Innovazione e conformità nel settore sanitario
L’utilizzo dei big data per assistere gli operatori sanitari nelle decisioni relative alla cura dei pazienti, la pelle stampata in 3D esemplari per le vittime di ustioni e la possibilità per i pazienti di accedere immediatamente alle proprie cartelle cliniche sono solo alcuni esempi degli straordinari progressi tecnologici che stanno trasformando il settore sanitario. Tuttavia, tutte queste tecnologie comportano un potenziale rischio per la privacy dei pazienti e per le informazioni sanitarie protette (PHI); a tale rischio si accompagnano le normative che tutte le organizzazioni sanitarie con sede negli Stati Uniti sono tenute a rispettare, tra cui l’Health Insurance Portability and Accountability Act (HIPAA).
L'attuazione specifica delle misure di sicurezza previste dall'HIPAA, volte a garantire la conformità delle organizzazioni sanitarie, è denominata "Security Rule". Con l’elenco sempre più ampio delle norme di conformità HIPAA, le organizzazioni si trovano costantemente a dover rivedere il proprio approccio alla gestione delle informazioni sanitarie protette ( endpoint ).
Con la diffusione del lavoro in mobilità, in particolare tra gli utenti delle strutture sanitarie, risulta difficile monitorare con precisione tutti i dispositivi “ endpoint ” presenti sulla rete. I dispositivi si spostano continuamente all’interno della rete, fuori dalla rete, a casa, nei bar o in VPN. Questo contesto altamente volatile è difficile da monitorare e gli strumenti attualmente in uso nell’azienda non raccolgono i dati con sufficiente rapidità né garantiscono un elevato livello di affidabilità riguardo alla loro accuratezza.
Infatti, KlasResearch ha rilevato, in uno studio condotto su oltre 600 organizzazioni sanitarie, che la principale difficoltà in materia di sicurezza dei dispositivi medici è rappresentata dalla mancanza di visibilità sulle risorse e sulle scorte, dovuta all’insufficienza degli strumenti e all’elevato numero di dispositivi che devono essere secured1. Senza un elenco accurato e aggiornato delle risorse, è praticamente impossibile effettuare un’adeguata analisi dei rischi di un ambiente, applicare le patch ai dispositivi per mitigare le vulnerabilità e configurarli correttamente in conformità con gli standard.
Valutazione delle vulnerabilità e dei rischi nel Suo ambiente
La norma sulla sicurezza HIPAA impone alle organizzazioni sanitarie di valutare le vulnerabilità e i rischi presenti nei propri ambienti e di attuare politiche e procedure volte a porvi rimedio. Troppe organizzazioni non sanno quali patch manchino, quanto siano vulnerabili e quali configurazioni siano applicate ai singoli endpoint. Ciò comporta un rischio enorme, in quanto espone gli endpoint al pericolo di divulgazione delle informazioni sanitarie protette (PHI) a seguito di un incidente di sicurezza o di una violazione.
La realtà dei sistemi di gestione dell’ endpoint e odierni è che molti di essi raccolgono i dati con troppa lentezza, non sono in grado di intervenire con sufficiente rapidità o non funzionano più come previsto. Poiché le vulnerabilità zero-day vengono rese note e sfruttate in media 22 giorni dopo il found2, le organizzazioni sono spesso costrette a discostarsi dai tradizionali cicli mensili di applicazione delle patch o di valutazione delle vulnerabilità e ad agire rapidamente. Questo dilemma è aggravato dall’utilizzo di strumenti obsoleti che non sono in grado di adattarsi adeguatamente ad ambienti di grandi dimensioni e impiegano troppo tempo per eseguire effettivamente l’applicazione delle patch o la scansione delle vulnerabilità necessarie.
Un esempio di ciò si è verificato nel 2017 , quando numerosi ospedali in tutto il mondo sono stati colpiti dall’exploit EternalBlue e dal ransomware WannaCry a causa di vulnerabilità non corrette systems3. Ciò ha causato interruzioni dell’attività negli ospedali, ha compromesso la sicurezza dei pazienti e ha costretto molti ospedali a respingere i pazienti. Gli effetti del ransomware avrebbero potuto essere evitati se le organizzazioni avessero conosciuto lo stato in tempo reale dei propri endpoint, il che avrebbe consentito loro di intervenire immediatamente sulla base dei risultati ottenuti, con rapidità e su larga scala.
Di seguito sono riportate tre azioni consigliate che potete intraprendere oggi stesso per gestire la conformità alle norme HIPAA utilizzando Tanium:
- Ottenete una visibilità completa sul 100% dei vostri dispositivi. Con " Tanium discover", è possibile eseguire scansioni continue a livello aziendale più volte al giorno per individuare tutti i dispositivi e tenere sotto controllo gli endpoint. Una volta attivato, Tanium Asset sblocca tutti i dati presenti sui vostri dispositivi relativi a software, hardware e informazioni sugli utenti. Ciò garantisce una sicurezza immediata, grazie alla conoscenza dei dettagli relativi ai dispositivi esposti a dati sanitari protetti (PHI).
- Scoprite immediatamente lo stato delle patch e delle vulnerabilità su tutti i vostri dispositivi. Con Tanium Comply, potete visualizzare lo stato attuale di tutte le vulnerabilità. Tanium Patch quindi invia in pochi minuti le patch del sistema operativo a tali sistemi per mitigare le vulnerabilità. Tanium Deploy invia patch di software di terze parti con la stessa rapidità a tutti i software vulnerabili, quali Adobe, Java, Chrome e Firefox.
- Conoscere lo stato di configurazione di tutti gli endpoint per poter monitorare ovunque le misure di protezione previste dalle regole di sicurezza. Tanium Comply offre una visibilità immediata su tutti gli stati di configurazione e tiene traccia dell’evoluzione della configurazione di sicurezza di endpoint nel tempo.
Per aiutare le organizzazioni sanitarie a orientarsi meglio tra le norme di sicurezza, vi invitiamo a consultare la nostra scheda informativa sulla soluzione “ ” () dedicata al settore sanitario, disponibile all’indirizzo. È possibile scaricarlo gratuitamente in qualsiasi momento.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
1 “In che misura le organizzazioni di fornitori di servizi sanitari sono allineate alle pratiche di sicurezza informatica del settore sanitario (HICP)” https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587.
2 “Zero giorni, migliaia di notti: Ritrovamento n. 5” https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 “Attacco informatico al Servizio Sanitario Nazionale (NHS) - Parliament.uk.” https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
