Health-ISAC Hacking Healthcare 3-29-2024

Marso 29, 2024 | Pag-hack ng Pangangalaga sa Kalusugan

Ngayong linggo, ang Hacking Healthcare ™ ay tungkol sa pag-uulat ng mga insidente sa cyber. Magsisimula tayo sa isang maikling pag-update sa estado ng iminungkahing patakaran ng Cyber Incident Reporting for Critical Infrastructure (CIRCIA). Susunod, susuriin natin nang mas malaliman ang pagsisikap ng European Union (EU) at Estados Unidos (US) na naglalayong tugunan ang paglaganap ng magkakaibang sistema ng pag-uulat ng mga insidente sa cyber.

Bilang paalala, ito ang pampublikong bersyon ng blog ng Hacking Healthcare. Para sa karagdagang malalim na pagsusuri at opinyon, maging miyembro ng H-ISAC at tanggapin ang TLP Amber na bersyon ng blog na ito (magagamit sa Portal ng Miyembro.)

Bersyon ng PDF:

Bersyon ng Teksto:

Maligayang pagdating pabalik sa Hacking Healthcare™.

Ang Pag-uulat ng Cyber Insidente para sa Kritikal na Infrastruktura (CIRCIA) Iminungkahing Panuntunan ay Dumating na!

Matapos ang mahabang dalawang taong paghihintay, dumating na ang panukalang paggawa ng mga patakaran ng CIRCIA. [i]

Bilang paalala kung ano ito, ang CIRCIA ay naipasa ng Kongreso at nilagdaan bilang batas noong Marso 2022. Kinakailangan nito ang Cybersecurity and Infrastructure Security Agency (CISA) na “bumuo at magpatupad ng mga regulasyon na nag-aatas sa mga sakop na entity na mag-ulat sa mga insidente sa cyber at mga pagbabayad ng ransom na sakop ng CISA. [ii] Bagama't naglatag ang Kongreso ng ilang kinakailangang inklusyon at mga bantay para sa kung ano ang magiging hitsura ng rehimeng ito ng pag-uulat ng insidente, tulad ng pag-aatas sa mga sakop na entity na mag-ulat ng mga sakop na insidente sa loob ng 72 oras, ang mga detalye kung sino ang sakop, anong mga insidente ang sakop, at ang uri at nilalaman ng mga ulat ay malawakang ipinaubaya sa isang proseso ng paggawa ng patakaran ng CISA.

Ang Health-ISAC at Healthcare and Public Health Sector Coordinating Council (HSCC) Cybersecurity Working Group ay nakikibahagi sa isyung ito mula nang magsimula ang proseso, at makikita mo ang kanilang mga unang komento sa kung paano dapat lapitan ng CISA ang unang draft sa mga sumusunod na pampublikong komentong isinumite sa huling bahagi ng 2022:

https://www.regulations.gov/comment/CISA-2022-0010-0123

Ngayon sa iminungkahing paglapag ng panuntunan sa Federal Register, sa wakas ay makikita natin ang kasalukuyang pag-iisip ng CISA. Plano naming suriin ang lahat ng 447 na pahina ng draft ng CIRCIA upang masuri ang epekto nito sa sektor ng pangangalagang pangkalusugan sa paparating na isyu ng Hacking HealthcareTM, kaya manatiling nakatutok.

Para sa mga dadalo sa darating na Health-ISAC Spring Summit, nagdagdag lang kami ng roundtable discussion sa agenda sa paksang ito kaya umaasa kaming magkita tayo doon.

Inisyatibo sa Pag-uulat ng Cyber Insidente ng US at EU

Kabilang sa mga pinakamahalagang isyu sa pag-uulat ng insidente sa cyber para sa pribadong sektor ay ang bilang ng mga hindi magkakaugnay na rehimen ng pag-uulat na napapailalim sa mga entidad. Ang problemang ito ay napakalaki kaya sa loob ng US, isang espesyal na konseho ng gobyerno ang nilikha upang subukang tumulong sa pag-coordinate at pag-harmonize ng mga pederal na kinakailangan sa pag-uulat ng insidente sa cyber. [i] Gayunpaman, ang isyung ito ay lumalampas sa mga pambansang hangganan. Ang mga entidad na nagpapatakbo sa buong mundo ay nahaharap sa lalong nakakatakot na pagkakataon ng pagsisikap na sumunod sa posibleng dose-dosenang iba't ibang rehimen ng pag-uulat ng insidente sa cyber na may iba't ibang mga kinakailangan. Bilang pagkilala sa isyung ito, ang US at EU ay gumawa ng mga unang hakbang patungo sa potensyal na pagpapagaan ng pasanin na ito. [ii]

DHS at DG Connect Initiative

Noong Marso 20, ang Directorate General for Communications, Networks, Content, and Technology (DG CONNECT) ng European Commission at ang US Department of Homeland Security (DHS) ay magkasamang naglathala ng isang pahayag na nagpapahayag ng isang inisyatibo upang ihambing at subukang ihanay ang mga pamamaraan sa pag-uulat ng mga insidente sa cyber. [iii] , [iv] Ipinagmalaki ng mga opisyal mula sa parehong organisasyon ang pagsisikap bilang paraan upang higit pang makipagtulungan sa mga isyu sa cybersecurity habang "[binabawasan] din ang pasanin sa administrasyon sa mga entity na nag-uulat." [v]

Ang unang hakbang sa pagsisikap na ito ay ang paglalathala ng isang ulat kasama ng anunsyo. Ang ulat, na pinamagatang, Comparative Assessment of the DHS Harmonization of Cyber Incident Reporting to the Federal Government Report and the Rules on Incident Reporting in the EU Directive on Measures for a High Common Level of Cybersecurity Across the Union (NIS 2 Directive), ay maaaring hindi basta-basta maipaliwanag, ngunit tumpak nitong inilalarawan kung ano ito. [vi]

Ang 16 na pahinang ulat ay nagbibigay ng madaling sundan na paghahambing ng cyber incident reporting guidance ng DHS sa NIS 2 sa mga tuntunin ng mga kahulugan, mga limitasyon sa pag-uulat, mga trigger ng pag-uulat, mga timeline, mga mekanismo ng pag-uulat, mga nilalaman ng ulat, at higit pa.

Mga Susunod na Hakbang

Inilatag ni Iranga Kahangama, DHS Assistant Secretary para sa Cyber, Infrastructure, Risk and Resilience, kung saan maaaring pumunta dito ang DHS at DG Connect.

“Sa susunod na taon, pinaplano ng aming mga team na ipagpatuloy ang aming pakikipagtulungan sa isang mas teknikal na antas, kabilang ang mga elemento ng pagmamapa gaya ng mga taxonomy ng insidente sa cybersecurity, mga template ng pag-uulat, at ang nilalaman ng mga ulat at format. Magsasagawa kami ng malalim na crosswalk ng DHS-developed Model Reporting Form laban sa NIS 2 na kinakailangang nilalaman ng mga ulat upang matukoy kung saan may overlap at pagkakaiba sa mga uri ng data na hinihiling."

Pagkilos at Pagsusuri
**Kasama sa Health-ISAC Membership* *