos poderán circular libremente e con seguridade entre as empresas da UE e as estadounidenses certificadas polo Departamento de Comercio no marco do novo marco. As empresas estadounidenses poderán unirse ao marco comprometéndose a cumprir un conxunto detallado de obrigas de privacidade". [v] , [vi]

Accións e Análise
**Requírese membro**

 

2. Os estadounidenses cada vez máis conscientes da ciberseguridade e da privacidade

Os dos campos da ciberseguridade e da privacidade lamentaron a ambivalencia ou a falta xeral de conciencia e educación que ten o estadounidense medio cara á ciberseguridade e a privacidade. Segundo un novo informe de Consumer Reports e do Aspen Institute, hai evidencias que suxiren que está cambiando nos Estados Unidos e que os individuos son cada vez máis conscientes da seguridade e da privacidade.

O informe de nove páxinas, publicado o 4 de outubro, afirmaba que «as conclusións inclúen os resultados dunha enquisa representativa a nivel nacional realizada a 2,103 adultos estadounidenses» no pasado mes de xuño. [vii] A súa conclusión xeral é que «as prácticas de privacidade e seguridade dos consumidores aumentaron ao longo dos anos a medida que os consumidores realizaron cambios para actualizar e protexerse a si mesmos e á súa información ou datos persoais». [viii] Algúns dos cambios observados entre 2019 e 2022 son rechamantes: [ix]

  • Os consumidores que se identifican como empregando contrasinais seguros para acceder a WiFi ou rede doméstica aumentaron 14 puntos porcentuais do 74% ao 88%.
  • Os consumidores que din que usan actualmente a autenticación multifactor (MFA) aumentaron 27 puntos porcentuais do 50% ao 77%.
  • Os consumidores que afirman que non instalarán aplicacións nun teléfono intelixente se recollen demasiada información persoal ou non a protexen adecuadamente subiron 9 puntos porcentuais do 71% ao 80%.

Non obstante, outros hábitos de seguridade e privacidade experimentaron un aumento significativamente menor: [x]

  • Os consumidores que din empregar xestores de contrasinais aumentaron tres puntos porcentuais do 36% ao 39%.
  • Os consumidores que din usar unha VPN aumentaron un só punto porcentual, do 34% ao 35%.

Outras conclusións salientables: [xi]

  • O 48% dos consumidores dixeron que non confían ou non confían en absoluto en que os datos persoais, como os números da Seguridade Social, o historial de saúde e a información financeira, son privados e non se distribúen sen o seu coñecemento.
  • En canto a quen pensan que os consumidores deberían ser responsables de protexer a privacidade en liña dos estadounidenses, houbo un aumento de oito puntos porcentuais do 17% ao 25% dos que dixeron que os consumidores deberían ser os máis responsables e un descenso de dez puntos porcentuais nas sociedades holding. responsable.

Accións e Análise
**Requírese membro**

 

 

Congreso

Martes 10 de outubro:

- Non hai audiencias pertinentes

 

Mércores 11 de outubro:

- Non hai audiencias pertinentes

 

Xoves 12 de outubro:

- Non hai audiencias pertinentes

 

Audiencias/Reunións Internacionais

– Non hai reunións relevantes

UE -

Luns 10 de outubro:

- 7ª Conferencia de Seguridade e Saúde (ENISA)

 

Conferencias, seminarios web e cumios

https://h-isac.org/events/

Póñase en contacto connosco: siga a @HealthISAC e envíe un correo electrónico a contact@h-isac.org

Sobre o Autor

*Hacking Healthcare* está escrito por John Banghart, quen exerceu como asesor principal en incidentes e preparación para a ciberseguridade e liderou os esforzos do Consello de Seguridade Nacional para abordar incidentes de ciberseguridade significativos, incluídos os da OPM e da Casa Branca. John é actualmente o director principal de servizos de ciberseguridade en Venable. A súa experiencia inclúe o cargo de director de ciberseguridade federal do Consello de Seguridade Nacional, como asesor principal de ciberseguridade para os Centros de Servizos de Medicare e Medicaid, como investigador de ciberseguridade e experto en políticas no Instituto Nacional de Estándares e Tecnoloxía (NIST) e na Oficina do Subsecretario de Comercio para Estándares e Tecnoloxía.

Pódese contactar con John en jbanghart@h-isac.org

[i] https://www.whitehouse.gov/briefing-room/presidential-actions/2022/10/07/executive-order-on-enhancing-safeguards-for-united-states-signals-intelligence-activities/

[ii] https://www.whitehouse.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-us-data-privacy-framework/

[iii] https://www.whitehouse.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-us-data-privacy-framework/

[iv] https://ec.europa.eu/commission/presscorner/detail/en/QANDA_22_6045

[v] https://ec.europa.eu/commission/presscorner/detail/en/QANDA_22_6045

[vi] https://www.reuters.com/technology/biden-signs-order-implement-eu-us-data-privacy-framework-2022-10-07/

[vii] https://www.consumerreports.org/media-room/press-releases/2022/10/consumer-reports-and-aspen-institute-reveal-consumer-attitudes-towards-cybersecurity-and-online-privacy/

[viii] https://consumer-reports-ressh.cloudinary.com/image/upload/v1664551562/Consumer-Cyber-Readiness-Report-Final_edbv9f.pdf

[ix] https://consumer-reports-ressh.cloudinary.com/image/upload/v1664551562/Consumer-Cyber-Readiness-Report-Final_edbv9f.pdf

[x] https://consumer-reports-ressh.cloudinary.com/image/upload/v1664551562/Consumer-Cyber-Readiness-Report-Final_edbv9f.pdf

[xi] https://consumer-reports-ressh.cloudinary.com/image/upload/v1664551562/Consumer-Cyber-Readiness-Report-Final_edbv9f.pdf

Prácticas de ciberseguridade da industria da saúde (IPCA)
The Power of One: colaboración en infraestruturas críticas