A partire dal 2025, le organizzazioni sanitarie di tutte le forme e dimensioni saranno tenute a rispettare standard più rigorosi in materia di sicurezza informatica, in base alle nuove regole proposte, ma non tutte dispongono del budget necessario.
Fin dall'inizio, l'HIPAA è sempre stata la migliore, seppur insufficiente, normativa per la sicurezza informatica nel settore sanitario.
"[C'è] una storia di attenzione rivolta al posto sbagliato a causa del modo in cui l'HIPAA è stato impostato a metà degli anni '1990", afferma Errol Weiss, responsabile della sicurezza informatica (CISO) dell'Health Information Sharing and Analysis Center (Health-ISAC). "A quel tempo, c'era questa grande spinta a trasferire le cartelle cliniche e sanitarie al mezzo elettronico. E con l'avvento delle normative HIPAA, si trattava solo di proteggere la privacy dei pazienti, ma non necessariamente di proteggere quelle cartelle".
L'attenzione dell'HIPAA sulla privacy ha limitato la sua capacità di affrontare minacce alla sicurezza informatica più diversificate negli anni 2010, in particolare il ransomware. Nel frattempo, invece di usarlo come base per sviluppare una solida postura di sicurezza, le organizzazioni tendevano a trattare l'HIPAA più come un insieme di caselle da spuntare. "È finito per indirizzare i budget verso la conformità e non necessariamente verso la sicurezza. E negli ultimi cinque o sei anni, abbiamo visto cosa succede in un ambiente non adeguatamente protetto, non adeguatamente vincolato, non adeguatamente sottoposto a backup, quando vengono colpiti dal ransomware", afferma Weiss.
"Anche se stanno già seguendo tutti i controlli del NIST", stima Pingree di Dispersive, l'implementazione delle nuove regole di sicurezza HIPAA "potrebbe costare appena 100,000 dollari per un piccolo studio medico, o molti milioni se si tratta di un grande gruppo medico".
Un possibile modo in cui le organizzazioni sanitarie in difficoltà potrebbero destreggiarsi tra tutte queste nuove regole e i relativi costi è con un Chief Information Security Officer (vCISO) virtuale e esternalizzato, secondo Weiss. Perché "non si tratta solo di acquistare la tecnologia. Si tratta anche di reclutare e mantenere le competenze di sicurezza informatica necessarie per gestirla", afferma.
"Queste organizzazioni non sanno da dove cominciare", continua. "Il mercato della sicurezza informatica è molto confuso. Ci sono molti attori. Ci sono molte soluzioni. Quindi se hai 100 $ da spendere per la sicurezza informatica, dove li spendi? Hanno bisogno di aiuto per riuscire a capire tutto questo. E penso che qualcosa come un CISO virtuale possa aiutare a implementare una strategia e poi essere presente su base virtuale, per fare il check-in, per essere una risorsa per quell'organizzazione quando hanno domande e hanno bisogno di aiuto. Sembra un modello decente per questi piccoli ospedali rurali che non potrebbero necessariamente giustificare o assumere un CISO a tempo pieno".
Leggi l'articolo completo su Dark Reading. Clicca qui
