Organizações de saúde de todos os tamanhos e formatos serão submetidas a padrões mais rigorosos de segurança cibernética a partir de 2025 com novas regras propostas, mas nem todas têm orçamento para isso.
Desde o início, a HIPAA sempre foi a melhor, porém insuficiente, regulamentação que dita a segurança cibernética para o setor de saúde.
“[Há] um histórico de foco no lugar errado devido à forma como o HIPAA foi elaborado em meados da década de 1990”, diz Errol Weiss, diretor de segurança da informação (CISO) do Healthcare Information Sharing and Analysis Center (Health-ISAC). “Na época, houve um grande esforço para transferir registros médicos e de saúde para o meio eletrônico. E com o advento dos regulamentos HIPAA, era tudo sobre proteger a privacidade do paciente, mas não necessariamente proteger esses registros.”
O foco da HIPAA na privacidade limitou sua capacidade de lidar com ameaças de segurança cibernética mais diversas na década de 2010, particularmente ransomware. Enquanto isso, em vez de usá-la como uma linha de base para desenvolver uma postura de segurança robusta, as organizações tendiam a tratar a HIPAA mais como um conjunto de caixas a serem marcadas. “Acabou direcionar orçamentos para a conformidade e não necessariamente para a segurança. E nos últimos cinco ou seis anos, vimos o que acontece em um ambiente que não está devidamente protegido, não está devidamente vinculado, não tem backup adequado, quando são atingidos por ransomware”, diz Weiss.
“Mesmo que eles já estejam seguindo todos os controles do NIST”, estima Pingree, da Dispersive, implementar as novas regras de segurança da HIPAA “poderia custar apenas US$ 100,000 para um pequeno consultório médico, ou pode custar muitos milhões se você for um grande grupo médico”.
Uma maneira possível de organizações de saúde sobrecarregadas navegarem por todas essas novas regras e seus custos associados é com um diretor de segurança da informação virtual terceirizado (vCISO), de acordo com Weiss. Porque "não se trata apenas de comprar a tecnologia. Trata-se também de recrutar e reter a expertise em segurança cibernética que você precisa para executar", ele diz.
“Essas organizações não sabem por onde começar”, ele continua. “O mercado de segurança cibernética é muito confuso. Há muitos participantes. Há muitas soluções. Então, se você tem US$ 100 para gastar em segurança cibernética, onde você gasta isso? Eles precisam de ajuda para conseguir descobrir tudo isso. E eu acho que algo como um CISO virtual pode ajudar a implementar uma estratégia e, então, estar por perto em uma base virtual — para verificar, ser um recurso para essa organização quando eles têm perguntas e precisam de ajuda. Parece um modelo decente para esses pequenos hospitais rurais que não poderiam necessariamente justificar ou contratar um CISO em tempo integral.”
Leia o artigo completo no Dark Reading. Clique aqui
