Новые требования кибербезопасности в здравоохранении США

Министерство здравоохранения и социальных служб США (HHS) предложило новые меры для усиления защиты медицинских данных от кибератак. Изменения в Законе HIPAA направлены на противодействие растущим угрозам в сфере здравоохранения.

Ключевые требования включают:
🧹Обязательное шифрование электронных медицинских данных (ePHI) в состоянии покоя и при передаче.
🧹Проведение аудитов на соответствие не реже одного раза в год.
🧹 Внедрение многофакторной аутентификации и антивирусной защиты.
🧹 Удаление ненужного программного обеспечения с электронных систем.
🧹 Сегментацию сетей и установку технических средств для резервного копирования и восстановления данных.
🧹 Регулярное сканирование уязвимостей (каждые шесть месяцев) и тестирование на проникновение (ежегодно).

Также организации обязаны выявлять уязвимости в своих системах, обновлять инвентарь технологий и разрабатывать планы восстановления данных в течение 72 часов после потери.

Эти меры принимаются на фоне роста атак с использованием программ-вымогателей: в 2024 году 67% организаций здравоохранения пострадали от таких инцидентов (по сравнению с 34% в 2021 году). Причинами большинства атак стали уязвимости в системах, компрометация учетных данных и вредоносные письма.

Средний выкуп за восстановление данных составил $1,5 млн, причем только 22% организаций смогли восстановить свои системы за неделю или быстрее. Это свидетельствует о недостаточной готовности многих учреждений к таким атакам.

ВОЗ назвала угрозы кибератак на больницы “вопросами жизни и смерти” из-за риска нарушения работы критически важных систем и призвала к международному сотрудничеству в борьбе с этим вызовом.