Pratiche e video sulla sicurezza informatica nel settore sanitario

Si incoraggiano vivamente tutti i sistemi sanitari ad adottare questa serie nei propri programmi di formazione; gruppi industriali e società professionali, incoraggiate i vostri membri a fare lo stesso; e aziende di tecnologia medica, farmaceutiche, pagatori, IT sanitaria e servizi, valutate l'idea di estendere questa serie ai vostri clienti come integrazione al vostro supporto.

La maggior parte delle piccole pratiche sfrutta provider di posta elettronica terzi esternalizzati, anziché stabilire un'infrastruttura di posta elettronica interna dedicata. Le pratiche di protezione della posta elettronica in questa sezione sono presentate in tre parti:

1. Configurazione del sistema di posta elettronica: i componenti e le funzionalità che dovrebbero essere inclusi nel tuo sistema di posta elettronica
2. Formazione: come aumentare la comprensione e la consapevolezza del personale sui modi per proteggere la tua organizzazione dagli attacchi informatici basati sulla posta elettronica, come phishing e ransomware
3. Simulazioni di phishing: modi per fornire al personale formazione e consapevolezza sulle e-mail di phishing

Gli endpoint di una piccola organizzazione devono essere tutti protetti. Ma cosa sono gli endpoint? E cosa può fare una piccola organizzazione sanitaria per proteggere i propri endpoint?

Il dott. David Willis e la dott.ssa Kendra Siler della Population Health Information Analysis and Sharing Organization del Kennedy Space Center sono qui per discutere di cosa dovresti fare per ridurre le possibilità che un attacco informatico raggiunga i tuoi endpoint.

In questa sezione parleremo dell'area di pratica di sicurezza informatica numero 3: gestione degli accessi per le piccole organizzazioni sanitarie.

Questa discussione sarà organizzata in tre sezioni:

1. Cos'è la gestione degli accessi?
2. Perché è importante?
3. In che modo l'HICP o "singhiozzo" può contribuire a migliorare la gestione degli accessi per le piccole organizzazioni sanitarie?

Il National Institute of Standards and Technology, o NIST in breve, definisce una violazione dei dati come "un incidente che coinvolge informazioni sensibili, protette o riservate che vengono copiate, trasmesse, visualizzate, rubate o utilizzate da un individuo non autorizzato a farlo".

I dati sensibili, protetti o riservati includono informazioni sanitarie protette (PHI), numeri di carte di credito, informazioni personali di clienti e dipendenti, nonché proprietà intellettuale e segreti commerciali della tua organizzazione.

Quali tecnologie informatiche, o dispositivi IT, hai nella tua organizzazione? Sai quanti laptop? Dispositivi mobili? E switch di rete hai in tutte le tue sedi? Quali eseguono Windows o IOS di Apple o uno dei vari sistemi operativi di Android? Se non è attaccato a una parete o a una scrivania, chi è responsabile di ogni dispositivo?

Le reti forniscono la connettività che consente alle postazioni di lavoro, ai dispositivi medici e ad altre applicazioni e infrastrutture di comunicare. Le reti possono assumere la forma di connessioni cablate o wireless. Indipendentemente dalla forma, lo stesso meccanismo che favorisce la comunicazione può essere utilizzato per lanciare o propagare un attacco informatico. 

Una corretta igiene della sicurezza informatica garantisce che le reti siano sicure e che tutti i dispositivi in ​​rete possano accedere alle reti in modo sicuro e protetto. Anche se la gestione della rete è fornita da un fornitore terzo, le organizzazioni dovrebbero comprendere gli aspetti chiave della corretta gestione della rete e assicurarsi che siano inclusi nei contratti per questi servizi.

La gestione delle vulnerabilità è una pratica continua di identificazione, classificazione, definizione delle priorità, correzione e mitigazione delle vulnerabilità software. Molti framework di conformità alla sicurezza delle informazioni, audit e gestione dei rischi richiedono alle organizzazioni di mantenere un programma di gestione delle vulnerabilità.

La risposta agli incidenti è la capacità di identificare traffico sospetto o attacchi informatici sulla tua rete, isolarli e porvi rimedio per prevenire violazioni, danni o perdite di dati. In genere, la risposta agli incidenti è definita come il "blocco e la gestione" standard della sicurezza informatica. Molti tipi di incidenti di sicurezza si verificano regolarmente in organizzazioni di tutte le dimensioni. Infatti, la maggior parte delle reti è sottoposta a continui attacchi da parte di entità esterne.

I sistemi sanitari utilizzano molti dispositivi diversi come parte del trattamento di routine dei pazienti. Questi spaziano dai sistemi di imaging ai dispositivi che si collegano direttamente al paziente per scopi diagnostici o terapeutici. Tali dispositivi possono avere implementazioni semplici, come i monitor da letto che monitorano i segni vitali, o possono essere più complicati, come le pompe di infusione che erogano terapie specializzate e richiedono continui aggiornamenti della libreria dei farmaci. Questi dispositivi complessi e interconnessi influenzano la sicurezza, il benessere e la privacy dei pazienti e rappresentano potenziali vettori di attacco nell'impronta digitale di un'organizzazione. Pertanto, questi dispositivi dovrebbero includere controlli di sicurezza nella loro progettazione e configurazione per supportare l'implementazione in modo sicuro.

Pratica di sicurezza informatica n. 10: le politiche di sicurezza informatica includono le best practice, ovvero documenti specifici per l'implementazione di politiche e procedure di sicurezza informatica nella tua organizzazione sanitaria.