Organizațiile din domeniul sănătății de toate formele și dimensiunile vor fi ținute la un standard mai strict de securitate cibernetică începând din 2025 cu noi reguli propuse, dar nu toate au bugetul necesar.
De la început, HIPAA a fost întotdeauna cea mai bună, dar insuficientă, reglementare care dictează securitatea cibernetică pentru industria de sănătate.
„[Există] o istorie a focalizării în locul greșit din cauza modului în care HIPAA a fost stabilit la mijlocul anilor 1990”, spune Errol Weiss, Chief Information Security Officer (CISO) al Centrului de Partajare și Analiză a Informațiilor de Sănătate (Health-ISAC). „La acea vreme, a existat acest mare impuls de a transfera dosarele medicale și de sănătate pe mediul electronic. Și odată cu apariția reglementărilor HIPAA, totul a fost despre protejarea confidențialității pacienților, dar nu neapărat securizarea acelor înregistrări.”
Accentul acordat de HIPAA asupra confidențialității și-a limitat capacitatea de a aborda mai multe amenințări la adresa securității cibernetice în anii 2010, în special ransomware. Între timp, în loc să-l folosească ca bază pentru dezvoltarea unei poziții de securitate robuste, organizațiile au avut tendința de a trata HIPAA mai mult ca pe un set de căsuțe de bifat. „S-a terminat conduce bugetele spre conformitate și nu neapărat spre securitate. Și în ultimii cinci sau șase ani, am văzut ce se întâmplă într-un mediu care nu este securizat corespunzător, nu este legat corespunzător, nu este susținut corespunzător, atunci când sunt loviti de ransomware”, spune Weiss.
„Chiar dacă urmează deja toate controalele NIST”, estimează Dispersive's Pingree, implementarea noilor reguli de securitate HIPAA „ar putea costa până la 100,000 de dolari pentru un cabinet mic de medic, sau ar putea fi multe milioane dacă sunteți un mare medic. grup."
O posibilă modalitate prin care organizațiile din domeniul sănătății pot naviga prin toate aceste noi reguli și costurile asociate este cu un ofițer virtual de securitate a informațiilor (vCISO) externalizat, potrivit Weiss. Pentru că „nu este vorba doar de cumpărarea tehnologiei. Este, de asemenea, despre recrutarea și păstrarea expertizei în securitate cibernetică de care aveți nevoie pentru a o conduce”, spune el.
„Aceste organizații nu știu de unde să înceapă”, continuă el. „Piața securității cibernetice este foarte confuză. Sunt foarte multi jucatori. Există o mulțime de soluții. Deci, dacă aveți 100 USD de cheltuit pentru securitatea cibernetică, unde îi cheltuiți? Au nevoie de ajutor pentru a putea înțelege toate acestea. Și cred că ceva de genul unui CISO virtual poate ajuta la implementarea unei strategii și apoi să fie prezent pe o bază virtuală - să se înregistreze, să fie o resursă pentru acea organizație atunci când au întrebări și au nevoie de ajutor. Pare un model decent pentru aceste mici spitale rurale care nu ar putea neapărat să justifice sau să angajeze un CISO cu normă întreagă.”
Citiți articolul complet în Dark Reading. Click aici
