Novas Regras HIPAA Mandato 72 Horas de Restauração de Dados e Auditorias Anuais de Conformidade
O Departamento de Saúde e Serviços Humanos dos Estados Unidos (HHS) Office for Civil Rights (OCR) tem
proposta de novos requisitos de segurança cibernética para organizações de saúde com o objetivo de proteger os dados dos pacientes contra possíveis ataques cibernéticos.
A proposta, que busca modificar a Lei de Portabilidade e Responsabilidade do Seguro de Saúde (HIPAA) de 1996, faz parte de uma iniciativa mais ampla para reforçar a segurança cibernética da infraestrutura crítica, disse o OCR.
A regra é projetada para fortalecer as proteções para informações de saúde protegidas eletrônicas (ePHI), atualizando os padrões da Regra de Segurança HIPAA para “abordar melhor as ameaças cada vez maiores de segurança cibernética ao setor de saúde.”
Para isso, a proposta, entre outras coisas, exige que as organizações realizem uma revisão do inventário de ativos de tecnologia e do mapa de rede, identifiquem possíveis vulnerabilidades que possam representar uma ameaça aos sistemas de informação eletrônica e estabeleçam procedimentos para restaurar a perda de certos sistemas e dados de informação eletrônica relevantes dentro de 72 horas.
Outras cláusulas notáveis incluem a realização de uma auditoria de conformidade pelo menos uma vez a cada 12 meses, exigindo a criptografia do ePHI em repouso e em trânsito, aplicando o uso de autenticação multifator, implantando proteção antimalware e removendo software estranho de sistemas de informação eletrônicos relevantes.
O Aviso de Proposta de Regulação (NPRM) também exige que as entidades de saúde implementem segmentação de rede, configurem controles técnicos para backup e recuperação, bem como realizem verificação de vulnerabilidades pelo menos a cada seis meses e testes de penetração pelo menos uma vez a cada 12 meses.
O desenvolvimento ocorre quando o setor de saúde continua sendo um alvo lucrativo com ataques de ransomware, não apenas representando risco financeiro, mas também colocando vidas em jogo, interrompendo o acesso a equipamentos de diagnóstico e sistemas críticos que contêm registros médicos de pacientes.
“As organizações de assistência médica coletam e armazenam dados extremamente confidenciais, o que provavelmente contribui para os agentes de ameaças que os atacam em ataques de ransomware” anotado em outubro de 2024. “No entanto, uma razão mais significativa pela qual essas instalações estão em risco é o potencial de enormes pagamentos financeiros.”
“As instalações de saúde localizadas perto de hospitais que são afetados por ransomware também são afetados porque eles experimentam uma onda de pacientes que necessitam de cuidados e são incapazes de apoiá-los de forma urgente.”
De acordo com dados compilados pela empresa de segurança cibernética Sophos, 67% das organizações de saúde foram atingidas por ransomware em 2024, acima dos 34% em 2021. A causa raiz por trás da maioria desses incidentes foi rastreada até vulnerabilidades exploradas, credenciais comprometidas e e-mails maliciosos.
Além disso, 53% das organizações de saúde que tinham dados criptografados pagaram o resgate para restaurar o acesso. O pagamento médio do resgate foi de $1,5 milhões.
O aumento da taxa de ataques de ransomware contra as entidades de saúde também foi complementado por tempos de recuperação mais longos, com apenas 22% das vítimas se recuperando totalmente de um ataque em uma semana ou menos, uma queda significativa de 54% em 2022.
“A natureza altamente sensível das informações de saúde e a necessidade de acessibilidade sempre colocarão um alvo no setor de saúde dos cibercriminosos”, disse John Shier, CTO da Sophos disse. “Infelizmente, os cibercriminosos aprenderam que poucas organizações de saúde estão preparadas para responder a esses ataques, demonstrados por tempos de recuperação cada vez mais longos.”
No mês passado, a Organização Mundial da Saúde (OMS), uma agência das Nações Unidas focada em saúde pública global, disse caracterizando o ransomware que ataca hospitais e sistemas de saúde como “questões de vida e morte” e pediu cooperação internacional para combater a ameaça cibernética.