Įvairių formų ir dydžių sveikatos priežiūros organizacijoms bus taikomi griežtesni kibernetinio saugumo standartai nuo 2025 m. su naujomis siūlomomis taisyklėmis, tačiau ne visos turi tam skirto biudžeto.
Nuo pat pradžių HIPAA visada buvo geriausias, tačiau nepakankamas reglamentas, diktuojantis sveikatos priežiūros pramonės kibernetinį saugumą.
„[Yra] istorija, kai dėmesys buvo nukreiptas netinkamoje vietoje dėl būdo, kuriuo HIPAA buvo išdėstyta dešimtojo dešimtmečio viduryje“, – sakoma. Errol Weiss, Sveikatos priežiūros informacijos dalijimosi ir analizės centro (Health-ISAC) vyriausiasis informacijos saugumo pareigūnas (CISO). „Tuo metu buvo didelis postūmis perkelti medicininius ir sveikatos įrašus į elektroninę laikmeną. Atsiradus HIPAA taisyklėms, svarbiausia buvo apsaugoti pacientų privatumą, bet nebūtinai apsaugoti tuos įrašus.
HIPAA dėmesys privatumui apribojo jos galimybes 2010 m. kovoti su įvairesnėmis kibernetinio saugumo grėsmėmis, ypač su išpirkos reikalaujančiomis programomis. Tuo tarpu, užuot naudojusios jį kaip pagrindą kuriant tvirtą saugumo poziciją, organizacijos buvo linkusios laikyti HIPAA labiau kaip langelių rinkinį, kurį reikia patikrinti. „Tai baigėsi didinant biudžetą siekiant atitikties ir nebūtinai saugumo. Ir per pastaruosius penkerius ar šešerius metus matėme, kas nutinka aplinkoje, kuri nėra tinkamai apsaugota, netinkamai pririšta, netinkamai paremta, kai juos užklumpa išpirkos reikalaujančios programos“, – sako Weissas.
„Net jei jie jau laikosi visų NIST kontrolės priemonių“, – apskaičiavo „Dispersive's Pingree“, įgyvendindamas naujas HIPAA saugumo taisykles, „nedidelis gydytojo kabinetas gali kainuoti iki 100,000 XNUMX USD, o jei esate didelis gydytojas, tai gali kainuoti daug milijonų. grupė“.
Pasak Weisso, vienas iš galimų būdų, kaip ištemptos sveikatos priežiūros organizacijos galėtų vadovautis visomis naujomis taisyklėmis ir su jomis susijusiomis išlaidomis, yra užsakomasis virtualus vyriausiasis informacijos saugos pareigūnas (vCISO). Nes „tai ne tik technologijos pirkimas. Taip pat reikia įdarbinti ir išlaikyti kibernetinio saugumo patirtį, kurios jums reikia“, – sako jis.
„Šios organizacijos nežino, nuo ko pradėti“, – tęsia jis. „Kibernetinio saugumo rinka yra labai paini. Žaidėjų yra daug. Yra daug sprendimų. Taigi, jei turite 100 USD išleisti kibernetiniam saugumui, kur juos išleisti? Jiems reikia pagalbos, kad galėtų visa tai išsiaiškinti. Ir manau, kad kažkas panašaus į virtualų CISO gali padėti įgyvendinti strategiją ir būti šalia virtualiai – prisiregistruoti, būti tos organizacijos šaltiniu, kai kyla klausimų ir reikia pagalbos. Atrodo, kad tai tinkamas modelis šioms mažoms kaimo ligoninėms, kurios nebūtinai galėtų pateisinti ar samdyti visą darbo dieną dirbančią CISO.
Skaitykite visą straipsnį „Dark Reading“. Paspauskite čia
