Organizacje zajmujące się opieką zdrowotną, niezależnie od rodzaju i wielkości, będą musiały przestrzegać bardziej rygorystycznych standardów cyberbezpieczeństwa od 2025 r. na mocy nowych proponowanych przepisów, jednak nie wszystkie mają na to budżet.
Od samego początku HIPAA była najlepszą, ale niewystarczającą regulacją dotyczącą cyberbezpieczeństwa w branży opieki zdrowotnej.
„[Istnieje] historia niewłaściwego skupiania się na kwestiach z powodu sposobu, w jaki HIPAA zostało sformułowane w połowie lat 1990.”, mówi Errol Weiss, główny dyrektor ds. bezpieczeństwa informacji (CISO) w Healthcare Information Sharing and Analysis Center (Health-ISAC). „W tamtym czasie istniał duży nacisk na przenoszenie dokumentacji medycznej i medycznej na nośnik elektroniczny. A wraz z wprowadzeniem przepisów HIPAA chodziło o ochronę prywatności pacjentów, ale niekoniecznie o zabezpieczenie tych dokumentacji”.
Skupienie się HIPAA na prywatności ograniczyło jej zdolność do radzenia sobie z bardziej zróżnicowanymi zagrożeniami cyberbezpieczeństwa w latach 2010., w szczególności ransomware. Tymczasem zamiast używać go jako punktu odniesienia do opracowania solidnej postawy bezpieczeństwa, organizacje traktowały HIPAA bardziej jako zestaw pól do zaznaczenia. „Skończyło się na tym, że kierowanie budżetów na zgodność, a niekoniecznie na bezpieczeństwo. A w ciągu ostatnich pięciu lub sześciu lat widzieliśmy, co się dzieje w środowisku, które nie jest odpowiednio zabezpieczone, nie jest odpowiednio zabezpieczone, nie jest odpowiednio zabezpieczone, gdy jest atakowane przez ransomware”, mówi Weiss.
„Nawet jeśli już przestrzegają wszystkich kontroli NIST”, szacuje Pingree z Dispersive, wdrożenie nowych zasad bezpieczeństwa HIPAA „może kosztować zaledwie 100,000 XNUMX dolarów w przypadku małego gabinetu lekarskiego, a wiele milionów, jeśli jest się dużą grupą medyczną”.
Jednym z możliwych sposobów, w jaki rozciągnięte organizacje opieki zdrowotnej mogą poruszać się po wszystkich tych nowych przepisach i związanych z nimi kosztach, jest zewnętrzny, wirtualny dyrektor ds. bezpieczeństwa informacji (vCISO), według Weissa. Ponieważ „nie chodzi tylko o zakup technologii. Chodzi również o rekrutację i zatrzymanie ekspertów ds. cyberbezpieczeństwa, których potrzebujesz do prowadzenia”, mówi.
„Te organizacje nie wiedzą, od czego zacząć” — kontynuuje. „Rynek cyberbezpieczeństwa jest bardzo zagmatwany. Jest wielu graczy. Jest wiele rozwiązań. Więc jeśli masz 100 dolarów do wydania na cyberbezpieczeństwo, gdzie je wydajesz? Potrzebują pomocy, aby móc to wszystko rozgryźć. I myślę, że coś takiego jak wirtualny CISO może pomóc wdrożyć strategię, a następnie być wirtualnie — aby się meldować, być zasobem dla tej organizacji, gdy ma pytania i potrzebuje pomocy. Wydaje się, że to przyzwoity model dla tych małych wiejskich szpitali, które niekoniecznie mogłyby uzasadnić lub zatrudnić pełnoetatowego CISO”.
Przeczytaj cały artykuł w Dark Reading. Kliknij tutaj
