建站
咨詢
售后
建站咨詢
新聞中心
在訪談中，谷歌云CISO辦公室主任Taylor Lehmann討論了圍繞醫(yī)療保健提供者在數(shù)據(jù)泄露后必須承擔的道德和法律責任的關鍵主題，他探討了網(wǎng)絡威脅的嚴重影響，這些威脅遠遠超出了經濟損失，可能危及生命，侵蝕公眾對醫(yī)療體系的信任。
Lehmann還介紹了網(wǎng)絡攻擊的影響、云技術對醫(yī)療數(shù)據(jù)安全的變革性影響，以及加強對這些不斷變化的威脅的防御所需的措施。
你能討論一下如果發(fā)生數(shù)據(jù)泄露對醫(yī)療保健提供者的道德和法律影響嗎?
對敏感、有價值的數(shù)據(jù)和難以保護的遺留技術的保護歷來薄弱，這使得醫(yī)療保健成為攻擊者容易、有吸引力的目標。該行業(yè)網(wǎng)絡入侵的影響可能會對個人產生嚴重影響，這在很大程度上是因為他們收集和存儲的敏感個人和健康數(shù)據(jù)，以及在護理環(huán)境中使用的許多系統(tǒng)直接支持醫(yī)療程序的安全和維持生命的事實。
與其他行業(yè)相比，醫(yī)療保健提供商處于獨特的地位-他們有道德和法律義務保護患者數(shù)據(jù)和保護患者護理免受網(wǎng)絡威脅。醫(yī)療保健服務是極少數(shù)幾個在安全、彈性和生命安全之間存在直接聯(lián)系的行業(yè)之一。
在一個例子中，一家醫(yī)療系統(tǒng)在網(wǎng)絡攻擊后暫時改變了救護車的路線，并關閉了IT系統(tǒng)以恢復其網(wǎng)絡。在不同的情況下，威脅參與者可能竊取了密碼、醫(yī)療記錄、社會安全號碼或其他個人身份信息。
在法律方面，醫(yī)療保健提供商受到錯綜復雜的數(shù)據(jù)保護法律和法規(guī)網(wǎng)絡的約束，例如美國的HIPAA或歐盟的GDPR。不遵守這些規(guī)定可能會導致對組織的巨額刑事和民事罰款和處罰。違約受害者提起訴訟，要求賠償醫(yī)療身份盜竊、經濟損失、潛在生命損失和情感困擾，也可能產生重大的法律、財務和聲譽影響。
網(wǎng)絡攻擊對運營的影響正在影響患者的安全。你能舉一些例子說明這些攻擊是如何影響醫(yī)療服務的嗎?
針對醫(yī)療保健和生命科學機構的網(wǎng)絡攻擊可能直接影響患者的福祉。除了可能造成的經濟損失外，網(wǎng)絡攻擊還可能擾亂運營、損害聲譽，甚至威脅公眾健康。例如，對一家制藥公司的勒索軟件攻擊可能會推遲新藥的發(fā)布，這可能會對需要它的患者產生嚴重影響。
雖然尚未有確切的患者因網(wǎng)絡攻擊而死亡，但CISA發(fā)現(xiàn)，2020-2021年對醫(yī)院的成功勒索軟件攻擊降低了醫(yī)院照顧患者的能力。今年6月，圣瑪格麗特健康醫(yī)院永久關閉，這是伊利諾伊州斯普林谷農村社區(qū)唯一的一家醫(yī)院，部分原因是在2021年勒索軟件攻擊后，恢復醫(yī)院服務的成本難以承受。
坦白地講，這種趨勢對我們不利。雖然圣瑪格麗特健康中心是第一家將網(wǎng)絡攻擊作為永久停止運營的理由之一的醫(yī)療機構，但有跡象表明，這不太可能是最后一家。2022年，我們看到越來越多的人聲稱死于針對醫(yī)院的網(wǎng)絡攻擊。
這一點的影響是無法克服的，一家醫(yī)院關門可能會直接影響居民獲得重癥護理的能力。
威脅行為者知道我們的衛(wèi)生系統(tǒng)是脆弱的，他們不在乎傷害他們治療的弱勢人群。為了結束醫(yī)療保健面臨的日益增長的生死存亡的威脅，它需要創(chuàng)造力、創(chuàng)新、伙伴關系和意愿來改變醫(yī)療保健領域IT安全和風險管理的現(xiàn)狀。
向云計算的過渡如何改變了醫(yī)療機構的網(wǎng)絡安全格局?
公有云可以在幫助醫(yī)療保健和生命科學組織變得更安全方面發(fā)揮重要作用。Forrester最近發(fā)現(xiàn)，隨著云提供商提高安全性，組織越來越多地投資于云技術。云中固有的更好的安全性，再加上監(jiān)管動機和廣泛的社區(qū)努力，可以讓醫(yī)療保健提供商擴展其IT基礎設施，以快速滿足不斷增長的需求。
這就是說，云中一個管理不善的證書可能會對醫(yī)療保健組織的一天的生活產生重大影響。在可預見的未來，通過執(zhí)行適當?shù)脑撇渴鸷途S護來管理這一不斷增長的外圍應用領域將繼續(xù)是醫(yī)療保健組織面臨的挑戰(zhàn)，但這一挑戰(zhàn)至關重要，如果處理得當，長期而言將獲得強勁的投資回報。在上個季度，谷歌云的數(shù)據(jù)顯示，超過一半的云初始訪問攻擊來自所有行業(yè)的密碼較弱或沒有密碼的用戶。一旦攻擊者進入，他們就會部署勒索軟件，并越來越多地勒索數(shù)據(jù)以銷毀、出售或用作迫使回應或某種付款的籌碼。
醫(yī)療保健實體正在實施哪些措施來保護他們的云存儲數(shù)據(jù)?你認為哪些方面還有改進的空間?
醫(yī)療保健組織應繼續(xù)改進其身份和訪問管理(IAM)系統(tǒng)，以確保定義、設置和監(jiān)控用戶憑據(jù)。這將為安全團隊提供可疑活動的早期預警，從而有助于降低憑證被盜的可能性。組織應使用多因素身份驗證(MFA)來確保被盜且未被其IAM協(xié)議檢測到的憑據(jù)不會導致入侵。
此外，通過要求用戶擁有手機等物理設備，而不僅僅是登錄憑據(jù)才能進入系統(tǒng)，密鑰越來越成為幫助降低憑據(jù)被盜可能性的強大工具。持續(xù)評估并將用戶和服務的訪問減少到最低限度，并提供對高度敏感資源的及時訪問，將有助于保持組織的安全運行。
醫(yī)療機構必須專注于安全衛(wèi)生，包括云安全，并對其全體員工進行網(wǎng)絡威脅方面的教育。否則，這些組織可能會成為這些相對常見且可以預防的網(wǎng)絡攻擊的受害者。
鑒于相當大比例的醫(yī)療保健組織計劃很快采用云技術，他們應該考慮的首要網(wǎng)絡安全考慮因素是什么?
- 在你的環(huán)境和人員培訓中設置護欄，確保每個人都能養(yǎng)成良好的云衛(wèi)生習慣，應該進行監(jiān)測和執(zhí)行。
- 應在整個組織范圍內使用有效和強大的認證工具，具體而言，應為關鍵資源建立MFA，以確保被盜的憑證不會導致適當和充分的認證。工作空間管理員還應為關鍵的云服務實施適當?shù)臅挼狡?，以幫助緩解“實時”數(shù)據(jù)訪問等威脅。
- 維護數(shù)據(jù)備份并測試業(yè)務連續(xù)性能力，以從勒索軟件、數(shù)據(jù)刪除和相關攻擊中成功恢復生產環(huán)境。使備份數(shù)據(jù)保持隔離。對于關鍵數(shù)據(jù)，請保留離線備份以實現(xiàn)額外的冗余。通過執(zhí)行“白板”或實時業(yè)務連續(xù)性測試來定期測試系統(tǒng)的彈性，以確?；A設施破壞或類似攻擊不會影響生產服務。
- 定期對云實例進行漏洞掃描，對關鍵的云托管Web應用進行滲透測試。及時修補本地服務、第三方軟件和Web應用程序中發(fā)現(xiàn)的任何漏洞。
- 將檢測和響應平臺擴展到更多正在提供關鍵服務的系統(tǒng)，然后攻擊者才能在成功入侵后采取行動。
- 利用機器學習和人工智能，更快、更自信地為自己的組織辯護。
當前的醫(yī)療網(wǎng)絡安全政策和法規(guī)是否足以應對網(wǎng)絡安全挑戰(zhàn)，或者是否需要新的框架?
我們看到了一個轉變，因為許多人已經意識到保護敏感信息的機密性不足以保護組織及其客戶的安全。雖然用意是好的，但醫(yī)療安全法律法規(guī)沒有跟上組織消費新技術和攻擊者發(fā)現(xiàn)影響它們的方法的速度。許多新的法律法規(guī)正在被提出，以解決醫(yī)療安全社區(qū)表達的一些擔憂，包括尋求增加共享的安全威脅情報的數(shù)量，推動采用零信任等新的安全模式，提高軟件和數(shù)據(jù)供應鏈的安全性等。
令人鼓舞的是，我們也看到監(jiān)管關注的轉變，將安全列為這些努力的關鍵結果。例如，2023年的綜合撥款法案包括兩項與聯(lián)網(wǎng)醫(yī)療設備安全相關的重要條款，其中包括聯(lián)邦藥品管理局的一項新要求，即聯(lián)網(wǎng)醫(yī)療設備必須是網(wǎng)絡安全的，并在進入市場后保持這種狀態(tài)。如果做不到這一點，將允許FDA實施執(zhí)法，并阻止這些設備進入市場。歐盟也有類似的規(guī)定。
此外，F(xiàn)DA在去年的計算機軟件保障模型草案中表示，一種基于風險的方法來管理醫(yī)療器械的質量、安全和安全即將到來。指導意見明確指出，在設計和實施這些系統(tǒng)時，除了安全和質量外，還必須考慮到安全性。
這些法規(guī)是在美國以及其他國家在國際上采取類似措施之際創(chuàng)建一個更安全、更有保障、更具彈性的醫(yī)療體系的一個強有力的起點——但這些監(jiān)管努力必須與行業(yè)合作和信息共享相結合，以推動有效、持久的變革。
網(wǎng)頁題目：醫(yī)療保健行業(yè)發(fā)生網(wǎng)絡安全事故的真實成本
本文網(wǎng)址：http://m.5511xx.com/article/ccshgjc.html
