5大醫療保健數據安全挑战和數據保護技巧
負責保障醫療數據安全的人不能想當然地認爲這些數據永遠不會被泄露。最好的假設是信息始終處於危險之中。
積極主動對於減少醫療保健數據被泄露的可能性至關重要，特別是考慮到這些信息對黑客的價值。
更不用說它有多豐富了。許多醫院數據庫保存着數萬甚至數百萬患者的記錄。可用的有價值信息的數量使黑客想要將目標鎖定在醫院、門診中心和類似站點。
網絡罪犯分子可以非法獲取包含患者私人信息的記錄，包括其疾病、付款詳情等，並以高額贖金勒索所有這些信息。
考慮到這種危險，本文將探討醫療保健行業中一些最大的數據保護挑战，以及醫院和其他組織如何最大程度地減少其不利影響。
5大醫療保健數據安全挑战
1、勒索軟件
當黑客鎖定數據或系統並要求受影響方支付贖金以恢復信息時，就會發生勒索軟件攻擊。這越來越普遍且致命，預計到2023年損失將超過300億美元。
更糟糕的是，付出代價並不總能得到受害者想要的結果。
卡巴斯基2021年的一項研究表明，超過56%的受訪者支付了贖金。然而，17%的人在這樣做之後並沒有贖回其數據。此外，許多人在完全恢復其合法訪問權方面遇到了困難。例如，盡管32%的人盡了最大的努力，還是丟失了一些數據。
只有29%的遭受勒索軟件攻擊的人表示可以再次訪問其所有數據。
2、數據處理不當
醫療機構是繁忙的地方，許多工人在處理許多任務時承受着巨大的壓力。這些綜合挑战意味着其並不總是能正確處理數據，這可以說是爲黑客敞开了大門。
COVID-19大流行使醫護人員承受額外壓力，最終可能危及安全。
Verizon在2022年發布的一份關於醫療保健違規的報告發現，員工犯下損害數據的錯誤的可能性是惡意濫用其訪問權限的2.5倍以上。排名前兩位的錯誤是丟失數據或將數據錯誤發送。
3、用於某些健康研究的數據的不確定性
醫療保健數據一直是醫學研究進展中不可或缺的一部分。研究人員從患者那裏獲得的信息有助於了解潛在的新療法、了解特定症狀如何成爲疾病的徵兆等等。
然而，謹慎和合乎道德地處理信息是至關重要的。問題在於，當前的數據處理實踐通常沒有考慮到人工智能(AI)。換句話說，數據可能不在人類網絡瀏覽器的視野範圍內，但對人工智能爬蟲完全开放，然後人工智能爬蟲可以將其傳遞出去。
與此相關的是，存在一個所謂的黑盒問題，通常無法回溯並查看人工智能算法如何得出某些結論。
4、第三方醫療企業問題
醫療保健組織圍繞數據制定了不同的政策和策略，其中一些可能會帶來麻煩。想想聯邦貿易委員會如何對處方藥比較服務GoodRX處以150萬美元的民事罰款，因爲其在未經披露或用戶許可的情況下向Google、Facebook和其他企業提供了消費者健康數據。
在另一個例子中，心理健康遠程醫療Cerebral承認了一項數據泄露事件，即向第三方泄露了受保護的健康信息。據報道，該問題影響了超過300萬患者。
5、互聯網衛生和數據安全措施不佳
許多處理醫療保健數據的人沒有遵循確保數據安全的最佳做法。這個問題尤其涉及衆多行業。一項研究表明，63%的人重復使用工作設備和账戶的密碼。這些重復使用的密碼使黑客可以訪問更多站點。
一位醫療保健系統高管的工作筆記本電腦被盜，內含40,000多份醫療記錄，且設備的信息未加密。受影響的醫療保健系統的各方花費了20多萬美元來處理事件的善後工作，並改善政策，以減少類似事件發生的可能性。
如何保護醫療保健數據
沒有一種方法能保證數據的安全。但這裏有一些值得考慮的最佳實踐，包括備份數據、制定明確的指導方針，以及爲員工提供培訓和鼓勵以負責任的方式處理私人數據。
1、保持數據備份
2022年一項針對全球醫療保健組織的研究表明，57%的受訪者在過去三年中遭受過勒索軟件攻擊。
四分之一的受訪者承認這些問題導致運營中斷，而60%的受訪者表示影響了一些業務流程。此外，56%的受訪者表示需要數天時間才能恢復運營，而24%的受訪者表示需要數周時間。
擁有最新的數據備份可以最大限度地縮短勒索軟件恢復的時間，因爲其降低了與網絡犯罪分子接觸以恢復數據的緊迫性。
但這並不能解決所有問題。IT團隊仍必須確定黑客是如何造成破壞並解決問題，防止任何敏感數據被濫用或泄露給公衆，並與執法部門合作抓捕應對攻擊負責的罪犯。
2、考慮獨立認證
許多醫療保健機構都經過獨立的認證程序，以了解其是否符合行業標准。這可以改善運營並提高聲譽。
證據還表明，當保險公司考慮提供什么樣的套餐和費率時，認證可以提高信心。
數據處理措施和整體網絡安全只是與認證相關的一些方面。其將幫助組織整體上更順暢、更高效地運行，從而減少漏掉重要問題的可能性。
3、爲研究中使用的健康數據制定明確的准則
幾十年來，健康數據一直是研究的重要組成部分。然而，人們現在使用其方式有所不同，包括在大數據平台和人工智能項目中工作。
對於醫療保健管理人員、IT團隊和研究人員來說，現在是解決研究中處理數據的具體問題的絕佳時機，特別是因爲這項工作通常涉及多個組織之間的協作。
4、評估第三方醫療企業的隱私政策
IT團隊應該創建和分發文檔，強調患者數據不一定要留在醫療保健組織內部。
例如，醫院可能會使用第三方服務進行預約設置或計費。高層們應該徹底審查其所有的外部供應商，並小心其將重要的組織數據委托出去。
同時，所有患者在使用任何第三方醫療服務前都應仔細閱讀其隱私政策。還應該設置強而獨特的密碼，並且永遠不要通過公共Wi-Fi訪問健康數據。
5、爲員工提供持續的網絡安全培訓
當數據安全成爲文化的一部分時，人們將更應該了解其行爲如何影響組織中的其他人。所有以任何身份處理數據的工作人員都應接受定期、持續的網絡安全培訓。
員工還必須學會報告網絡安全漏洞或在網絡上注意到的異常活動，無論是否自己造成的。
所有醫療保健組織都應使用的4種安全工具
強大的技術堆棧爲組織提供了必要的工具來防止攻擊。以下是一些最常推薦的類型。
1、防火牆
防火牆允許組織的IT團隊設置特定參數來過濾網絡的持續和傳入流量。防火牆是醫療機構專用網絡和公共互聯網之間的主要屏障。
2、入侵防御系統
入侵防御系統(IPS)是專門的硬件或軟件工具，可以持續監控網絡流量是否存在異常活動，並在遇到異常活動時採取措施。其可能會阻止流量或提醒相關方。
3、網絡訪問控制
網絡訪問控制(NAC)基於某些組合憑證和特徵允許或拒絕人們使用網絡。例如，IT管理員可以指定，如果有人試圖從不尋常的位置登錄，則不能訪問系統——即使有適當的憑據。
4、端點安全
端點安全包括阻止黑客將面向用戶的設備變成接入點的工具和措施。這可能意味着運行防病毒軟件並確保員工使用更新的操作系統。
醫療保健數據安全標准
在醫療保健領域工作和處理數據的人員必須遵循多項與安全相關的標准，包括HIPAA、GDPR、HITRUST CSF和ISO/IEC 27001。
重要的是，不僅這些標准要到位，且員工要精通其應用。任何被發現是由組織疏忽造成的違規行爲都可能導致罰款和訴訟等進一步損害。
1、HIPAA
1996年的《健康保險流通與責任法案》(HIPAA)是一部聯邦法律，與保護患者醫療記錄免遭未經授權披露的標准有關。HIPAA隱私規則適用於所有被視爲涵蓋實體的組織和個人，包括醫療保健提供者、醫療保險公司及其任何業務夥伴。
2、GDPR
通用數據保護條例(GDPR)是適用於歐盟居民數據處理實踐的隱私法。雖然從技術上講，其只適用於專門針對這些人的組織，但最好的做法是在任何可能在歐盟开展業務的組織中實施，以確保法律的安全。
GDPR規範了數據的收集、處理和使用。健康信息由於其敏感性而受到特別嚴格的GDPR保護。
3、HITRUST CSF
健康信息信任聯盟(HITRUST)通用安全框架(CSF)提供可認證的參數，以幫助醫療保健提供者展示其安全性和合規性實踐。
HITRUST爲HIPAA涵蓋的實體、雲提供商和其他人提供了一個基准測試系統，以驗證是否符合監管標准。
CSF有19個與網絡安全相關的領域的細節。組織可以進行自我評估或獲得CSF驗證或認證。
4、ISO/IEC 27001和ISO 27799:2016
這些來自國際標准化組織(ISO)和國際電工委員會(IEC)的標准爲處理某些類型的敏感信息提供了詳細的控制。
ISO/IEC 27001涉及信息安全管理系統。遵守該標准的組織已經开發了風險管理系統來保護相關數據並專注於持續改進。
ISO 27799:2016是專門針對健康信息學的標准。其適用於數字文檔、手寫筆記、醫學圖像和錄音。其還涉及人們如何傳輸和接收此信息。
5、美國國家標准技術研究院(NIST)框架
NIST框架最初僅適用於聯邦實體和承包商，因此不適用於私人醫療機構。現在，非政府組織（包括醫療保健領域的組織）的關注點和自愿性範圍更廣。
作爲安全政策的可選補充，其旨在幫助企業更好地了解、管理和降低其網絡安全風險並保護其網絡和數據。
6、支付卡行業數據安全標准(PCI DSS)
所有接受商品或服務付款的醫療保健組織都必須遵守PCI DSS。其涵蓋處理、存儲和傳輸支付卡數據。如果不遵守這一國際公認的標准，組織將面臨罰款的風險。
底线：爲醫療機構保護數據
在醫療保健行業中，適當的數據安全措施至關重要。不遵守這些規定的組織可能面臨違規或信息濫用的風險。此類問題可能會影響患者護理，並損害機構的聲譽。在處理如此大量極其敏感數據的行業中，幾乎沒有出錯的余地。
好在，了解風險並採取措施減輕風險，可以在很大程度上保證患者數據和組織的安全。
標題：5大醫療保健數據安全挑战和數據保護技巧
地址：https://www.utechfun.com/post/213576.html