Innovación y cumplimiento normativo en el sector sanitario
El uso del big data para ayudar a los profesionales sanitarios a tomar decisiones sobre la atención a los pacientes, la piel impresa 3D para víctimas de quemaduras y la posibilidad de que los pacientes accedan al instante a su historial médico son solo algunos ejemplos de los asombrosos avances tecnológicos que están transformando el sector sanitario. No obstante, todas estas tecnologías suponen un riesgo potencial para la privacidad de los pacientes y la información sanitaria protegida (PHI), y este riesgo conlleva una normativa que deben cumplir todas las organizaciones sanitarias con sede en EE. UU. , incluida la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA).
La aplicación concreta de las medidas de seguridad adecuadas previstas en la HIPAA para que las organizaciones sanitarias cumplan con la normativa se denomina «Norma de Seguridad». Dada la lista cada vez más amplia de normas de cumplimiento de la HIPAA, las organizaciones se enfrentan constantemente a nuevos retos en su forma de abordar la gestión de los terminales.
Con el auge del trabajo a distancia, especialmente entre los usuarios de las organizaciones sanitarias, resulta todo un reto realizar un seguimiento preciso de todos los dispositivos finales de la red. Los dispositivos se desplazan constantemente dentro de la red, fuera de ella, en casa, en cafeterías o a través de una VPN. Este entorno, caracterizado por una elevada volatilidad, resulta difícil de supervisar, y las herramientas de las que dispone actualmente la empresa no recopilan los datos con la rapidez suficiente ni ofrecen un alto nivel de confianza en cuanto a su exactitud.
In fact, KlasResearch found in a study of 600+ healthcare organizations that the top medical-device-security struggle is a lack of asset and inventory visibility due to insufficient tools and the large number of devices that must be secured1. Sin un inventario de activos preciso y actualizado, resulta prácticamente imposible llevar a cabo un análisis de riesgos adecuado de un entorno, aplicar parches a los dispositivos para mitigar las vulnerabilidades y configurarlos correctamente de acuerdo con las normas.
Evaluación de vulnerabilidades y riesgos en su entorno
La Norma de Seguridad de la HIPAA exige a las organizaciones sanitarias que evalúen las vulnerabilidades y los riesgos presentes en sus entornos y que apliquen políticas y procedimientos para hacerles frente. Son demasiadas las organizaciones que desconocen qué parches faltan, cuál es su nivel de vulnerabilidad y qué configuraciones se han aplicado a cada uno de los dispositivos finales. Esto supone un riesgo enorme, ya que deja a los dispositivos finales expuestos a la divulgación de información médica protegida (PHI) a raíz de un incidente de seguridad o una filtración.
La realidad de los sistemas actuales de gestión de terminales es que muchos de ellos, sencillamente, recopilan datos con demasiada lentitud, no pueden actuar con la rapidez necesaria o ya no funcionan como se esperaba. Dado que las vulnerabilidades de día cero se publican y se explotan, de media, 22 días después de found2, las organizaciones se ven a menudo obligadas a romper con los ciclos mensuales tradicionales de aplicación de parches o de evaluación de vulnerabilidades y a actuar con rapidez. Este dilema se ve agravado por el uso de herramientas obsoletas que no se adaptan adecuadamente a entornos de gran tamaño y tardan demasiado en llevar a cabo, de hecho, la aplicación de parches o el análisis de vulnerabilidades necesarios.
Un ejemplo de ello tuvo lugar en 2017 , cuando numerosos hospitales de todo el mundo se vieron afectados por la vulnerabilidad «EternalBlue» y el ransomware «WannaCry» debido a que no se habían aplicado los parches systems3. Esto provocó interrupciones en el funcionamiento de los hospitales, afectó a la seguridad de los pacientes y muchos hospitales se vieron obligados a rechazar a pacientes. Los efectos del ransomware podrían haberse evitado si las organizaciones hubieran conocido el estado en tiempo real de sus terminales, lo que les habría permitido actuar de inmediato ante los hallazgos, con rapidez y a gran escala.
A continuación le presentamos tres medidas recomendadas que puede adoptar hoy mismo para gestionar el cumplimiento de la HIPAA mediante Tanium:
- Obtenga visibilidad sobre el 100 % de sus dispositivos. Con Tanium Discover, podrá realizar análisis continuos en toda la empresa varias veces al día para localizar todos los dispositivos y mantener los terminales bajo control. Una vez que se ha establecido el control, Tanium Asset le permite acceder a todos los datos de sus dispositivos, tanto en lo que respecta al software y el hardware como a los datos de los usuarios. Esto le proporciona una seguridad inmediata al conocer los detalles de los dispositivos que están expuestos a información médica protegida (PHI).
- Conozca de inmediato el estado de los parches y las vulnerabilidades en todos sus dispositivos. Con Tanium Comply, podrá ver el estado actual de todas las vulnerabilidades. A continuación, Tanium Patch envía parches del sistema operativo a dichos sistemas en cuestión de minutos para mitigar las vulnerabilidades. Tanium Deploy envía parches de software de terceros de con la misma rapidez a todo el software vulnerable, como Adobe, Java, Chrome y Firefox.
- Conozca el estado de configuración de todos los puntos finales para poder realizar un seguimiento de las medidas de protección de las reglas de seguridad en todas partes. Tanium Comply ofrece una visión inmediata de todos los estados de configuración y realiza un seguimiento de la configuración de seguridad de sus terminales a lo largo del tiempo.
Para ayudar a las organizaciones sanitarias a gestionar mejor las normas de seguridad, le invitamos a consultar nuestro resumen de la solución « » () para el sector sanitario:. Se puede descargar de forma gratuita en cualquier momento.
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
1 «¿En qué medida se ajustan las organizaciones prestadoras de servicios sanitarios a las prácticas de ciberseguridad del sector sanitario (HICP)?» https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587.
2 ««Zero Days, Thousands of Nights: Finding n.º 5”» https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 “«Ciberataque contra el NHS - Parliament.uk». https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
