5 sposobów zabezpieczenia elektronicznej dokumentacji zdrowotnej
Liczba zgubionych lub skradzionych elektronicznych kart zdrowia (EHR) rośnie z roku na rok pomimo najlepszych wysiłków organizacji zajmujących się opieką zdrowotną i coraz bardziej rygorystycznego przestrzegania ustawy HIPAA.
Według dziennika HIPAA w samym styczniu naruszono nieco ponad pół miliona rekordów. Teraz pół miliona rekordów może nie wydawać się dużo w porównaniu z innymi naruszeniami, takimi jak naruszenia w mediach społecznościowych, ale delikatny charakter EHR sprawia, że naruszenie jest potencjalnie niezwykle szkodliwe.
Jeśli osoba atakująca zdobędzie EHR lub EHR zostanie sprzedany na czarnym rynku, potencjalne ryzyko kradzieży tożsamości jest ogromne. Niektóre badania sugerują nawet, że EHR może być wart do 1000 dolarów na czarnym rynku, co sprawia, że pół miliona rekordów naruszonych w styczniu nagle nabiera zupełnie nowej wartości.
Mając to na uwadze, rzućmy okiem na niektóre taktyki, które organizacje opieki zdrowotnej mogą zastosować w celu zwiększenia bezpieczeństwa elektronicznej dokumentacji medycznej.
Rynek cyberbezpieczeństwa, zwłaszcza w sektorze opieki zdrowotnej, to stale rozwijający się świat zagrożeń. Aby nadążać za postępami atakujących i mieć pewność, że rozwijające się środowisko IT utrzymuje ten sam poziom bezpieczeństwa, wymagane są regularne oceny ryzyka IT.
Jeśli chcesz uzyskać więcej szczegółów na temat przeprowadzania oceny ryzyka IT, napisaliśmy blog na ten temat. Jednak najważniejsze punkty to upewnienie się, jakie są ryzyka i zagrożenia stojące przed systemami krytycznymi i EHR, ocena obszarów, w których możesz być podatny na ataki, identyfikacja i porządkowanie danych w oparciu o ryzyko oraz podjęcie działań w celu złagodzenia potencjalnych zagrożeń.
Nie wystarczy robić tego raz w roku, czy nawet dwa razy w roku. Aby naprawdę mieć pewność, że Twoje środowisko IT jest o krok przed krajobrazem zagrożeń cyberbezpieczeństwa, oceny ryzyka IT należy przeprowadzać tak często, jak to możliwe.
Wiele ataków na bezpieczeństwo cybernetyczne, w tym obecnie niesławny atak WannaCry, może siać spustoszenie poprzez wykorzystanie niezałatanych naszych przestarzałych urządzeń medycznych. Wiele osób spoza branży opieki zdrowotnej może być zaskoczonych, gdy dowie się, że zdecydowana większość szpitali i firm farmaceutycznych korzysta z wspólnych systemów operacyjnych, takich jak Linux i Windows, co czyni je tak samo podatnymi na ataki cybernetyczne jak wszyscy inni.
Prawdopodobnie jedną z najskuteczniejszych technik cyberbezpieczeństwa jest religijna i niemal fanatyczna obsesja na punkcie utrzymywania aktualnego i w pełni załatanego środowiska oprogramowania - łącznie z każdym używanym urządzeniem.
Branży opieki zdrowotnej nie jest obce zjawisko Bring Your Own Device (BYOD) i związane z nim zagrożenia bezpieczeństwa. Organizacje opieki zdrowotnej muszą jednak upewnić się, że wprowadziły odpowiednie kontrole bezpieczeństwa, praktyki, zasady, procesy i technologię, aby zapewnić ochronę dostępu do informacji dotyczących opieki zdrowotnej na urządzeniach osobistych.
Idealnie byłoby, gdyby organizacje opieki zdrowotnej nigdy nie pozwalały na dostęp do danych pacjentów z urządzeń osobistych. Wirtualne komputery stacjonarne mogą to ułatwić, ale często nadmiernie obciążają budżety opieki zdrowotnej ze względu na wysokie koszty wdrożenia zaplecza. Dlatego najlepszym rozwiązaniem wydają się urządzenia mobilne.
Istnieją jednak sposoby, dzięki którym możesz mieć pewność, że BYOD nie doprowadzi do powstania luk w zabezpieczeniach Twoich danych. Rozwiązania do zarządzania urządzeniami mobilnymi oferują możliwość szyfrowania danych uzyskiwanych na urządzeniach mobilnych, usuwania danych w przypadku zgubienia lub kradzieży urządzenia, oddzielania danych osobistych od służbowych i wiele więcej. Jest to pozycja obowiązkowa dla osób działających w środowisku BYOD, które poważnie traktują swoje bezpieczeństwo.
Jednym z największych zagrożeń dla bezpieczeństwa danych w branży opieki zdrowotnej, które często pozostaje bez rozwiązania, są osoby mające dostęp do informacji poufnych. Pracownicy posiadający uprzywilejowany dostęp do najbardziej wrażliwych informacji, w tym do elektronicznej dokumentacji medycznej, bardzo często są przyczyną największych i najbardziej kosztownych naruszeń bezpieczeństwa danych. Dzieje się tak dlatego, że zagrożenie wewnętrzne może mieć charakter złośliwy lub przypadkowy i pozostać niezauważone przez długi czas ze względu na swój nieinwazyjny charakter.
Jedynym sposobem na odpowiednią ochronę przed zagrożeniami wewnętrznymi jest zapewnienie sposobu na ciągłe monitorowanie ich działań i możliwie najszybsze zgłaszanie podejrzanych lub nieautoryzowanych zmian. Niestety, najczęstszym podejściem do tego jest wbudowana funkcja zarządzania logami. Chociaż jest to lepsze niż nic, nie jest wystarczająco potężne, aby naprawdę wpłynąć na poziom bezpieczeństwa cybernetycznego. Dzieje się tak dlatego, że wydobycie znaczących informacji z nieprzetworzonych kłód może być trudne, a proces dochodzenia może być zarówno złożony, jak i czasochłonny.
Rozwiązania innych firm do audytu zmian mogą pomóc zespołom IT w branży opieki zdrowotnej zwiększyć bezpieczeństwo IT poprzez proaktywne audyty, monitorowanie i powiadamianie w czasie rzeczywistym o zmianach wprowadzanych w elektronicznych danych zdrowotnych i krytycznych systemach informatycznych. Mogą umożliwić użytkownikom lepsze zrozumienie, gdzie znajdują się wrażliwe dane, kto ma do nich dostęp, jakie zmiany są w nich wprowadzane i wiele więcej.
Często organizacje niepotrzebnie gromadzą, przechowują i przetwarzają ogromne ilości danych. Takie dane i nieaktualne konta mogą stwarzać ogromne możliwości dla hakerów. Wiele przepisów dotyczących zgodności, w tym HIPAA, wymaga regularnego przeglądania i usuwania niepotrzebnych danych pacjenta ze względu na jego bezpieczeństwo.
Ogólną zasadą jest konsekwentne klasyfikowanie danych, oddzielanie danych wrażliwych od tych, które można usunąć. Utrzymywanie baz danych i systemów w czystości może drastycznie zmniejszyć ryzyko naruszenia bezpieczeństwa danych.