Министерство здравоохранения и социальных служб США (HHS) предложило внести изменения в Закон о переносимости и подотчетности медицинского страхования 1996 года (HIPAA), чтобы обезопасить медицинские данные пациентов после всплеска массовых утечек данных в здравоохранении.
Эти более строгие правила кибербезопасности, предложенные Управлением по гражданским правам (OCR) Министерства здравоохранения и ожидаемые к публикации в качестве окончательного правила в течение 60 дней, требуют от медицинских организаций шифровать защищенную медицинскую информацию (PHI), внедрять многофакторную аутентификацию и сегментировать свои сети, чтобы злоумышленникам было сложнее перемещаться по ним.
«В последние годы наблюдается тревожный рост числа нарушений, затрагивающих 500 и более лиц, о которых сообщается в Департамент, общего числа лиц, пострадавших от таких нарушений, и безудержной эскалации кибератак с использованием хакерских атак и программ-вымогателей», - говорится в предложении HHS.
«Департамент обеспокоен ростом числа нарушений и других инцидентов в сфере кибербезопасности, с которыми сталкиваются регулируемые организации. Нас также все больше беспокоит тенденция к увеличению числа людей, пострадавших от таких инцидентов, и масштабы потенциального ущерба от них».
По сообщению Reuters, Энн Нойбергер, заместитель советника Белого дома по национальной безопасности в области кибернетических и новейших технологий, также заявила журналистам, что обновление правил кибербезопасности HIPAA было вызвано атаками вымогателей и массовыми утечками информации, от которых в последние годы пострадали больницы и американцы.
Нойбергер добавил, что внедрение этих правил обойдется примерно в 9 миллиардов долларов в первый год и более чем в 6 миллиардов долларов в последующие четыре года.
«Правило безопасности [в рамках HIPAA] было впервые опубликовано в 2003 году и в последний раз пересмотрено в 2013 году, так что это первое обновление этого 20-летнего правила за более чем десять лет, и оно потребует от организаций, хранящих медицинские данные, выполнять такие действия, как шифрование этих данных, чтобы в случае атаки они не могли попасть в Интернет и подвергнуть опасности людей», - сказал Нойбергер.
«Цена бездействия не только высока, но и ставит под угрозу критически важную инфраструктуру и безопасность пациентов, а также влечет за собой другие пагубные последствия».
Совсем недавно одна из крупнейших частных систем здравоохранения США, Ascension, уведомила около 5,6 миллиона человек о том, что их личные и медицинские данные были похищены в результате майской атаки Black Basta ransomware.
После кибератаки сотрудники Ascension были вынуждены вести учет лекарств и процедур на бумаге, поскольку электронные записи пациентов были недоступны. Гигант здравоохранения также был вынужден отключить некоторые устройства и перенаправить службы экстренной медицинской помощи в другие медицинские подразделения, чтобы избежать задержек при сортировке.
Компания Cariad, занимающаяся разработкой программного обеспечения для автомобилей Volkswagen, обнародовала данные, собранные примерно с 800 000 электромобилей. Эту информацию можно было связать с именами водителей и узнать точное местоположение автомобиля.
Компания ZAGG Inc. информирует покупателей о том, что данные их кредитных карт стали известны посторонним лицам после того, как хакеры взломали стороннее приложение, предоставленное поставщиком услуг электронной коммерции BigCommerce.
Официальный представитель Белого дома добавил девятую американскую телекоммуникационную компанию в список компаний, взломанных в ходе китайской хакерской кампании, затронувшей десятки стран.