O HIPAA Journal relatou que “2020 foi o pior ano de violações de dados do setor de saúde”. Só nos EUA, houve 642 violações de dados relatadas em que o número de registros roubados ultrapassou 500 e, no total, quase 29,3 milhões de registros de saúde foram expostos.
As maiores ameaças aos dados de saúde
Em um ano em que o mundo estava focado no setor de saúde, também o estavam os atores mal-intencionados. Embora houvesse inúmeras causas para as violações de dados de saúde relatadas em 2020, as três principais foram:
- Incidentes de ransomware e phishing.
- Acesso ou divulgação não autorizados.
- Roubo de dados.
Incidentes de TI, como ransomware e phishing, contribuíram para impressionantes 91,99% dos registros de saúde violados. Houve um aumento de 25% no número de ataques de ransomware direcionados à saúde em 2020. Na verdade, em outubro de 2020, o FBI, CISA e HHS emitiram em conjunto um alerta de alto nível sobre um aumento no ransomware TrickBot, Ryuk e BazarLoader variantes que visam hospitais e provedores de saúde dos EUA.
Esses ataques levaram à exposição de informações de saúde protegidas eletrônicas (ePHI), como históricos médicos, informações de pacientes, números de previdência social, detalhes de seguros de saúde e informações financeiras.
Plano de 6 etapas da ManageEngine para proteger dados de saúde
O relatório de violação de custos de dados de 2020 descobriu que um registro de saúde perdido ou roubado custa US $ 429 – bem acima da média de US $ 150 em todos os setores. Estando no setor mais afetado por violações de dados, as organizações de saúde devem seguir este plano de seis etapas para proteger seus dados.
- Procure ePHI em seu armazenamento
Use métodos como correspondência de palavras-chave e correspondência de padrões para verificar ePHI em seus repositórios de armazenamento de arquivos. Crie e mantenha um inventário detalhado dos dados mais confidenciais de sua organização, agendando varreduras de descoberta de dados em intervalos regulares.
- Avalie os riscos associados ao ePHI armazenado
Analisar a sensibilidade, localização e risco dos dados; as permissões que os usuários têm sobre ele; e outros parâmetros críticos para avaliar sua vulnerabilidade. Corrija onde necessário para seguir modelos de privilégios mínimos e garanta que as informações sejam armazenadas apenas em locais seguros.
- Classifique os arquivos que contêm dados de saúde
Melhore a eficácia de seus sistemas de monitoramento e resposta a incidentes classificando os arquivos que contêm ePHI. Recomendamos implementar uma ferramenta que execute a classificação em conjunto com a descoberta de dados.
- Audite todos os acessos a arquivos confidenciais
Relate os usuários que acessam arquivos críticos para saber quem acessou os dados de saúde, quando e de onde. Detecte ataques de ransomware usando perfis de alerta baseados em limites e uma biblioteca atualizada de tipos de arquivos de ransomware conhecidos. Execute scripts personalizados para desligar as máquinas infectadas e interromper o progresso do malware, reduzindo assim os danos.
- Monitore uploads e downloads de dados
Monitore o uso de aplicativos em nuvem em terminais e rastreie uploads, downloads e outras atividades de usuários em plataformas de armazenamento em nuvem.
- Implementar uma estratégia de prevenção de perda de dados (DLP)
Utilize políticas de DLP personalizadas para detectar e bloquear tentativas de transferência de arquivos prejudiciais para dispositivos de armazenamento externos e aplicativos da web. Este e-book gratuito contém informações sobre como escolher uma ferramenta DLP e aperfeiçoar sua estratégia DLP.
Mais importante ainda, analise os incidentes identificados por sua ferramenta DLP e ajuste sua descoberta de dados e políticas de resposta DLP conforme necessário. Você pode precisar restringir as regras de descoberta de dados para reduzir falsos positivos, ampliar o escopo de suas políticas de prevenção de vazamento para reduzir falsos negativos ou ajustar outros parâmetros para garantir que eles fiquem alinhados com os cenários de ameaças em constante mudança.
Plano de 6 etapas da ManageEngine para proteger dados de saúde
Como a ManageEngine pode ajudar a garantir a segurança dos dados de saúde?
O DataSecurity Plus é uma visibilidade de dados unificada e plataforma de segurança que realiza auditoria de arquivo, análise de arquivo, avaliação de risco de dados, prevenção de vazamento de dados e proteção em nuvem.
Ele ajuda os usuários a localizar e classificar automaticamente os arquivos que contêm ePHI. Ele também identifica vulnerabilidades de permissão de arquivo, audita a atividade do usuário em arquivos críticos e evita vazamentos de dados confidenciais por meio de terminais. Juntos, esses recursos garantem proteção total dos dados de saúde em repouso, em uso e em movimento.
Saiba mais sobre o DataSecurity Plus e fale com um especialista da ACSoftware. Revenda e distribuidora ManageEngine no Brasil.
ACSoftware revenda e distribuidora ManageEngine no Brasil. – Fone / WhatsApp (11) 4063 9639.
