保护数字医疗数据免受网络攻击

2023 年，美国卫生与公众服务部（HHS）公民权利办公室（OCR）报告了541 起数据泄露事件，影响人数超过 500 人。其中一些事件影响到数百万甚至数千万个人，例如今年夏天广受关注的 HCA 医疗保健公司的数据泄露事件。 

同年感恩节，Ardent Health Services 遭到勒索软件攻击，导致 30 家医院系统主动关闭并暂停所有用户访问其IT 应用程序。这导致了非急诊程序的延误。 

截至 2024 年 2 月，《HIPAA 期刊》记录了 24 起数据泄露事件，涉及 10,000 份医疗记录。 

随着立法者要求企业对数据保护负责，围绕医疗保健数据安全的新行业要求即将出台。 

HIPAA 隐私规则》（45 CFR Part 160 和 Part 164 的 A 和 E 子部分）规定了受保护健康信息 (PHI) 的允许和要求的使用和披露。PHI 可以以任何形式存在，包括纸质、胶片和电子形式，并被视为可识别个人身份的健康信息。 

HIPAA 安全规则》（45 CFR Part 160 和 Part 164，A 和 C 子部分）概述了对电子 PHI (ePHI) 的要求。受保实体及其业务合作方必须维护电子 PHI 的保密性、完整性和可用性。 

HIPAA 外泄通知规则》（45 CFR §§ 164.400-414）要求 HIPAA 涵盖实体及其业务合作方在发生未加密受保护健康信息外泄后发出通知。 

NIST 特别出版物 800NIST SP 800-66r2 于 2024 年 2 月出版，为受监管实体（即受 HIPAA 保护的实体和业务关联方）提供了评估和管理电子健康信息风险的指导，确定了受监管实体可考虑作为信息安全计划一部分实施的典型活动，并提供了受监管实体可全部或部分利用的指导，以帮助改善其网络安全态势并协助实现 HIPAA 安全规则的合规性。 

2023 年 12 月，美国卫生与公众服务部（HHS）发布了一份概念文件，概述了医疗保健行业的网络安全战略。该战略强调加强执法力度，建立更高的行业实践标准。随后，HHS 于 2024 年 1 月发布了医疗保健和公共卫生行业特定网络安全绩效目标 (CPG)。这些目标分为 "基本 "和 "增强 "两类，旨在解决医疗保健行业普遍存在的网络安全漏洞。 

HHS 405(d) 计划为医疗机构提供了实用指南，帮助其应对实施强大数据安全措施的复杂性。该计划强调了数据丢失防护 (DLP) 系统作为全面数据安全框架关键组成部分的战略整合。根据医疗保健工作流程的不同需求定制 DLP 解决方案，有可能显著降低误报率，提高数据保护措施的整体有效性。  

格拉姆-里奇-比利雷法案》（GLBA）、《家庭教育权利与隐私法案》（FERPA）和《公平信用报告法案》（FCRA）等联邦法律保障了个人数据的机密性。除这些联邦法规外，新的州法律不断涌现，进一步加强了数据隐私和保护措施： 

患者数据和安全至关重要，医疗服务提供商如何确保现有的安全工具能够有效抵御不断变化的威胁？ 

针对较小的地区性医疗保健提供商的攻击明显增加，这凸显了采取强有力的网络安全措施的必要性。这些机构通常存储着极其敏感的数据，是黑客攻击的首要目标。实施 "多层次 "安全方法，结合数据丢失预防和主动威胁检测，对于最大限度地减少潜在危害至关重要。 

DLP 涉及旨在避免患者记录或 PHI 等敏感数据无意或未经授权泄露的策略。这一点在医疗保健领域尤为重要，因为 PHI 的泄露会对患者产生深远影响，可能导致身份盗用或影响医疗。要减少数据泄露并维护医疗保健数据的安全性和保密性，企业必须建立健全的 DLP 战略。 

OPSWAT Proactive DLP检测并阻止文件和电子邮件中的敏感、政策外和机密数据。Proactive DLP 采用了一系列全面的安全措施，包括检测文件传播的恶意软件、采用人工智能驱动的文档分类以及利用光学字符识别（OCR）进行敏感信息编辑，以减少潜在的数据泄露。它通过强大的数据丢失防护、访问控制和风险缓解功能支持 HIPAA 合规性。  

OPSWAT MetaDefender 平台为医疗机构量身定制了全面的威胁防范措施，以安全、经济高效的方式处理健康数据。MetaDefender 平台简化了安全操作流程，易于扩展，并为深度防御战略提供了市场领先的技术，例如 

• Deep CDR解除潜在的恶意文件，并重新生成可安全使用的内容。
• Multiscanning利用 30 多种防病毒引擎检测已知和未知的恶意软件。
• Adaptive Sandbox通过动态和静态分析检测恶意软件。
• 原产国限制根据地点和供应商访问数据。