La nuova era della sanità digitale
Nell'ultimo anno si sono registrati progressi significativi nel settore della sanità e della tecnologia digitale, con aziende che sviluppano continuamente soluzioni a supporto di pazienti e medici. La digitalizzazione e l'automazione in corso dei sistemi sanitari ha un potenziale immenso per migliorare i risultati sanitari. Tuttavia, come abbiamo visto con il recente attacco informatico di alto profilo contro Change Health, la proliferazione dei servizi digitali in ambito sanitario rappresenta anche una sfida senza precedenti per la salvaguardia dei dati medici.
I leader dell'IT sanitario devono implementare solidi controlli di sicurezza e ottenere visibilità sul comportamento degli utenti per monitorare efficacemente l'integrità dei dati. Ciò richiede l'adozione di un approccio incentrato sulla persona e il monitoraggio del movimento dei dati per accertare l'intento e garantire la protezione dei dati. Sebbene la connessione degli utenti ai dati medici sensibili attraverso canali sicuri sia fondamentale, è solo un aspetto di un quadro di sicurezza più ampio. Inoltre, l'automazione dei processi sanitari, oltre a migliorare l'efficienza del processo decisionale, introduce anche il rischio di perdita dei dati. Tale perdita può manifestarsi in varie forme, tra cui furto di informazioni, fughe di dati, manipolazione e condivisione non autorizzata con terze parti. Pertanto, l'implementazione di misure di prevenzione della perdita di dati (DLP) nel settore sanitario è essenziale.
Attacchi informatici di alto profilo all'assistenza sanitaria
Nel 2023, l'Ufficio per i diritti civili (OCR) del Dipartimento della Salute e dei Servizi Umani (HHS) ha segnalato 541 casi di violazione dei dati che hanno interessato oltre 500 persone. Alcuni di questi incidenti hanno riguardato milioni o addirittura decine di milioni di persone, come la violazione ampiamente pubblicizzata di HCA Healthcare durante l'estate.
Il giorno del Ringraziamento dello stesso anno, Ardent Health Services ha subito un attacco ransomware, che ha spinto il sistema di 30 ospedali a chiudere proattivamente e a sospendere l'accesso di tutti gli utenti alle sue applicazioni informatiche. Ciò ha comportato ritardi nelle procedure non urgenti.
A febbraio 2024, HIPAA Journal ha registrato 24 violazioni di dati che hanno coinvolto 10.000 cartelle cliniche.
I cyberattacchi più significativi che hanno preso di mira i fornitori di servizi sanitari quest'anno si sono concentrati su Change Healthcare, una filiale di UnitedHealth Group. Dopo l'attacco ALPHV, l'azienda ha dovuto affrontare una seconda crisi di ransomware. Gli attori della minaccia hanno affermato di essere in possesso di 4 TB di dati dell'azienda, tra cui informazioni di identificazione personale (PII) del personale militare attivo degli Stati Uniti, cartelle cliniche dei pazienti, dettagli dei pagamenti e altro ancora.
Secondo un rapporto dell'American Health Association, quasi il 60% degli ospedali intervistati ha riportato perdite di fatturato giornaliere di almeno 1 milione di dollari e il 74% ha dichiarato che l'incidente di Change Healthcare ha avuto un impatto diretto sull'assistenza ai pazienti all'interno delle loro strutture.
Aumento della regolamentazione federale e statale
All'orizzonte si profilano nuovi requisiti di settore per la sicurezza dei dati sanitari, in quanto i legislatori si stanno muovendo per responsabilizzare le organizzazioni sulla protezione dei dati.
HIPAA
L'HIPAA Privacy Rule, 45 CFR Parte 160 e Sottoparti A ed E della Parte 164, delinea gli usi e le divulgazioni consentiti e richiesti delle informazioni sanitarie protette (PHI). Le informazioni sanitarie protette possono esistere in qualsiasi forma, anche su carta, pellicola e in formato elettronico, e sono considerate informazioni sanitarie identificabili individualmente.
La norma sulla sicurezza HIPAA, 45 CFR Parte 160 e Parte 164, sottoparti A e C, definisce i requisiti per le informazioni elettroniche sui dati personali (ePHI). Le entità coperte e i loro associati d'affari sono tenuti a mantenere la riservatezza, l'integrità e la disponibilità delle ePHI.
La HIPAA Breach Notification Rule, 45 CFR §§ 164.400-414, prevede che le entità coperte da HIPAA e i loro associati d'affari forniscano una notifica in seguito a una violazione di informazioni sanitarie protette non protette.
NIST
NIST Special Publication 800 NIST SP 800-66r2, pubblicato nel febbraio 2024, fornisce una guida per le entità regolamentate (cioè le entità coperte da HIPAA e i business associate) sulla valutazione e la gestione dei rischi per le ePHI, identifica le attività tipiche che un'entità regolamentata potrebbe considerare di implementare come parte di un programma di sicurezza delle informazioni e presenta una guida che le entità regolamentate possono utilizzare, in tutto o in parte, per contribuire a migliorare la loro posizione di sicurezza informatica e assistere nel raggiungimento della conformità con la HIPAA Security Rule.
HHS
Nel dicembre 2023, il Dipartimento della Salute e dei Servizi Umani (HHS) ha pubblicato un documento concettuale che delinea la sua strategia di sicurezza informatica per il settore sanitario. Questa strategia enfatizza l'intensificazione degli sforzi di applicazione e l'istituzione di elevati standard di pratica industriale. Successivamente, nel gennaio 2024, l'HHS ha presentato i suoi obiettivi di performance di cybersecurity (CPG) specifici per il settore dell'assistenza sanitaria e della sanità pubblica. Questi obiettivi sono suddivisi in categorie "essenziali" e "migliorate", con l'obiettivo di affrontare le vulnerabilità di cybersecurity prevalenti nel settore sanitario.
Il programma HHS 405(d) offre una guida pratica alle organizzazioni sanitarie che devono affrontare la complessità dell'implementazione di solide misure di sicurezza dei dati. Questa iniziativa sottolinea l'integrazione strategica dei sistemi di Data Loss Prevention (DLP) come componente fondamentale di un quadro completo di sicurezza dei dati. L'adattamento delle soluzioni DLP alle esigenze specifiche dei flussi di lavoro nel settore sanitario può ridurre significativamente i falsi positivi e migliorare l'efficacia complessiva delle iniziative di protezione dei dati.
Le leggi federali degli Stati Uniti
Leggi federali come il Gramm-Leach-Bliley Act (GLBA), il Family Educational Rights and Privacy Act (FERPA) e il Fair Credit Reporting Act (FCRA) tutelano la riservatezza dei dati personali. Oltre a queste normative federali, continuano ad emergere nuove leggi statali che rafforzano ulteriormente le misure di protezione e privacy dei dati:
Luglio 1, 2023
Sfruttare la prevenzione proattiva della perdita di dati nella sicurezza dei dati sanitari
Con i dati e la sicurezza dei pazienti di primaria importanza, come possono i fornitori di servizi sanitari essere sicuri che i loro strumenti di sicurezza esistenti siano efficaci contro le minacce in evoluzione?
Si è registrato un notevole aumento degli attacchi che hanno preso di mira le strutture sanitarie più piccole e regionali, sottolineando la necessità di adottare misure di sicurezza informatica efficaci. Queste organizzazioni conservano in genere dati estremamente sensibili, il che le rende bersagli privilegiati degli hacker. L'implementazione di approcci di sicurezza "a più livelli", che includano la prevenzione della perdita di dati e il rilevamento proattivo delle minacce, è fondamentale per ridurre al minimo i danni potenziali.
OPSWAT Proactive DLP
La DLP prevede strategie volte a evitare la divulgazione involontaria o non autorizzata di dati sensibili, come le cartelle cliniche dei pazienti o PHI. Questo aspetto è particolarmente cruciale nel settore sanitario, dove la compromissione dei dati personali può avere un impatto profondo sui pazienti, portando potenzialmente al furto di identità o alla compromissione delle cure mediche. Stabilire una solida strategia DLP è imperativo per le organizzazioni per mitigare le violazioni dei dati e sostenere la sicurezza e la riservatezza dei dati sanitari.
Come funziona OPSWAT Proactive DLP
OPSWAT Proactive DLP rileva e blocca i dati sensibili, fuori dalle politiche e riservati presenti nei file e nelle e-mail. Equipaggiato per ridurre le potenziali violazioni dei dati, Proactive DLP impiega una serie completa di misure di sicurezza, tra cui il rilevamento del malware trasportato dai file, l'impiego di una classificazione dei documenti basata sull'intelligenza artificiale e l'utilizzo del riconoscimento ottico dei caratteri (OCR) per l'eliminazione delle informazioni sensibili. Supporta la conformità HIPAA grazie a solide funzionalità di prevenzione della perdita di dati, di controllo degli accessi e di riduzione dei rischi.
Esempi di file DICOM redatti
Prima: Scansione di medicina nucleare originale che mostra le informazioni identificabili del paziente, tra cui nome, ID e data di nascita.
Prima: Immagine radiografica originale che mostra le informazioni identificabili del paziente, tra cui nome, ID e indirizzo.
OPSWAT MetaDefender Piattaforma
OPSWAT MetaDefender La piattaforma offre una prevenzione completa delle minacce su misura per le organizzazioni sanitarie, per gestire i dati sanitari in modo sicuro ed economico. MetaDefender La piattaforma semplifica i processi operativi di sicurezza, è facilmente scalabile e fornisce tecnologie leader di mercato per una strategia di difesa in profondità, quali:
- Deep CDR disattiva i file potenzialmente dannosi e rigenera i contenuti sicuri da usare.
- Multiscanning rileva malware noti e sconosciuti con oltre 30 motori AV.
- Adaptive Sandbox rileva le minacce informatiche con analisi dinamiche e statiche.
- Il Paese di origine limita l'accesso ai dati in base alla posizione e al fornitore.
Scoprite come la piattaforma OPSWAT MetaDefender può aiutare le aziende sanitarie a risolvere i problemi di sicurezza dei dati in questo whitepaper.
Tracciare il futuro della sicurezza sanitaria digitale
Il settore sanitario si trova ad affrontare la minaccia di attacchi informatici sempre più sofisticati, compresi quelli basati sull'intelligenza artificiale, che rappresentano una sfida formidabile che supera le misure di sicurezza convenzionali. Schemi di phishing su misura, sfruttamento automatico delle vulnerabilità dei sistemi e altri fattori di rischio crescenti dovuti all'aumento della digitalizzazione e dell'automazione rappresentano un grave rischio per l'integrità dei dati dei pazienti e la continuità operativa.
Per combattere efficacemente queste minacce in continua evoluzione, i team IT del settore sanitario devono implementare solidi protocolli di protezione dei dati per proteggere i dati sensibili dalle minacce. Questo approccio proattivo assicura che le organizzazioni sanitarie siano ben equipaggiate per soddisfare gli standard di conformità e continuare a fornire cure critiche ai loro pazienti.
Secure i dati sensibili della vostra organizzazione oggi stesso.
