Các tổ chức chăm sóc sức khỏe ở Hoa Kỳ có thể sớm được đại tu an ninh mạng sau khi vi phạm

May mắn thay, việc chăm sóc sức khỏe đã được cải thiện nhờ sử dụng công nghệ nhưng thật không may, công nghệ cũng mang đến những thách thức mới. Ngày nay, các tổ chức chăm sóc sức khỏe đang phải chiến đấu với mức độ rủi ro cao hơn như vi phạm dữ liệu và tấn công ransomware. Đây là lý do tại sao việc cập nhật các biện pháp an ninh mạng để bảo vệ thông tin bệnh nhân là rất quan trọng.

Chính phủ Hoa Kỳ đã nói rõ rằng sự phát triển của công nghệ chăm sóc sẽ không dừng lại chỉ vì nó đã đạt đến một đỉnh cao nhất định. Quy tắc bảo mật HIPAA theo HHS hiện đã được gia hạn lần đầu tiên kể từ năm 2013. Các hệ thống xử lý những vi phạm này rất cơ bản và bao gồm các biện pháp như mã hóa, xác thực đa yếu tố và kiểm tra thường xuyên các lỗ hổng. Những biện pháp này được dự đoán sẽ làm giảm các vụ hack và vi phạm từ năm 2024 đến năm 2025 vì lợi ích của cả bệnh nhân và bệnh viện.

Hơn nữa, có thể an toàn khi nói rằng sự khởi đầu của nhiều mối đe dọa mạng như vi phạm an ninh dữ liệu cùng nhiều mối đe dọa khác sẽ đánh dấu sự khởi đầu cho thấy ngành chăm sóc sức khỏe đang phát triển phụ thuộc như thế nào.

Tại sao cần phải đại tu trong các tổ chức chăm sóc sức khỏe

Ngày nay các tổ chức chăm sóc sức khỏe đang phải đối mặt với rất nhiều rủi ro từ các cuộc tấn công mạng. Các vi phạm chăm sóc sức khỏe lớn đã khiến Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ cập nhật các quy tắc an ninh mạng. Tin tặc khóa dữ liệu chăm sóc sức khỏe, làm trì hoãn việc điều trị cho bệnh nhân.

HHS sẽ triển khai mã hóa dữ liệu, MFA và kiểm tra thường xuyên vào năm 2024 và 2025. Mục đích của những cập nhật này là ngăn chặn các cuộc tấn công của ransomware và đảm bảo tuân thủ HIPAA. Cùng với việc bảo vệ chống phần mềm độc hại và sao lưu dữ liệu, Văn phòng Dân quyền sẽ đảm bảo an toàn cho ngành chăm sóc sức khỏe.

Những thay đổi chính được đề xuất đối với HIPAA

Mã hóa bắt buộc

Trong quy định mới này, mọi kiến ​​thức chăm sóc sức khỏe đều phải áp dụng mã hóa bất kỳ thông tin sức khỏe được bảo vệ (PHI) nào được lưu trữ hoặc truyền đi khi lưu trữ hoặc truyền đi. Điều này sẽ giữ cho dữ liệu được an toàn nếu ai đó truy cập trái phép.

Điều này có nghĩa là dữ liệu bệnh nhân được lưu trữ trên máy chủ hoặc được truyền qua internet phải được mã hóa. “Ở trạng thái nghỉ” nghĩa là dữ liệu được lưu trữ và “đang chuyển tiếp” nghĩa là dữ liệu đang được truyền. Bước này sẽ ngăn chặn truy cập trái phép.

Các biện pháp bao gồm Xác thực đa yếu tố (MFA)

MFA (Xác thực đa yếu tố) không cho phép tin tặc truy cập vào tài khoản chăm sóc sức khỏe ngoài một số việc phải làm khi đăng nhập. Một chiến lược khác giúp tăng cường bảo mật là triển khai Phân đoạn mạng, nghĩa là chia hệ thống thành nhiều phần sao cho nếu một trong số chúng bị hack thì kẻ tấn công không có quyền truy cập vào phần còn lại.

Đối với mọi mất mát dữ liệu xảy ra do vi phạm an ninh mạng, ngành y tế dự kiến ​​​​sẽ truy xuất dữ liệu bị mất để đảm bảo an toàn cho bệnh nhân trong thời hạn 72 giờ. Các bản cập nhật mới khác cho HIPAA đòi hỏi phải tăng cường bảo mật như MFA bằng chứng thu hút, cũng như HIPAA sẽ được áp dụng để bảo vệ hệ thống y tế khỏi bị xâm lược, hack và ransomware

Những cập nhật này nhằm mục đích giảm sự gián đoạn và bảo mật cơ sở hạ tầng chăm sóc sức khỏe. Với đề xuất này, ngành chăm sóc sức khỏe đang thực hiện các bước chủ động để bảo vệ PHI và tránh những vi phạm lớn ảnh hưởng đến hàng triệu cá nhân.

Chi phí dự kiến ​​và tiến độ thực hiện

Các tổ chức chăm sóc sức khỏe sẽ phải chịu chi phí đáng kể để thực hiện các quy tắc an ninh mạng mới. Năm đầu tiên sẽ tiêu tốn khoảng 9 tỷ USD, sau đó là 6 tỷ USD mỗi năm. Các chính sách mới có thể sẽ bắt đầu vào khoảng năm 2025 sau giai đoạn bình luận công khai mà HHS sẽ tìm kiếm.

Những quy định mới này sẽ ảnh hưởng đến cả các tổ chức chăm sóc sức khỏe nhỏ và lớn. Những cập nhật này có thể dễ dàng hơn đối với các nhà cung cấp dịch vụ chăm sóc sức khỏe lớn nhưng có thể gây nhiều thách thức hơn cho các tổ chức chăm sóc sức khỏe nhỏ. Nhưng bằng cách bắt buộc áp dụng hầu hết tất cả các biện pháp bảo mật, mọi người sẽ phải tuân theo các quy tắc giống nhau, điều này sẽ giúp giữ an toàn cho dữ liệu của bệnh nhân. Cuộc cải tổ an ninh mạng này sẽ hữu ích cho tất cả mọi người, nhưng một số nhà cung cấp dịch vụ chăm sóc sức khỏe có thể gặp khó khăn trong việc huy động tiền cho nó.

Tuân thủ và giám sát

Các tổ chức chăm sóc sức khỏe ở Mỹ sẽ phải tiến hành kiểm tra tuân thủ hàng năm. Ngoài ra, việc quét lỗ hổng sẽ phải được thực hiện 6 tháng một lần và kiểm tra thâm nhập mỗi năm một lần. Tất cả những điều này sẽ nằm trong kế hoạch an ninh mạng của HHS cho năm 2024 và họ phải đảm bảo rằng dữ liệu tiếp tục được bảo vệ.

Xu hướng và dự đoán an ninh mạng cho năm 2025

• Về khả năng phục hồi và vệ sinh mạng
  Các tổ chức chăm sóc sức khỏe tập trung vào việc duy trì và nâng cấp khả năng phục hồi mạng sẽ kết hợp việc sử dụng quét định kỳ các lỗ hổng, sao lưu vững chắc các dữ liệu và chương trình quan trọng cũng như các biện pháp chống lại phần mềm tống tiền. Mục tiêu sẽ ngược lại là loại bỏ hoàn toàn khả năng xảy ra một cuộc tấn công mạng.
• Tầm quan trọng của trí tuệ nhân tạo (AI)
  AI sẽ phục vụ một mục đích kép thú vị: hỗ trợ các tổ chức y tế ngăn chặn các cuộc tấn công mới và giúp giải thể biện pháp bảo vệ.

Thay đổi pháp luật
Chính phủ liên bang và tiểu bang sẽ đưa ra các quy định mới, bao gồm cả việc cập nhật HIPAA. Những cập nhật này sẽ nhằm bảo vệ các hệ thống chăm sóc sức khỏe khỏi các cuộc tấn công mạng, chẳng hạn như MFA, phân đoạn mạng và mã hóa PHI.

Tác động của các bản cập nhật được đề xuất

Các bản cập nhật an ninh mạng được đề xuất cho các tổ chức chăm sóc sức khỏe sẽ tiêu tốn khoảng 9 tỷ USD trong năm đầu tiên và 6 tỷ USD mỗi năm sau đó. Những thay đổi này nhằm bảo vệ khỏi bị hack, ransomware và cơ sở hạ tầng quan trọng. Anne Neuberger nhấn mạnh tầm quan trọng của xác thực đa yếu tố và phân đoạn mạng. Các mối đe dọa và phòng thủ trên mạng cũng sẽ là một vấn đề của các công nghệ mới nổi. Khi các cơ sở chăm sóc sức khỏe thực hiện các tiêu chuẩn này, việc giảm thiểu tác hại cho bệnh nhân bên cạnh việc bảo vệ thông tin cá nhân sẽ trở nên dễ dàng hơn.

Phù hợp với Chiến lược an ninh mạng quốc gia

Những thay đổi được đề xuất này đối với HIPAA phù hợp với Kế hoạch an ninh mạng quốc gia của Chính quyền Biden-Harris. Mục đích chính của nó là bảo vệ các tổ chức chăm sóc sức khỏe ở Hoa Kỳ, đặc biệt là dữ liệu và cơ sở hạ tầng chăm sóc sức khỏe. Ngành chăm sóc sức khỏe yêu cầu bảo vệ tội phạm mạng và phần mềm tống tiền để bảo vệ bệnh nhân của mình.

Phần kết luận

Các bản cập nhật HIPAA được đề xuất là một cải tiến rất cần thiết cho các tổ chức chăm sóc sức khỏe ở Hoa Kỳ, nhằm bảo vệ dữ liệu và hệ thống chăm sóc sức khỏe của bệnh nhân. Các nhà cung cấp dịch vụ chăm sóc sức khỏe sẽ phải triển khai xác thực đa yếu tố, phân đoạn mạng và sao lưu dữ liệu. Những biện pháp này sẽ đảm bảo rằng cơ sở hạ tầng quan trọng được an toàn trước các mối đe dọa mạng và quá trình tuân thủ diễn ra suôn sẻ.