Починаючи з 2025 року з новими запропонованими правилами, організації охорони здоров’я всіх форм і розмірів будуть дотримуватися більш суворих стандартів кібербезпеки, але не всі мають на це бюджет.
З самого початку HIPAA завжди був найкращим, але недостатнім, регулюванням, яке диктувало кібербезпеку для галузі охорони здоров’я.
«[Існує] історія, коли фокус був не в тому місці через те, як HIPAA був викладений у середині 1990-х років», – каже Еррол Вайс, керівник інформаційної безпеки (CISO) Центру обміну та аналізу інформації в галузі охорони здоров’я (Health-ISAC). «У той час був великий поштовх до переведення медичних записів на електронний носій. І з появою правил HIPAA все було спрямовано на захист конфіденційності пацієнтів, але не обов’язково на захист цих записів».
Зосередженість HIPAA на конфіденційності обмежила його здатність протистояти більш різноманітним загрозам кібербезпеці в 2010-х роках, зокрема програмам-вимагачам. Тим часом замість того, щоб використовувати його як основу для розробки надійної системи безпеки, організації сприймали HIPAA більше як набір полів, які потрібно перевірити. «Це закінчилося спрямовувати бюджети на відповідність і не обов’язково безпеку. І за останні п’ять-шість років ми бачили, що відбувається в середовищі, яке не є належним чином захищеним, не прив’язаним належним чином, не створеним належним чином резервним копіюванням, коли його атакують програми-вимагачі», – каже Вайс.
«Навіть якщо вони вже дотримуються всіх заходів контролю NIST, – оцінює Dispersive’s Pingree, впровадження нових правил безпеки HIPAA “може коштувати лише 100,000 XNUMX доларів для невеликого кабінету лікаря, або багато мільйонів, якщо ви великий медичний працівник. група».
За словами Вайса, одним із можливих способів, якими розтяжні організації охорони здоров’я можуть керувати всіма цими новими правилами та пов’язаними з ними витратами, є залучення аутсорсингу, віртуального керівника інформаційної безпеки (vCISO). Оскільки «йдеться не лише про покупку технології. Йдеться також про залучення та збереження експертів у сфері кібербезпеки, які вам потрібні», — каже він.
«Ці організації не знають, з чого почати», — продовжує він. «Ринок кібербезпеки дуже заплутаний. Гравців багато. Є багато рішень. Отже, якщо у вас є 100 доларів, які можна витратити на кібербезпеку, куди ви їх витратите? Їм потрібна допомога, щоб усе це зрозуміти. І я думаю, що щось на кшталт віртуального CISO може допомогти реалізувати стратегію, а потім працювати на віртуальній основі — перевіряти, бути ресурсом для цієї організації, коли у них є запитання та їм потрібна допомога. Здається, це гідна модель для цих невеликих сільських лікарень, яка не обов’язково може виправдати або найняти CISO на повний робочий день».
Читайте повну статтю в Dark Reading. Натисніть тут
