Pengumuman minggu ini oleh Sistem Kesehatan Broward Florida bahwa data medis paling intim dari 1.357.879 pasiennya dibobol pada musim gugur harus menjadi peringatan bahwa rantai pasokan perangkat lunak perawatan kesehatan akan menjadi target yang menarik bagi penjahat dunia maya saat kita memasuki tahun 2022, para peneliti memperingatkan .
Para penyerang melanggar jaringan Broward Health dengan mengkompromikan penyedia pihak ketiga pada 15 Oktober, menurut pengungkapan organisasi, mengakses: nama pasien; tanggal lahir; alamat; nomor telepon; informasi keuangan atau bank; Nomor Jaminan Sosial; informasi asuransi dan nomor rekening; informasi medis termasuk riwayat, pengobatan dan diagnosis; nomor SIM; dan alamat email.
Sebagai tanggapan, Broward Health mengatakan bahwa mereka telah meningkatkan keamanan dan menawarkan korban dua tahun berlangganan gratis untuk pemantauan pencurian identitas, menambahkan bahwa perusahaan telah menemukan “tidak ada indikasi bahwa informasi pribadi Anda telah digunakan untuk melakukan penipuan.” Tentu saja, informasi semacam ini dapat berdampak panjang dalam hal aktivitas kejahatan dunia maya.
Broward Health tidak mengungkapkan jumlah spesifik pasien yang terkena dampak dalam pernyataannya tetapi berkewajiban untuk menyediakan 1,3 juta- plus figure.
Seperti yang mengejutkan karena jumlah pasien Broward yang terkena dampak mungkin tampak, Ron Bradley, wakil presiden Penilaian Bersama menyebut pelanggaran ini, “hanya setetes ember pepatah yang terkait dengan kerugian layanan kesehatan pada tahun 2021.”
Healthcare IT melakukan perhitungan dan mampu menemukan setidaknya 40 juta catatan pasien yang dikompromikan pada tahun 2021 yang dilaporkan ke pemerintah federal AS saja. Sebagai permulaan, banyak serangan terhadap sistem medis menjadikan layanan kesehatan sebagai industri paling mahal untuk pelanggaran yang terjadi – biaya rata-rata pelanggaran melonjak menjadi $9,23 juta tahun lalu, naik dari $7,13 juta pada tahun 2020.
Sistem yang tidak ditambal dan lama, staf yang kewalahan, lautan perangkat yang terhubung dan sejumlah penyedia perangkat lunak pihak ketiga membuat organisasi perawatan kesehatan rentan terhadap serangan, dengan vektor terakhir cenderung lebih dieksploitasi pada tahun 2022.
Bahkan aplikasi paling sederhana yang digunakan dalam pengaturan perawatan kesehatan dapat mengakibatkan paparan data pasien: Kaspersky ditemukan bulan lalu bahwa 30 persen penyedia layanan kesehatan melaporkan kejadian di mana karyawan mengkompromikan data pasien selama konsultasi jarak jauh, seringkali hanya karena aplikasi yang digunakan untuk telehealth seperti FaceTime, Facebook Messenger, WhatsApp, Zoom, dan lainnya tidak dibuat dengan mempertimbangkan privasi pasien.
Meningkatkan Layanan Kesehatan Rantai Pasokan
“Menurut Broward Health, pelanggaran terjadi dari pembuat penyedia layanan pihak ketiga untuk mengakses sistem Broward Health,” tambah Bradley. “Sementara peraturan HIPAA dan HITECH telah secara efektif menambahkan banyak lapisan perlindungan pada keamanan data, faktanya tetap, layanan kesehatan masih menjadi sasaran empuk dengan imbalan bernilai tinggi.”
Itu berarti selain mengelola pandemi, industri perawatan kesehatan membutuhkan untuk mencermati rantai pasokan perangkat lunaknya, Tim Erlin, wakil presiden manajemen produk dan strategi Tripwire menjelaskan dalam email ke Threatpost.
“Meskipun mungkin tidak praktis bagi Anda untuk mengaudit semua pemasok Anda secara langsung, Anda dapat tanyakan kepada mereka standar apa yang mereka patuhi dan bagaimana mereka diaudit terhadap standar tersebut, ”jelas Erlin. “Praktik terbaik dari NIST dan Pusat Keamanan Internet memberikan dasar yang kuat bagi sebagian besar organisasi.”
Erlin menambahkan ini adalah tugas yang harus dilakukan secara teratur.
“Penting untuk mengajukan pertanyaan ini setidaknya setiap tahun, karena keadaan berubah,” Erlin disarankan. “Ini adalah langkah penting untuk membantu menjaga integritas aset digital organisasi Anda dan melindungi dari ancaman serupa.”
Pergeseran yang semakin cepat ke cloud membuat data perawatan kesehatan menjadi lebih kompleks untuk diamankan, menurut Adir Gruss, wakil presiden solusi teknis di Laminar.
“Tantangan terbesar yang menghambat tim keamanan data saat ini adalah semakin banyak organisasi yang bergerak menuju cloud, mereka kehilangan jejak di mana data sensitif berada,” kata Gruss. “Anda tidak dapat melindungi apa yang tidak Anda ketahui.”
Gruss menyarankan tim untuk menangani data cloud mereka, termasuk akses rantai pasokan, dan menambahkan, “dengan pengetahuan itu, tim perlindungan data dapat beralih dari penjaga gerbang ke pendukung .”
Mengenai Broward Health, David Strauss, salah satu pendiri dan CTO Pantheon mengatakan kepada Threatpost bahwa fakta bahwa pelanggaran Oktober tidak berdampak pada perawatan pasien adalah kabar baik. Tetapi mencegah apa yang dia lihat sebagai serangan lanjutan yang tak terhindarkan harus menjadi prioritas utama.
Secara umum, tim keamanan TI di seluruh sektor perawatan kesehatan harus memperhatikan rantai pasokan perangkat lunak, tambahnya.
“Semakin banyak organisasi meningkatkan ketergantungan pada eksternal layanan, administrator TI harus mempertimbangkan dampak pelanggaran keamanan yang terjadi di kedua sisi, termasuk bagaimana mengetahui pelanggaran sejak awal dan mencegahnya menyebar,” Strauss menjelaskan. “Mengisolasi infrastruktur dalam peran yang berbeda — sistem perawatan kesehatan pasien, sistem penagihan, situs web publik, intranet — dapat membantu masalah buruk menjadi lebih buruk.”
Password Reset: Acara Sesuai Permintaan: Fortify 2022 dengan strategi keamanan sandi yang dibuat untuk masa kini ancaman. Meja Bundar Keamanan Threatpost ini, dibuat untuk para profesional infosec, berpusat pada pengelolaan kredensial perusahaan, dasar-dasar sandi baru, dan mengurangi pelanggaran pasca-kredensial. Bergabunglah dengan Darren James, dengan Specops Software dan Roger Grimes, penginjil pertahanan di KnowBe4 dan pembawa acara Threatpost Becky Bracken. Daftar & streaming sesi GRATIS ini hari ini – disponsori oleh Specops Software.
Tulis komentar
Bagikan artikel ini:
<
ul>iIoTliu
<
ul>iVulnerabilitiesliu
- iWeb Security