Die meisten Gesundheitsorganisationen können sich von Datenverstößen nicht erholen
Laut dem Horizon Report von Fortified Health Security aus dem Jahr 2018 würden „über 40 Prozent der Verbraucher eine Gesundheitsorganisation aufgeben oder zögern, sie zu nutzen, wenn sie gehackt worden wäre“, und dass „viele Gesundheitsorganisationen die finanziellen Folgen, die mit dem Rückgang der Patientenzahl einhergehen, nicht überleben könnten.“ Volumen".
Gesundheitsorganisationen stehen vor einer besonders komplexen Herausforderung, für die es keine einfache Lösung gibt. Einerseits müssen sie sicherstellen, dass elektronische Gesundheitsakten sowohl für Patienten als auch für Ärzte leicht zugänglich sind, und andererseits müssen sie diese Informationen vor Hackern schützen und dies mit den begrenzten Ressourcen tun, die ihnen zur Verfügung stehen. Erschwerend kommt hinzu, dass die Häufigkeit von Verstößen im Gesundheitswesen weiterhin zunimmt. In den letzten 12 Monaten haben wir einen Anstieg der Zahl der Unternehmen, die von einer Cybersicherheitsverletzung betroffen sind, um 25 % verzeichnet.
Hacking ist nach wie vor die größte Cyber-Sicherheitsbedrohung für die Branche, gefolgt von Datendiebstahl und unbefugtem Zugriff bzw. der unbefugten Offenlegung sensibler Patientendaten. In dem oben genannten Bericht heißt es, dass „normalerweise die Grundlagen der Sicherheit und des Risikomanagements fehlen“. Gut dokumentierte Richtlinien und Verfahren, die von allen Mitarbeitern strikt eingehalten werden, sind „das Herzstück eines starken Sicherheits- und Risikomanagementprogramms“.
Es versteht sich von selbst, dass Sie zum Schutz Ihrer sensiblen Daten genau wissen müssen, wo sich Ihre Daten befinden. Dem Bericht zufolge mangelt es Gesundheitsorganisationen „an präzisen Vermögensverzeichnissen“. Durch das Auffinden und Klassifizieren vertraulicher Patienteninformationen können Organisationen ihre Ressourcen effektiver einsetzen. Beispielsweise würden alle als „eingeschränkt“ eingestuften Daten strengeren Sicherheitskontrollen unterliegen als als „öffentlich“ eingestufte Daten. Während es möglich ist, elektronische Gesundheitsakten manuell zu erkennen und zu klassifizieren, stehen heutzutage eine Reihe von Tools zur Verfügung, die ePHI automatisch lokalisieren und klassifizieren können.
Ein weiterer Bereich, in dem Gesundheitsorganisationen oft zu kurz kommen, ist das Schwachstellenmanagement. Schließlich wurde der berüchtigte WannaCry-Ransomware-Angriff vom Mai 2017 über einen Exploit verbreitet, der in älteren Windows-Versionen gefunden wurde - obwohl bereits ein Patch verfügbar war. Um zu verhindern, dass sich solche Angriffe wiederholen, müssen sich Gesundheitsdienstleister unbedingt darauf konzentrieren, ihre Software auf dem neuesten Stand zu halten.
Wie sollten Gesundheitsorganisationen vorgehen
Nun, die gute Nachricht ist, dass Vorschriften wie der Health Insurance Portability and Accountability Act (HIPAA) einen Rahmen für die Datensicherheit bieten, auf dem Organisationen arbeiten können. Die schlechte Nachricht ist, dass sich die meisten Gesundheitsorganisationen nicht wirklich an die Compliance-Anforderungen halten - auch wenn eine Nichteinhaltung des HIPAA rechtliche Schritte und hohe Geldstrafen nach sich ziehen kann. Sie versäumen es oft, eine ausreichend solide Datenschutzrichtlinie umzusetzen, und selbst wenn, wird diese nur selten aufrechterhalten. Dienstleister bieten ihren Mitarbeitern oft nicht die nötige Schulung, um gefährliche Datenverarbeitungspraktiken zu erkennen, und sie zögern oft, externe Hilfe in Anspruch zu nehmen.
Es stimmt zwar, dass sich Gesundheitsorganisationen stärker auf die grundlegenden Aspekte der Datensicherheit konzentrieren müssen, anstatt sich mit komplexen Technologien herumzuschlagen, doch die Erfüllung der HIPAA-Compliance-Anforderungen kann mit den richtigen Technologien erheblich erleichtert werden. Um HIPAA einzuhalten, müssen Organisationen in der Lage sein, den gesamten Zugriff auf die von ihnen gespeicherten geschützten Gesundheitsinformationen zu überprüfen. Ebenso müssen sie gegenüber den Aufsichtsbehörden Nachweise über solche Prüfungen erbringen können.
Änderungsprüfungslösungen von Drittanbietern wie die Lepide Data Security Platform bieten eine breite Palette an Berichten, die individuell angepasst werden können, um die HIPAA-Compliance-Anforderungen zu erfüllen.