醫(yī)療健康和網(wǎng)絡(luò)安全
報告的醫(yī)療健康違規(guī)事件數(shù)量很大，即使只是一次泄露一個人的機密醫(yī)療記錄也可以合理地被認為是令人擔憂的。2019 年，有 4120 萬條醫(yī)療健康記錄被暴露，涉及跨行業(yè)和地區(qū)的 505 起數(shù)據(jù)泄露事件。根據(jù) IBM 的一份報告，每次泄露的成本接近 650 萬美元，是平均非醫(yī)療健康數(shù)據(jù)泄露的兩倍多。當具體到美國時，這個統(tǒng)計數(shù)據(jù)翻了一番。
更重要的是，根據(jù)美國衛(wèi)生與公眾服務(wù)部民權(quán)辦公室的數(shù)據(jù)，2019年總體違規(guī)行為增加了36%，從2018年的371起增加到505起。
這是一個不會消失的問題，并且越來越受到希望保護其基礎(chǔ)設(shè)施和保護患者數(shù)據(jù)的醫(yī)療健康組織的更多關(guān)注。當然，還要讓所有相關(guān)人員高枕無憂。
HIPAA和網(wǎng)絡(luò)安全
HIPAA 是美國國會于 1996 年通過的《健康保險流通與責任法案》。它被簽署成為法律，作為一項措施，旨在為員工在工作之間“提高健康保險范圍的可移植性和問責制”。但在網(wǎng)絡(luò)安全領(lǐng)域，它因其安全政策和衡量安全性的標準而得到廣泛認可。遵守 HIPAA 及其醫(yī)療健康網(wǎng)絡(luò)安全法規(guī)是許多組織的首要任務(wù)。
除其他行動外，該法律 - 自首次通過以來已多次修訂 - 減少了醫(yī)療健康欺詐，并使醫(yī)療健康提供者和保險公司有責任保護患者的健康信息，在行業(yè)中稱為PHI，或受保護的健康信息。
在推出后，無論是通過明確規(guī)定的政策還是激勵措施，該法律都標志著向電子賬單和其他數(shù)字流程的過渡。它進一步發(fā)展了更大的政策，即所開展的企業(yè)只能將必要的健康信息用于商業(yè)目的，而那些處理PHI的人，無論是物理的還是電子的，都必須證明有能力控制對它的訪問并為其提供保護。
當然，這對網(wǎng)絡(luò)安全和醫(yī)療健康有著巨大的影響，因為保護患者信息免受現(xiàn)代黑客攻擊和詐騙變得至關(guān)重要。在某些情況下，負責管理這些信息的人可能會面臨衛(wèi)生和公共服務(wù)部民權(quán)辦公室的刑事指控。
醫(yī)療健康網(wǎng)絡(luò)安全問題
醫(yī)療健康領(lǐng)域的網(wǎng)絡(luò)安全存在許多問題。其中最主要的 - 特別是當它與網(wǎng)絡(luò)安全 - HIPAA動態(tài)有關(guān)時 - 如下：
• 勒索軟件。犯罪分子可能會使用勒索軟件或惡意軟件來關(guān)閉設(shè)備、服務(wù)器和網(wǎng)絡(luò)。勒索軟件是一種旨在阻止對文件的訪問的軟件，直到支付一筆款項;它通常通過網(wǎng)絡(luò)釣魚電子郵件或訪問帶有搭車下載的網(wǎng)站進行傳播。這更廣泛地稱為惡意軟件或“間諜軟件”。最終任務(wù)是提取數(shù)據(jù)以獲得對組織（如醫(yī)院、保險公司或其任何業(yè)務(wù)伙伴）的杠桿作用。
• 數(shù)據(jù)泄露。根據(jù)Ponemon Institute和Verizon數(shù)據(jù)泄露調(diào)查報告，醫(yī)療健康行業(yè)收到的數(shù)據(jù)泄露事件比其他任何行業(yè)都多。很簡單，因為 PHI 以高價出售。這些違規(guī)行為可能針對筆記本電腦或?qū)ｉT查找憑據(jù)。但值得注意的是，這并不總是通過惡意軟件或網(wǎng)絡(luò)釣魚——它也可能是泄露信息的員工。根據(jù) HIPAA 法律，必須報告超過 500 條記錄的違規(guī)行為。
• 加密效率低下。盲點和人為錯誤有時會導(dǎo)致加密 - 盡管強烈推薦 - 仍然會導(dǎo)致違規(guī)。這可能是因為黑客只是將足夠的資源投入到泄露文件的項目上，或者因為數(shù)據(jù)在解密或正在制作加密密鑰時被盜。存儲在云中的文件中也可能存在漏洞，這些文件可能具有不同程度的加密。
• 醫(yī)療設(shè)備黑客。一個越來越令人擔憂的領(lǐng)域是支持軟件的醫(yī)療設(shè)備（如心臟起搏器）可能容易受到黑客攻擊。這些黑客很難被發(fā)現(xiàn)。雖然沒有已知的醫(yī)療設(shè)備黑客攻擊，但美國食品和藥物管理局（FDA）已經(jīng)在常用操作系統(tǒng)中發(fā)現(xiàn)了11個網(wǎng)絡(luò)安全漏洞。
醫(yī)療健康網(wǎng)絡(luò)安全趨勢表明，數(shù)據(jù)泄露的方法一直在變化，但消除惡意軟件肯定仍然是優(yōu)先事項。畢竟，只需單擊鏈接到誤導(dǎo)性網(wǎng)址的電子郵件（例如，將“.com”換成“.gov”以使地址看起來更可信），大量數(shù)據(jù)就會受到損害。
醫(yī)療健康網(wǎng)絡(luò)安全解決方案
幸運的是，醫(yī)療健康網(wǎng)絡(luò)安全問題并非沒有解決方案。雖然技術(shù)可用于泄露記錄，但它也可用于通過關(guān)注一些簡單但有效的做法來保護敏感信息。
• 面向員工的醫(yī)療健康網(wǎng)絡(luò)安全最佳實踐。為組織開發(fā)安全系統(tǒng)的一部分只是培養(yǎng)最佳實踐的員工文化。應(yīng)培訓(xùn)員工識別可疑電子郵件并根據(jù)需要更新軟件。一般來說，他們應(yīng)該了解他們共同承擔的責任以及與錯誤處理患者數(shù)據(jù)相關(guān)的風(fēng)險。醫(yī)療健康網(wǎng)絡(luò)安全最佳實踐始于強大、團結(jié)的員工隊伍。
• 雇用網(wǎng)絡(luò)安全專業(yè)人員。最簡單的步驟是雇用負責保護健康信息的人員。而且，更重要的是，將雇用他們作為優(yōu)先事項。授權(quán)他們監(jiān)督安全系統(tǒng)的體系結(jié)構(gòu)，并在必要時管理其使用。這些是經(jīng)驗豐富的專業(yè)人員，他們負責加密過程并確保員工以安全的方式充分履行職責。
• 密碼。眾所周知，弱密碼是網(wǎng)絡(luò)犯罪分子訪問敏感信息的一種非常簡單的方法。密碼應(yīng)該很強，定期更改，理想情況下，需要兩步身份驗證。
• 安裝限制。未經(jīng)組織同意，員工不應(yīng)訪問軟件下載。
• 物理訪問。HIPAA 要求物理存儲的數(shù)據(jù)也受到保護。簡而言之，任何具有私人信息的設(shè)備或文件夾都應(yīng)小心地存儲在鎖定區(qū)域中。