Ignorar os objetivos de cibersegurança do Tio Sam? Cuidado para não se machucar!

Ignorar os objetivos de cibersegurança do Tio Sam? Cuidado para não se machucar! é perfilado pela BTW Media porque evidências publicadas o vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

Os novos objetivos de desempenho em cibersegurança do governo são importantes para o serviço responsável pela segurança da informação em um hospital americano ou outra organização de saúde. Em janeiro, o Departamento de Saúde e Serviços Humanos dos EUA (HHS) publicou objetivos de desempenho em cibersegurança voluntários, específicos para a área da saúde (CPG). Existem dois tipos de objetivos: os objetivos básicos e os objetivos avançados.

Objetivo crítico de desempenho em cibersegurança: se você é responsável pela segurança da informação em um hospital americano ou outra organização de saúde, e considera os novos objetivos de desempenho em cibersegurança (CPG) 'voluntários' do governo como, digamos, voluntários, você está ignorando os sinais de alerta. 'A vantagem dos CPGs é que eles indicam para onde o vento vai soprar, e quais são as normas e expectativas sobre o que as organizações devem trabalhar', afirma Taylor Lehmann, diretor no Escritório do Diretor de Segurança da Informação do Google Cloud.

'Isso pode não acontecer hoje, mas o que está no documento do HHS é suscetível de se tornar uma regulamentação final real ou novos requisitos regulatórios com força de lei', disse Taylor Lehmann. 'Se você pensa que a natureza voluntária não significa que você precisa fazer algo, você provavelmente está enganado. O objetivo voluntário se torna obrigatório, o que é frequentemente o caso para outras regulamentações na área da saúde em matéria de segurança.' A segurança da informação continua sendo um desafio.

No início de janeiro, enquanto um número recorde de 46 redes de saúde (ou 141 hospitais) ainda era afetado por infecções de ransomware e roubo de dados em 2023, circularam rumores de que a Casa Branca em breve exigiria que hospitais americanos cumprissem normas básicas de cibersegurança antes de receber fundos federais. Durante esse período, os criminosos por trás das invasões usaram métodos de extorsão cada vez mais perigosos para forçar os hospitais a pagar resgates.

Questionados sobre a regulamentação hospitalar, os Centros de Serviços Medicare e Medicaid (CMS) encaminharam o Sign-up a um documento conceitual publicado em dezembro, descrevendo a estratégia de cibersegurança do Departamento de Saúde e Serviços Humanos dos EUA (HHS). Dois objetivos Mais tarde em janeiro, o Departamento de Saúde e Serviços Humanos publicou um CPG voluntário específico para a área da saúde. Esses objetivos se dividem em duas categorias, básico e avançado, e cada categoria contém dez medidas específicas que você pode tomar para se proteger melhor contra ataques cibernéticos.

O objetivo básico se assemelha a medidas de segurança elementares que já se espera estarem em vigor em hospitais e clínicas. Mas, segundo Taylor Lehmann, todas são baseadas em ataques e comprometimentos reais. 'Gostaria de dizer que tudo isso é muito óbvio, mas obviamente, nem todas foram tornadas públicas', disse ele. Elas incluem mitigação de vulnerabilidades conhecidas, uso de autenticação multifator, implementação de segurança de e-mail, treinamento de funcionários em comportamentos seguros, criptografia de dados sensíveis e revogação de credenciais de funcionários, contratados e voluntários quando eles deixam a organização.

O planejamento básico de resposta a incidentes, uso de identificadores únicos, separação de contas de usuário e privilegiadas, e avaliação de riscos de fornecedores fazem parte dos objetivos básicos. Outro objetivo importante, a revogação das credenciais de um funcionário quando ele sai da empresa, também não é tão simples quanto parece. 'Se você é um sistema de saúde universitário e tem cinco ou mais instituições acadêmicas, você não sabe quando esses estudantes se formam e quando eles vão embora', disse Lyman.

A confidencialidade dos dados e a proteção de informações pessoais identificáveis (PII) dos pacientes e dados de saúde foram por muito tempo consideradas o único objetivo para garantir a assistência médica, pois o não cumprimento da proteção de informações confidenciais pode levar a dificuldades com agências governamentais. 'A disponibilidade é tão importante, senão mais, que a confidencialidade', disse Lehmann. Ele acrescentou que muitas instituições de saúde não evoluíram o suficiente para considerar a segurança dessa forma. 'Eu me importo se meus dados estão comprometidos, mas me importo ainda mais em morrer por causa disso.'