Hopp til hovedinnhold

Health-ISAC Hacking Healthcare 1-24-2025

Denne uken, Health-ISAC®'s Hacking Healthcare® undersøker den nye EU-handlingsplanen utformet for å forbedre cybersikkerheten til sykehus og helsepersonell. Bli med oss ​​når vi gir en oversikt over hva som står i handlingsplanen før vi analyserer innsatsen mer i dybden i delen Handling og analyse. 

Som en påminnelse er dette den offentlige versjonen av Hacking Healthcare-bloggen. For ytterligere dybdeanalyse og meninger, bli medlem av H-ISAC og motta TLP Amber-versjonen av denne bloggen (tilgjengelig i medlemsportalen.)

 

PDF-versjon: TLP WHITE Hacking Healthcare 1.24.2025
Størrelse: 194.9 kB Format: PDF

 

Tekstversjon:

Velkommen tilbake til Hacking Healthcare®.

Bli med oss ​​på den månedlige trusselbriefingen 

Men først, som en påminnelse, neste tirsdag og onsdag er Health-ISACs månedlige trusselbriefing. Bli med dine andre Health-ISAC-medlemmer når Health-ISAC-ansatte og partnerorganisasjoner gir en oversikt over trussellandskapet. Presentasjoner inkluderer en vurdering av nye skadelig programvare, APT-trender, juridiske og regulatoriske problemer, fysiske sikkerhetsproblemer og mer. Vi oppfordrer alle Health-ISAC-medlemmer til å benytte seg av denne tjenesten.

Europeisk handlingsplan for cybersikkerhet for sykehus og helsetjenester

Tilbake i august i fjor, Hacking Healthcare gjennomgikk det Ursula von der Leyen, som nylig ble gjenvalgt til stillingen som president for EU-kommisjonen, hadde skissert som politiske prioriteringer for den kommende Europakommisjonens sesjon.[I] Inkludert i hennes 31-siders politiske posisjonsdokument, Europas valg: Politiske retningslinjer for den neste EU-kommisjonen 2024-2029,[Ii] var et forslag til "en europeisk handlingsplan for cybersikkerhet til sykehus og helsepersonell i de første 100 dagene av mandatet."[Iii] 

Den 15. januar leverte von der Leyen det forslaget med publiseringen av Europeisk handlingsplan for cybersikkerhet for sykehus og helsetjenester.[Iv] 

Hva er handlingsplanen?

På et høyt nivå foreslår handlingsplanen koordinering og tiltak på EU-nivå fra Kommisjonen, ENISA og medlemslandene for å forbedre cybersikkerheten til sykehus og helsepersonell. Innsatsen vil inkludere skreddersydd veiledning, verktøy, tjenester og opplæring til sykehus og helsepersonell, og disse handlingene vil stort sett falle inn i fire prioriteringsområder: Forebygg, oppdage, svare og gjenopprette og avskrekke.   

Hva er begrunnelsen for Handlingsplanen?

EU-kommisjonen siterte en rekke begrunnelser for handlingsplanen som inkluderte en økning i frekvens og sofistikering av cybertrusselaktivitet mot helsesektoren; kritikkverdigheten av helsetjenesters tjenester og behovet for å redusere pasientskader; bekymring for erosjon av offentlig tillit som følge av angrep mot helsesektoren; et ønske om å forbedre sikkerhet og motstandskraft i en periode med digital transformasjon og utvidelse av angrepsflater; og potensialet til å komplementere flaggskippolitikk som European Health Data Space.  

Hvem vil handlingsplanen gjelde for? 

Handlingsplanens omfang er bredt definert som "hovedsakelig [fokusert] på cybersikkerheten til sykehus og helsepersonell."[V] Imidlertid erkjenner den også at den bør ta hensyn til det bredere økosystemet og forsyningskjeden.

Hva foreslår handlingsplanen?

Handlingsplanen inkluderer en lang liste over foreslåtte handlinger som må utføres av Europakommisjonen selv, det europeiske cybersikkerhetsbyrået ENISA, europeiske medlemslands myndigheter og av ulike deler av den private sektoren. Noen av de mer betydningsfulle forslagene inkluderer:

  • ENISA – Opprettelsen av et dedikert europeisk støttesenter for cybersikkerhet for sykehus og helsepersonell.
  • ENISA – Opprettelsen av en europeisk katalog over kjente utnyttede sårbarheter (KEV) for medisinsk utstyr, elektroniske helsejournalsystemer og leverandører av IKT-utstyr og programvare innen helse.
  • ENISA – Utviklingen av cyberhendelsesrespons-håndbøker skreddersydd for helsevesenet.
  • EU-kommisjonen – Utvikling av pilotprogrammer for å utvikle beste praksis for cyberhygiene og sikkerhetsrisikovurdering, samt adressere behovet for kontinuerlig cybersikkerhetsovervåking, trusseletterretning og hendelsesrespons.
  • Medlemsland – Vil bli oppfordret til å legge til rette for ressursdeling blant helseleverandører, potensielt gjennom felles anskaffelser eller felles ressurser for å øke forhandlingsstyrken med leverandører av nettsikkerhetstjenester. 
  • Medlemsland – Vil bli oppfordret til å sette ikke-bindende finansieringsreferanser for enheter i helsesektoren og overvåke finansieringsmål. 
  • Industri – Cybersikkerhetsselskaper, stiftelser, utdanningsinstitusjoner og interessenter i industrien vil bli oppmuntret til å love tiltak for å møte utfordringene i sektoren (f.eks. styrke nettsikkerhetstrening, øke bevissthetsaktiviteter, tilby administrerte sikkerhetstjenester til reduserte kostnader og dele trusselinformasjon med ENISA) .

Det er alt for mange foreslåtte tiltak til å dekke dem alle her, men vedlegget til handlingsplanen inneholder en omfattende oversikt sortert etter ansvarlig enhet.

Hva kommer neste?

EU-kommisjonen forventes å starte offentlige konsultasjoner snart. Ved siden av konsultasjonene har EU-kommisjonen sagt at diskusjoner vil fortsette med medlemsland og "relevante nettverk" for å "samle inn mer innsikt." Resultatene av tilbakemeldingene er ment å informere om ytterligere anbefalinger og revisjoner av handlingsplanen innen utgangen av året.

 

Handling og analyse
**Tilgjengelig med Health-ISAC-medlemskap**

 

[I] https://health-isac.org/health-isac-hacking-healthcare-8-9-2024/

[Ii]https://commission.europa.eu/document/download/e6cd4328-673c-4e7a-8683-f63ffb2cf648_en?filename=Political%20Guidelines%202024-2029_EN.pdf

[Iii]https://commission.europa.eu/document/download/e6cd4328-673c-4e7a-8683-f63ffb2cf648_en?filename=Political%20Guidelines%202024-2029_EN.pdf

[Iv]https://digital-strategy.ec.europa.eu/en/library/european-action-plan-cybersecurity-hospitals-and-healthcare-providers

[V] Er definert i teksten som "enhver fysisk eller juridisk person - eller enhver annen enhet - som lovlig gir helsetjenester på territoriet til en medlemsstat" 

Enhancing Cybersecurity in Healthcare: The Role of Health-ISAC
Behavioural Incident Response Strategier i kliniske omgivelser