Новые правительственные целевые показатели кибербезопасности важны для руководителя службы информационной безопасности американской больницы или другой медицинской организации. В январе Министерство здравоохранения и социальных служб США (HHS) опубликовало добровольные целевые показатели кибербезопасности для сферы здравоохранения (CPG). Существует два типа показателей: базовые и продвинутые.
Критически важный целевой показатель кибербезопасности: если вы отвечаете за информационную безопасность в американской больнице или другой медицинской организации и считаете новые «добровольные» государственные целевые показатели кибербезопасности (CPG), скажем, добровольными, вы игнорируете предупреждающие знаки. «Преимущество CPG в том, что они показывают, откуда дует ветер и каковы нормы и ожидания относительно того, над чем организациям следует работать», — говорит Taylor Lehmann, директор в офисе директора по информационной безопасности Google Cloud.
«Может быть, это произойдёт не сегодня, но то, что содержится в документе HHS, способно превратиться в настоящее итоговое регулирование или новые обязательные нормативные требования», — заявил Taylor Lehmann. «Если вы считаете, что добровольный характер означает, что делать ничего не нужно, вы, скорее всего, ошибаетесь. Добровольная цель становится обязательной — так часто происходит и с другими нормативными актами в области безопасности в здравоохранении». Информационная безопасность остаётся вызовом.
В начале января, когда рекордные 46 медицинских сетей (то есть 141 больница) всё ещё были затронуты атаками программ-вымогателей и утечками данных в 2023 году, ходили слухи о том, что Белый дом вскоре потребует от американских больниц соблюдения базовых стандартов кибербезопасности перед получением федеральных средств. В этот период киберпреступники, стоявшие за вторжениями, использовали всё более опасные методы вымогательства, чтобы заставить больницы платить выкуп.
В ответ на вопрос о регулировании больниц Центры услуг по программам Medicare и Medicaid (CMS) сослались на концептуальный документ, опубликованный в декабре, в котором описывается стратегия кибербезопасности Министерства здравоохранения и социальных служб США (HHS). Два типа целей. Позже в январе Министерство здравоохранения и социальных служб опубликовало добровольные CPG, специфичные для здравоохранения. Эти цели делятся на две категории — базовые и продвинутые, и в каждой категории есть десять конкретных мер, которые можно предпринять для лучшей защиты от кибератак.
Базовые цели выглядят как элементарные меры безопасности, которые, хочется надеяться, уже действуют в больницах и клиниках. Но, по словам Taylor Lehmann, все они основаны на реальных атаках и компрометациях. «Хотел бы я сказать, что всё это совершенно очевидно, но, очевидно, не всё было предано огласке», — сказал он. Они включают устранение известных уязвимостей, использование многофакторной аутентификации, внедрение защиты электронной почты, обучение сотрудников безопасным действиям, шифрование конфиденциальных данных и отзыв учётных данных сотрудников, подрядчиков и волонтёров при их уходе из организации.
Планирование реагирования на инциденты, использование уникальных учётных данных, разделение пользовательских и привилегированных учётных записей и оценка рисков, связанных с поставщиками, также входят в базовые цели. Ещё одна важная цель — отзыв учётных данных сотрудника при его уходе из компании — тоже не так проста, как кажется. «Если вы университетская система здравоохранения и у вас пять или более академических учреждений, вы не знаете, когда эти студенты получают дипломы и когда они уходят», — заявил Lyman.
Конфиденциальность данных и защита персональной информации пациентов (PII) и данных о здоровье долгое время считались единственной целью обеспечения медицинской помощи, поскольку несоблюдение требований о защите конфиденциальной информации может привести к проблемам с государственными органами. «Доступность так же важна, если не важнее, чем конфиденциальность», — сказал Lehmann. Он добавил, что многие медицинские организации недостаточно изменились, чтобы рассматривать безопасность таким образом. «Меня беспокоит, скомпрометированы ли мои данные, но ещё больше меня беспокоит перспектива умереть из-за этого».