Zdravotnícke organizácie všetkých tvarov a veľkostí budú od roku 2025 dodržiavať prísnejšie normy kybernetickej bezpečnosti s novými navrhovanými pravidlami, no nie všetky na to majú rozpočet.
Od začiatku bola HIPAA vždy najlepšou, no nedostatočnou reguláciou, ktorá diktuje kybernetickú bezpečnosť pre zdravotnícky priemysel.
„[Existuje] história zamerania sa na nesprávnom mieste kvôli spôsobu, akým bol HIPAA stanovený v polovici 1990. rokov,“ hovorí Errol Weiss, hlavný dôstojník informačnej bezpečnosti (CISO) Centra pre zdieľanie a analýzu zdravotníckych informácií (Health-ISAC). „V tom čase bol veľký tlak na prenos lekárskych a zdravotných záznamov na elektronické médium. A s príchodom nariadení HIPAA to bolo všetko o ochrane súkromia pacientov, ale nie nevyhnutne o zabezpečení týchto záznamov.“
Zameranie HIPAA na súkromie obmedzilo v roku 2010 jeho schopnosť riešiť rôzne hrozby kybernetickej bezpečnosti, najmä ransomvér. Medzitým, namiesto toho, aby ho používali ako základ pre vývoj robustnej bezpečnostnej pozície, organizácie mali tendenciu považovať HIPAA skôr za súbor políčok na kontrolu. "Skončilo sa to smerovanie rozpočtov k dodržiavaniu predpisov a nie nevyhnutne k bezpečnosti. A za posledných päť alebo šesť rokov sme videli, čo sa stane v prostredí, ktoré nie je správne zabezpečené, nie je správne viazané, nie je správne zálohované, keď ich zasiahne ransomvér,“ hovorí Weiss.
„Aj keď už dodržiavajú všetky kontroly NIST,“ odhaduje Pingree z Dispersive, implementácia nových bezpečnostných pravidiel HIPAA „by mohla stáť len 100,000 XNUMX dolárov pre malú lekársku ordináciu, alebo by to mohlo byť mnoho miliónov, ak ste veľký lekár. skupina.”
Podľa Weissa je jedným z možných spôsobov, ako by sa napnuté zdravotnícke organizácie mohli orientovať vo všetkých týchto nových pravidlách a s nimi spojených nákladoch, s externým virtuálnym riaditeľom informačnej bezpečnosti (vCISO). Pretože „nie je to len o nákupe technológie. Je to tiež o nábore a udržaní odborných znalostí v oblasti kybernetickej bezpečnosti, ktoré potrebujete na to, aby ste ich mohli prevádzkovať,“ hovorí.
„Tieto organizácie nevedia, kde začať,“ pokračuje. „Trh kybernetickej bezpečnosti je veľmi mätúci. Je tam veľa hráčov. Riešení je veľa. Ak teda máte 100 dolárov na kybernetickú bezpečnosť, kam ich miniete? Potrebujú pomoc, aby na to všetko prišli. A myslím si, že niečo ako virtuálny CISO môže pomôcť implementovať stratégiu a potom byť na virtuálnom základe – prihlásiť sa, byť zdrojom pre túto organizáciu, keď majú otázky a potrebujú pomoc. Zdá sa, že ide o slušný model pre tieto malé vidiecke nemocnice, ktoré nemusia nevyhnutne ospravedlniť alebo najať CISO na plný úväzok.“
Prečítajte si celý článok v Dark Reading. Kliknite tu
