게시물 주제: 언론 언급

2025년부터 새롭게 제안된 규칙에 따라 모든 규모와 형태의 의료 기관은 사이버 보안에 대한 기준이 더욱 엄격해지지만, 모든 기관이 이에 필요한 예산을 가지고 있는 것은 아닙니다.

HIPAA는 처음부터 항상 가장 우수하면서도 의료 산업의 사이버 보안을 규정하는 불충분한 규정이었습니다.

“HIPAA가 1990년대 중반에 수립된 방식으로 인해 초점이 잘못된 곳에 맞춰졌다는 역사가 있습니다.”라고 그는 말합니다. 에롤 바이스, Healthcare Information Sharing and Analysis Center(Health-ISAC)의 최고정보보안책임자(CISO). "당시 의료 및 건강 기록을 전자 매체로 전환하려는 큰 움직임이 있었습니다. 그리고 HIPAA 규정이 도입되면서 환자의 개인 정보를 보호하는 것이 전부였지만 반드시 해당 기록을 보호하는 것은 아니었습니다."

HIPAA가 프라이버시에 집중하면서 2010년대에는 다양한 사이버 보안 위협, 특히 랜섬웨어에 대처하는 능력이 제한되었습니다. 한편, 조직에서는 HIPAA를 견고한 보안 태세를 개발하기 위한 기준으로 사용하는 대신 체크해야 할 상자 세트로 취급하는 경향이 있었습니다. "결국 예산을 보안이 아닌 규정 준수에 투자. 그리고 지난 5~6년 동안, 우리는 랜섬웨어에 공격을 받았을 때 적절하게 보안되지 않고, 적절하게 묶이지 않고, 적절하게 백업되지 않은 환경에서 무슨 일이 일어나는지 보았습니다."라고 Weiss는 말합니다.

Dispersive의 Pingree는 "NIST의 모든 통제를 이미 따르고 있다 하더라도" 새로운 HIPAA 보안 규칙을 구현하는 데 "소규모 의사 사무실의 경우 비용이 100,000만 달러에 불과할 수 있고, 대규모 의료 그룹이라면 수백만 달러가 들 수 있다"고 추정합니다.

바이스에 따르면, 확장된 의료 기관이 이 모든 새로운 규칙과 관련 비용을 탐색할 수 있는 한 가지 가능한 방법은 아웃소싱된 가상 최고 정보 보안 책임자(vCISO)를 사용하는 것입니다. 그는 "단순히 기술을 구매하는 것이 아니라 운영하는 데 필요한 사이버 보안 전문 지식을 모집하고 유지하는 것도 중요합니다."라고 말합니다.

"이러한 조직들은 어디서부터 시작해야 할지 모릅니다." 그는 계속해서 말했습니다. "사이버 보안 시장은 매우 혼란스럽습니다. 참여자가 많습니다. 솔루션도 많습니다. 사이버 보안에 100달러를 쓸 수 있다면 어디에 쓸까요? 그들은 이 모든 것을 알아낼 수 있도록 도움이 필요합니다. 그리고 가상 CISO와 같은 것이 전략을 구현하는 데 도움이 될 수 있고, 그런 다음 가상으로 그 조직에 체크인하고, 질문이 있고 도움이 필요할 때 리소스가 될 수 있다고 생각합니다. 정규직 CISO를 정당화하거나 고용할 수 없는 이러한 소규모 농촌 병원에 적합한 모델인 듯합니다."

Dark Reading에서 전체 기사를 읽어보세요. Click Here