נוהלי אבטחת סייבר של תעשיית הבריאות וסרטונים

מומלץ מאוד לכל מערכות הבריאות לאמץ סדרה זו בתוכניות האימונים שלכם; קבוצות תעשייה ואגודות מקצועיות, אנא עודדו את חבריכם לעשות את אותו הדבר; וחברות מדיטק, תרופות, משלם, IT בריאות ושירותים, אנא שקול להרחיב את הסדרה הזו ללקוחות וללקוחות שלך כתוספת לתמיכה שלך.

רוב השיטות הקטנות ממנפות ספקי דואר אלקטרוני של צד שלישי במיקור חוץ, במקום הקמת תשתית דואר אלקטרוני פנימית ייעודית. נוהלי ההגנה על דואר אלקטרוני בחלק זה מוצגים בשלושה חלקים:

1. תצורת מערכת הדואר האלקטרוני: הרכיבים והיכולות שצריכים להיכלל במערכת הדואר האלקטרוני שלך
2. השכלה: כיצד להגביר את ההבנה והמודעות של הצוות לדרכים להגן על הארגון שלך מפני התקפות סייבר מבוססות דואר אלקטרוני כגון דיוג ותוכנות כופר
3. סימולציות דיוג: דרכים לספק לצוות הדרכה ומודעות לדואר אלקטרוני דיוג

כל נקודות הקצה של ארגון קטן חייבים להיות מוגנים. אבל מהן נקודות קצה? ומה יכול ארגון בריאות קטן לעשות כדי להגן על נקודות הקצה שלהם?

דייוויד וויליס, MD וקנדרה סילר, דוקטורט בארגון לניתוח ושיתוף בריאות האוכלוסייה במרכז החלל קנדי ​​נמצאים כאן כדי לדון במה עליך לעשות כדי להפחית את הסיכוי של מתקפת סייבר לחדור לנקודות הקצה שלך.

בחלק זה, נדון באזור מספר 3 בנושא אבטחת סייבר - ניהול גישה לארגוני בריאות קטנים.

דיון זה יאורגן לשלושה חלקים:

1. מהו ניהול גישה?
2. למה זה חשוב?
3. כיצד HICP או "שיהוק" יכולים לעזור לשפר את ניהול הגישה לארגוני בריאות קטנים?

המכון הלאומי לתקנים וטכנולוגיה, או בקיצור NIST, מגדיר פרצת מידע כ"אירוע הכרוך במידע רגיש, מוגן או סודי המועתק, מועבר, נצפה, נגנב או נעשה בו שימוש על ידי אדם שאינו מורשה לעשות זאת".

נתונים רגישים, מוגנים או סודיים כוללים מידע על בריאות מוגנת (PHI), מספרי כרטיסי אשראי, מידע אישי של לקוחות ועובדים, והקניין הרוחני והסודות המסחריים של הארגון שלך.

אילו טכנולוגיות מידע, או התקני IT, יש לך בארגון שלך? אתה יודע כמה מחשבים ניידים? מכשירים ניידים? ומתגי רשת יש לך בכל המיקומים שלך? אילו מהם מריצים את Windows או את IOS של אפל או אחת ממערכות ההפעלה של אנדרואיד? אם הוא לא מוצמד לקיר או לשולחן, מי אחראי על כל מכשיר?

רשתות מספקות את הקישוריות המאפשרת לתחנות עבודה, מכשירים רפואיים ויישומים ותשתיות אחרות לתקשר. רשתות יכולות ללבוש צורה של חיבורים קוויים או אלחוטיים. ללא קשר לצורה, אותו מנגנון שמטפח תקשורת יכול לשמש כדי להפעיל או להפיץ מתקפת סייבר. 

היגיינת אבטחת סייבר נכונה מבטיחה שהרשתות מאובטחות ושכל המכשירים ברשת יוכלו לגשת לרשתות בצורה בטוחה ומאובטחת. גם אם ניהול הרשת מסופק על ידי ספק צד שלישי, ארגונים צריכים להבין היבטים מרכזיים של ניהול רשת נכון ולוודא שהם כלולים בחוזים עבור שירותים אלה.

ניהול פגיעות הוא תרגול מתמשך של זיהוי, סיווג, תעדוף, תיקון והפחתת פרצות תוכנה. מסגרות רבות של תאימות לאבטחת מידע, ביקורת וניהול סיכונים דורשות מארגונים לנהל תוכנית לניהול נקודות תורפה.

תגובה לאירוע היא היכולת לזהות תעבורה חשודה או התקפות סייבר ברשת שלך, לבודד אותה ולתקן אותה על מנת למנוע פריצת נתונים, נזק או אובדן. בדרך כלל, תגובה לאירועים מכונה "חסימה והתמודדות" הסטנדרטית של אבטחת מידע. סוגים רבים של אירועי אבטחה מתרחשים על בסיס קבוע בארגונים מכל הגדלים. למעשה, רוב הרשתות נמצאות תחת התקפה מתמדת של גורמים חיצוניים.

מערכות הבריאות משתמשות במכשירים רבים ושונים כחלק מהטיפול השגרתי בחולה. אלה נעים ממערכות הדמיה ועד מכשירים המתחברים ישירות למטופל למטרות אבחון או טיפוליות. להתקנים כאלה עשויים להיות יישומים פשוטים, כגון מוניטורים ליד המיטה המנטרים סימנים חיוניים, או שהם עשויים להיות מסובכים יותר, כגון משאבות עירוי המספקות טיפולים מיוחדים ודורשות עדכונים מתמשכים של ספריית התרופות. התקנים מורכבים ומקושרים אלה משפיעים על בטיחות המטופל, רווחתו ופרטיותם, והם מייצגים וקטורי תקיפה פוטנציאליים בטביעת הרגל הדיגיטלית של ארגון. ככאלה, התקנים אלה צריכים לכלול בקרות אבטחה בתכנון ובתצורה שלהם כדי לתמוך בפריסה בצורה מאובטחת.

נוהלי אבטחת סייבר מס' 10: מדיניות אבטחת סייבר כוללת שיטות עבודה מומלצות שהן מסמך ספציפי ליישום מדיניות ונהלי אבטחת סייבר בארגון הבריאות שלך.