Las organizaciones de atención médica de hoy en día están bajo presión para aumentar la asequibilidad, la calidad y la eficiencia de la atención al paciente, al mismo tiempo que optimizan los costos y cumplen con la legislación regulatoria en constante cambio. Esas demandas por sí solas son suficientes para agotar los recursos hasta un punto de ruptura. Sin embargo, estudios recientes muestran que proteger la información del paciente es uno de los mayores desafíos que enfrentan los proveedores de salud modernos.

‍

Los registros médicos tienen un valor tan alto en el mercado clandestino (hasta $ 500 USD por registro) que los proveedores de atención médica ahora son el objetivo número uno de los delitos cibernéticos. Una vez que un proveedor sufre una infracción, las consecuencias pueden costar cientos de dólares por registro robado. Dado que también se le puede solicitar a un proveedor de atención médica que informe las infracciones al público en general a través de los medios de comunicación, puede sufrir daños a la reputación y a la marca a largo plazo.

‍

Un informe reciente del Instituto Ponemon muestra que la pérdida promedio en el valor de una marca podría ser de hasta $330 millones de dólares, una cifra que no muchos proveedores pueden pagar.

Las organizaciones de salud luchan por adaptarse a este nuevo panorama en el que una sola infracción puede paralizar el negocio. Introducir la estabilidad y lograr el éxito requiere una serie de componentes diferentes, incluida la educación de los empleados, evaluaciones de riesgos continuas, autoauditorías y medidas preventivas confiables que protegen el negocio.

‍

Educación del empleado

‍

El conocimiento es su primera línea de defensa contra las filtraciones de datos. Ponemon informa que el 30 % de las filtraciones de datos se deben a errores humanos y el 40 % a ataques maliciosos. Educar a los empleados sobre el protocolo de contraseñas y la importancia de protegerlas puede reducir drásticamente su riesgo. El Informe de Investigaciones de Violación de Datos de Verizon, el ahora famoso estudio anual, mostró que el 63% de los ataques se aprovechan de contraseñas débiles.

Establecer un programa de capacitación en seguridad cibernética para enseñar a toda la organización cómo crear contraseñas seguras y evitar las estafas de phishing y keylogger puede reducir el riesgo de una violación de datos. Asegúrese de que todos los empleados conozcan las ubicaciones permitidas para el uso de dispositivos y los límites geográficos operativos. Además, infórmeles sobre las políticas corporativas y los mandatos regulatorios con respecto a los terminales. Enfatice su responsabilidad personal por los dispositivos portátiles que contienen PHI.

‍

Realizar una evaluación de riesgo

‍

Los terminales ayudan a agilizar y mejorar la atención al paciente. Sin embargo, crean un gran riesgo de seguridad si no se implementan y aseguran de manera efectiva. Según las pautas originales de HIPAA, las evaluaciones de riesgo eran opcionales, pero la Ley HITECH las hace obligatorias. La Regla de seguridad requiere que las organizaciones “identifiquen vulnerabilidades en los sistemas de información o políticas de seguridad, así como amenazas naturales, humanas y ambientales a la seguridad de la información de salud protegida”. Realice una evaluación interna de riesgos y plantéese estas preguntas:

‍

• ¿Ha identificado todas las fuentes y los puntos de transmisión o almacenamiento de los datos PHI?

• ¿Ha identificado amenazas potenciales para estos puntos finales y canales?

• ¿Sus terminales tienen tecnología instalada que le permite mantener una conexión bidireccional?

• Si un dispositivo se pierde o es robado, ¿puede acceder de forma remota a los datos históricos para determinar si ha habido una filtración de datos y determinar el alcance de la filtración?

• ¿Sus terminales activan una alerta si se toman fuera de un perímetro predefinido?

• ¿Puede congelar o desactivar de forma remota los dispositivos perdidos o robados?

‍

Realizar una autoauditoría de seguridad

‍

Las autoauditorías de seguridad permiten a los administradores de TI garantizar que los datos de PHI estén protegidos correctamente. Comience por evaluar las soluciones de firewalls, cifrado y antivirus para asegurarse de que estén actualizados y funcionen de manera óptima. Asegúrese de que los datos estén encriptados en reposo y en movimiento. Como complemento de las soluciones de encriptación y antimalware, aproveche una solución de seguridad de punto final que está integrada en el firmware y se repara automáticamente si se manipula el dispositivo o el agente. Asegúrese de que esta solución pueda generar informes sobre hardware, software o cambios en los atributos del usuario, y alerte a TI sobre cualquier actividad sospechosa, como la eliminación del cifrado o la descarga de software no autorizado. Implemente auditorías periódicas de hardware y software de los dispositivos portátiles y de los registros de seguridad del servidor. Finalmente, asegúrese de que se solicite a los empleados que cambien sus contraseñas con regularidad y que las contraseñas sean lo suficientemente complejas. Evalúe la seguridad física de su centro de datos y salas de servidores, y rote las claves o códigos de acceso con regularidad.

‍

‍

Aproveche una estrategia de seguridad en capas

‍

La mejor prevención de brechas es una estrategia de defensa en capas integral que abarque terminales y redes; si una de las capas falla, hay otras capas en su lugar para garantizar que permanezca protegido. Absolute Persistence® es una parte crítica de este modelo de seguridad en capas. La tecnología está integrada en el núcleo de las computadoras portátiles y otros dispositivos en la fábrica. Una vez activado, le brinda una conexión bidireccional confiable para que pueda administrar la movilidad con confianza, investigar amenazas potenciales y tomar medidas si ocurre un incidente de seguridad. La capacidad de comunicarse con sus puntos finales, independientemente del usuario o la ubicación, significa que puede recibir información oportuna sobre dispositivos y eventos. Lo que es más importante, puede aplicar medidas de seguridad remotas para proteger cada dispositivo y los datos que contiene. Ninguna otra tecnología puede hacer esto.

‍

Conclusión

‍

Mantener segura la información médica protegida es uno de los mayores desafíos que enfrentan los proveedores de atención médica. Los datos médicos valen una fortuna en el mercado clandestino, y una violación de datos puede costarle a una organización millones en juicios, sanciones reglamentarias, reparación y daños a la marca. La clave para prosperar en un panorama regulatorio tan complejo es, en primer lugar, evitar que se produzcan infracciones. Educar a los empleados sobre las regulaciones y la ciberseguridad es una primera línea de defensa, pero también es crucial realizar evaluaciones de riesgos y autoauditorías de forma regular. Implementar una estrategia de seguridad en capas que brinde protección para todos los puntos finales y redes protege aún más el negocio al garantizar que si una capa falla, hay varias más para respaldarla. Absolute es una parte fundamental de un modelo de seguridad en capas eficaz, que proporciona seguridad de ciclo de vida, evaluación de riesgos y respuesta a los riesgos para ayudar a las organizaciones a evitar costosas filtraciones de datos.

‍