Przejdź do głównej zawartości

Praktyki i filmy dotyczące cyberbezpieczeństwa w branży opieki zdrowotnej

Seria szkoleń wideo „Cyberbezpieczeństwo dla klinicystów”

Seria szkoleń wideo „Cyberbezpieczeństwo dla lekarzy” trwająca łącznie 47 minut i składająca się z ośmiu filmów, w prostym, nietechnicznym języku wyjaśnia, co lekarze i studenci medycyny muszą wiedzieć na temat tego, w jaki sposób cyberataki mogą wpływać na działalność kliniczną i bezpieczeństwo pacjentów, a także w jaki sposób możesz przyczynić się do ochrony danych opieki zdrowotnej, systemów i pacjentów przed cyberzagrożeniami.

Seria jest dobra na jedną godzinę kredytową CME/CEU. Korzystanie z tych filmów szkoleniowych może również spełnić wymagania dotyczące dokumentacji CMS Emergency Preparedness Rule, National Fire Protection Association i The Joint Commission for facility Hazard Vulnerability Analysis and Risk Analysis and Training.

O tej serii filmów

Zdecydowanie zachęcamy wszystkie systemy opieki zdrowotnej do włączenia tej serii do swoich programów szkoleniowych; grupy branżowe i stowarzyszenia zawodowe prosimy o zachęcenie swoich członków do pójścia w ich ślady; a firmy z branży technologii medycznych, farmaceutycznej, płatniczej, informatyki medycznej i usługowej prosimy o rozważenie rozszerzenia tej serii na swoich klientów jako uzupełnienia wsparcia.
Obejrzyj całą serię filmów
Inicjatywa 405(d) Aligning Health Care Industry Security Practices wraz z publikacją Health Industry Cybersecurity Practices: Managing Threats and Protecting Patients (HICP), do której odnoszą się te filmy, są realizowane we współpracy z Healthcare and Public Health Sector Coordinating Council (HSCC).
Dowiedz się więcej o inicjatywie
Nowe wydania i informacje prasowe HSCC

Tom techniczny 1:
Praktyki cyberbezpieczeństwa dla małych organizacji opieki zdrowotnej

Pobierz tom 1 w formacie PDF

#1 – Wprowadzenie i systemy ochrony poczty e-mail

Większość małych praktyk korzysta z zewnętrznych dostawców poczty e-mail, zamiast tworzyć dedykowaną wewnętrzną infrastrukturę poczty e-mail. Praktyki ochrony poczty e-mail w tej sekcji są przedstawione w trzech częściach:

  1. Konfiguracja systemu poczty elektronicznej: komponenty i możliwości, które powinny być zawarte w systemie poczty elektronicznej
  2. Edukacja: jak zwiększyć wiedzę i świadomość pracowników na temat sposobów ochrony organizacji przed cyberatakami opartymi na poczcie e-mail, takimi jak phishing i ransomware
  3. Symulacje phishingu: sposoby zapewnienia personelowi szkoleń i świadomości na temat wiadomości e-mail phishingowych

#2 – Systemy ochrony punktów końcowych

Wszystkie punkty końcowe małej organizacji muszą być chronione. Ale czym są punkty końcowe? I co może zrobić mała organizacja opieki zdrowotnej, aby chronić swoje punkty końcowe?

Dr David Willis i dr Kendra Siler z Population Health Information Analysis and Sharing Organization w Centrum Kosmicznym im. Kennedy'ego omówią działania, które należy podjąć, aby zmniejszyć ryzyko ataku cybernetycznego na punkty końcowe.

#3 – Zarządzanie dostępem

W tej sekcji omówimy obszar praktyki cyberbezpieczeństwa numer 3 – Zarządzanie dostępem dla małych organizacji opieki zdrowotnej.

Dyskusja będzie podzielona na trzy sekcje:

  1. Czym jest zarządzanie dostępem?
  2. Dlaczego to jest ważne?
  3. W jaki sposób HICP lub „hiccup” może pomóc w usprawnieniu zarządzania dostępem w małych organizacjach opieki zdrowotnej?

#4 – Ochrona danych i zapobieganie ich utracie

Narodowy Instytut Norm i Technologii, w skrócie NIST, definiuje naruszenie danych jako „incydent, w którym poufne, chronione lub tajne informacje są kopiowane, przesyłane, przeglądane, kradzione lub wykorzystywane przez osobę nieupoważnioną”.

Do danych wrażliwych, chronionych lub poufnych zalicza się chronione informacje dotyczące stanu zdrowia (PHI), numery kart kredytowych, dane osobowe klientów i pracowników, a także własność intelektualną i tajemnice handlowe Twojej organizacji.

#5 – Zarządzanie aktywami

Jakie technologie informatyczne lub urządzenia IT masz w swojej organizacji? Czy wiesz, ile laptopów, urządzeń mobilnych i przełączników sieciowych masz we wszystkich swoich lokalizacjach? Które z nich działają na systemie Windows, iOS firmy Apple lub jednym z kilku systemów operacyjnych Android? Jeśli nie jest przymocowany do ściany lub biurka, kto odpowiada za każde urządzenie?

#6 – Zarządzanie siecią

Sieci zapewniają łączność, która umożliwia komunikację między stacjami roboczymi, urządzeniami medycznymi i innymi aplikacjami i infrastrukturą. Sieci mogą przybierać formę połączeń przewodowych lub bezprzewodowych. Niezależnie od formy, ten sam mechanizm, który sprzyja komunikacji, może być użyty do uruchomienia lub rozprzestrzenienia cyberataku. 

Właściwa higiena cyberbezpieczeństwa zapewnia bezpieczeństwo sieci i bezpieczny dostęp wszystkich urządzeń sieciowych do sieci. Nawet jeśli zarządzanie siecią jest zapewniane przez zewnętrznego dostawcę, organizacje powinny zrozumieć kluczowe aspekty właściwego zarządzania siecią i upewnić się, że są one uwzględnione w umowach dotyczących tych usług.

#7 – Zarządzanie podatnością

Zarządzanie podatnością to ciągła praktyka identyfikowania, klasyfikowania, ustalania priorytetów, naprawiania i łagodzenia luk w zabezpieczeniach oprogramowania. Wiele ram zgodności z przepisami dotyczącymi bezpieczeństwa informacji, audytu i zarządzania ryzykiem wymaga od organizacji utrzymywania programu zarządzania podatnością.

#8 – Reagowanie na incydenty

Reagowanie na incydenty to zdolność do identyfikowania podejrzanego ruchu lub cyberataków w sieci, izolowania ich i naprawiania w celu zapobiegania naruszeniom danych, uszkodzeniom lub utracie. Zazwyczaj reagowanie na incydenty jest określane jako standardowe „blokowanie i radzenie sobie” z bezpieczeństwem informacji. Wiele typów incydentów bezpieczeństwa występuje regularnie w organizacjach każdej wielkości. W rzeczywistości większość sieci jest pod ciągłym atakiem podmiotów zewnętrznych.

#9 – Bezpieczeństwo urządzeń medycznych

Systemy opieki zdrowotnej wykorzystują wiele różnych urządzeń w ramach rutynowego leczenia pacjentów. Obejmują one systemy obrazowania, urządzenia, które łączą się bezpośrednio z pacjentem w celach diagnostycznych lub terapeutycznych. Takie urządzenia mogą mieć proste implementacje, takie jak monitory przyłóżkowe, które monitorują parametry życiowe, lub mogą być bardziej skomplikowane, takie jak pompy infuzyjne, które dostarczają specjalistyczne terapie i wymagają ciągłych aktualizacji biblioteki leków. Te złożone i połączone ze sobą urządzenia wpływają na bezpieczeństwo pacjenta, dobre samopoczucie i prywatność oraz stanowią potencjalne wektory ataków w cyfrowym śladzie organizacji. W związku z tym urządzenia te powinny obejmować kontrole bezpieczeństwa w swojej konstrukcji i konfiguracji, aby wspierać wdrażanie w bezpieczny sposób.

#10 – Polityki cyberbezpieczeństwa

Praktyka cyberbezpieczeństwa nr 10: Zasady cyberbezpieczeństwa obejmują najlepsze praktyki będące dokumentem specyficznym dla wdrażania zasad i procedur cyberbezpieczeństwa w Twojej organizacji opieki zdrowotnej.
Każdy dyrektor naczelny szpitala musi wspierać dobry program cyberbezpieczeństwa, który obejmuje szkolenie personelu klinicznego w zakresie podstaw”, powiedział Mark Jarrett, przewodniczący Healthcare and Public Health Sector Coordinating Council (HSCC). Dr Jarrett, który jest również byłym dyrektorem ds. jakości i zastępcą dyrektora medycznego Northwell Health, dodał: „Zaleciłbym każdemu systemowi szpitalnemu w kraju rozważenie wykorzystania „Cyberbezpieczeństwa dla klinicystów” w swoich systemach zarządzania nauką.
Mark Jarrett, przewodniczący Rady Koordynacyjnej ds. Opieki Zdrowotnej i Publicznej, Sektora Zdrowia (HSCC)
W przypadku mniejszych organizacji całkiem normalne jest przekonanie, że nie staniesz się celem ani ofiarą cyberataków. W końcu, dlaczego cyberprzestępca miałby się przejmować Twoim lokalnym biznesem? Prawda jest taka, że ​​większość cyberataków jest „oportunistyczna”; oznacza to, że przestępcy zarzucają szeroką sieć, gdy szukają ofiar. Pomyśl o rybakach morskich. Stosowane przez nich metody obejmują przeszukiwanie mórz, zarzucanie sieci i wyciąganie złowionych ryb.