Innovación y cumplimiento en la industria de la atención médica
El uso de big data para ayudar a los proveedores con las decisiones de atención al paciente, 3D impresiones de piel para víctimas de quemaduras y permitir el acceso instantáneo de los pacientes a sus registros médicos son solo algunos ejemplos de increíbles avances tecnológicos que transforman la industria de la atención médica. Sin embargo, todas estas tecnologías representan un riesgo potencial para la privacidad del paciente y la información médica protegida (Protected Health Information, PHI), y junto con este riesgo viene la regulación que todas las organizaciones de atención médica con sede en los EE. UU. deben seguir, incluida la Ley de Portabilidad y Responsabilidad de Seguros Médicos (Health Insurance Portability and Accountability Act, HIPAA).
La implementación específica de las protecciones de seguridad HIPAA adecuadas para que las organizaciones de atención médica logren el cumplimiento se denomina Regla de seguridad. Con la creciente lista de reglas de cumplimiento de HIPAA, las organizaciones se enfrentan constantemente a desafíos en su forma de pensar cuando se trata de la gestión de endpoint.
Con el aumento de la fuerza laboral móvil, especialmente entre los usuarios de las organizaciones de atención médica, es un desafío hacer un seguimiento preciso de todos los dispositivos de endpoint en la red. Los dispositivos se mueven constantemente dentro de la red, fuera de la red, en casa, en cafeterías o en VPN. Este entorno altamente volátil es difícil de rastrear y las herramientas actuales en la empresa no recopilan datos lo suficientemente rápido ni proporcionan un alto nivel de confianza de que los datos sean precisos.
De hecho, KlasResearch descubrió en un estudio de más de 600 organizaciones de atención médica que la principal lucha de seguridad de dispositivos médicos es la falta de visibilidad de activos e inventarios debido a herramientas insuficientes y la gran cantidad de dispositivos que deben ser secured1. Sin una lista de activos precisa y actualizada, es casi imposible realizar un análisis de riesgos adecuado de un entorno, aplicar parches a los dispositivos para mitigar vulnerabilidades y configurarlos adecuadamente frente a los estándares.
Evaluación de vulnerabilidades y riesgos en su entorno
La Regla de seguridad de la HIPAA requiere que las organizaciones de atención médica evalúen las vulnerabilidades y los riesgos en sus entornos e implementen políticas y procedimientos para abordarlos. Demasiadas organizaciones no saben qué parches faltan, qué tan vulnerables son y qué configuraciones se aplican a qué puntos finales. Esto plantea un gran riesgo ya que deja los puntos finales abiertos a la exposición a la PHI por un incidente o violación de seguridad.
La realidad de los sistemas de gestión de endpoint actuales es que muchos de ellos simplemente recopilan datos demasiado lentamente, no pueden tomar medidas lo suficientemente rápido o ya no funcionan como se esperaba. Con las vulnerabilidades de día cero que se lanzan y explotan en promedio 22 días después de found2, a menudo se requiere que las organizaciones rompan los ciclos de parches mensuales tradicionales o la evaluación de vulnerabilidades y se muevan rápidamente. Este dilema se ve exacerbado por herramientas desactualizadas que no escalan adecuadamente en entornos grandes y tardan demasiado en realizar realmente el escaneo de parches o vulnerabilidades necesario.
Un ejemplo de esto fue en 2017 cuando muchos hospitales de todo el mundo se vieron afectados por el exploit de EternalBlue y el ransomware WannaCry debido a systems3 sin parches. Esto hizo que los hospitales sufrieran tiempos de inactividad, afectaran la seguridad del paciente y muchos hospitales tuvieron que rechazar a los pacientes. Los efectos del ransomware podrían haberse evitado si las organizaciones solo hubieran conocido el estado en tiempo real de sus puntos finales, lo que les daba la capacidad de tomar medidas de inmediato sobre los hallazgos a velocidad y escala.
Estas son tres acciones recomendadas que puede tomar hoy para ayudarle a gestionar el cumplimiento de HIPAA utilizando Tanium:
- Obtenga visibilidad del 100 % de sus dispositivos. Con Tanium discover, puede ejecutar escaneos continuos en toda la empresa varias veces por día para encontrar todos los dispositivos y controlar los puntos finales. Una vez bajo control, Tanium Asset desbloquea todos los datos de sus dispositivos en torno al software, el hardware y los detalles del usuario. Esto proporciona confianza inmediata al conocer los detalles de los dispositivos que están expuestos a la PHI.
- Conozca de inmediato el estado de parches y vulnerabilidades en todos sus dispositivos. Con Tanium Comply, puede ver el estado actual de todas las vulnerabilidades. Tanium Patch luego envía parches de SO a esos sistemas en minutos para mitigar las vulnerabilidades. Tanium Deploy envía parches de software de terceros con la misma rapidez a todo el software vulnerable como Adobe, Java, Chrome y Firefox.
- Conozca el estado de configuración de todos los puntos finales para poder rastrear las protecciones de la Regla de seguridad en todas partes. Tanium Comply proporciona visibilidad inmediata de todos los estados de configuración y realiza un seguimiento de su configuración de seguridad de endpoint con el tiempo.
Para ayudar a las organizaciones de atención médica a navegar mejor por las reglas de seguridad, consulte nuestroinforme de solución para la atención médica. Es gratuito descargarlo en cualquier momento.
¿Le interesa ver a Tanium en acción? Programe una demostración personalizada o asista a nuestro seminario web semanal. Hable con nuestros expertos de Tanium en nuestros próximos eventos.
1 “Cuán alineadas están las organizaciones de proveedores con las prácticas de ciberseguridad (HICP) de la industria de la salud https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587”.
2 “Días cero, miles de noches: Hallazgo n.o 5” https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 “Ataque cibernético al NHS: Parliament.uk”. https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
