Las innovaciones en el cuidado de la salud agregan valor al tiempo que aumentan los riesgos de seguridad

La industria de la salud en particular, observa, enfrenta numerosos desafíos de amenazas debido al alto valor que los proveedores de datos de pacientes necesitan para mantener un alto nivel de atención.

“Los adversarios también se han dado cuenta de eso”, dice. “El ransomware es el mayor problema al que se enfrentan, porque saben que lo necesitas tanto que si lo tienen y lo guardan, estás dispuesto a pagar cantidades exorbitantes para recuperarlo”.

Esa vulnerabilidad, junto con las nuevas innovaciones tecnológicas en el cuidado de la salud, como los portales de salud de autoservicio para pacientes, las citas remotas basadas en video y las unidades de monitoreo continuo, desafía a las organizaciones a asegurar un panorama de amenazas expandido con múltiples puntos de incumplimiento potenciales que existen fuera de las instalaciones. Esa infraestructura.

“Tiene varios puntos finales, todo está conectado y todos estos métodos relativamente nuevos de acceso al consumidor, como los portales de pacientes, ahora brindan oportunidades para que los adversarios hagan agujeros y entren”, dice Aboud.

Para que las organizaciones de atención médica adopten un enfoque de gestión de vulnerabilidades basado en riesgos, deben ir más allá de las fronteras artificiales de los entornos de TI tradicionales.

“Eso incluye analizar los datos de vulnerabilidad, incluida la importancia de los activos y la actividad de ataque actual, y actualizarlos continuamente, en lugar de escanearlos solo una vez al mes”, dice Aboud.

Recomienda realizar este tipo de análisis de seguridad dos o tres veces por semana, y automatizar el proceso, como una mejor defensa para el panorama dinámico de amenazas.

“Una vez que haya realizado ese análisis, debe tomar la acción apropiada: remediar, mitigar, aceptar”, dice. “Si se trata de un componente supercrítico que no se puede eliminar, o si usted no es propietario de él, o si el riesgo de parchearlo es mayor que tener la infección y tratar con ella, puede optar por aceptarlo”.

RELACIONADO: Obtenga cuatro formas de combatir los ataques de phishing que podrían provocar una infracción.

La evaluación integral de riesgos respalda una estrategia proactiva en la atención médica

En el sector de la salud, los servicios comerciales críticos se extienden desde registros médicos electrónicos y sistemas de programación hasta sistemas de telemetría de pacientes y bombas intravenosas portátiles.

“Todas esas cosas están conectadas a la web, incluidos los monitores cardíacos que pueden tener que cruzar la ciudad”, dice. “Las organizaciones de atención médica deben poder gestionar las vulnerabilidades de todas esas cosas”.

Los activos fuera de las instalaciones que están alojados en la nube o en entornos en contenedores suelen ser un punto ciego, dice, especialmente si una organización de atención médica está utilizando una gestión de vulnerabilidades heredada que escanea solo los entornos de TI locales.

Aboud enfatiza que reconocer la importancia de los activos es una pieza importante del rompecabezas, y es un área que las organizaciones pueden pasar por alto fácilmente.

Como ejemplo, dice, supongamos que una organización usa un índice de puntuación de vulnerabilidad que va del 1 al 10. “Podría tener una vulnerabilidad que puntúe un 10, y es crítica, pero es un sistema de laboratorio, por lo que la criticidad de ese activo podría sea ​​un 4 ”, dice. “Por otro lado, podría tener una vulnerabilidad que es solo un 6 de 10, pero está en un activo que se considera un 10, vinculado directamente a un EHR o un paciente, tal vez, primero debe solucionarlo”.

RELACIONADO: Descubra por qué las organizaciones de atención médica se están moviendo hacia estrategias de confianza cero.

También es importante combinar la medición de la gestión de vulnerabilidades con la comunicación eficaz del progreso de la seguridad.

“Todo se reduce a informes sólidos”, dice Aboud. “Tiene que medir realmente sus KPI, y esas herramientas de informes y análisis son importantes en muchos niveles, porque desea mantener la confianza de la administración en sus capacidades”.

En el complejo ecosistema de una organización de atención médica, los departamentos no médicos, como el legal y el financiero, también se preocupan por los informes de seguridad, señala. Cualquiera que tenga la responsabilidad de la gestión de riesgos debe saber que la cantidad de riesgo está disminuyendo.

“Tener herramientas que puedan analizar e informar de manera efectiva el programa de administración de vulnerabilidades es muy importante”, dice.

Los dispositivos móviles presentan un factor adicional que es importante incorporar a cualquier estrategia de gestión de vulnerabilidades, especialmente para las organizaciones de atención médica con políticas BYOD. Aquí, las organizaciones deben evaluar las protecciones de firewall o VPN que tienen dichos dispositivos, así como dónde y cómo se conectan a la red y qué segmentos de la red tocan.

“Si no comprende que un dispositivo es fundamental y debe bloquearse, puede despriorizar algunas de las vulnerabilidades”, dice Aboud. “Esas cosas son realmente importantes, porque si eres un médico con un dispositivo vulnerable que mira el historial médico de un paciente, estás creando una oportunidad para que entren los adversarios”.

Traído a usted por: