Modernisation de l’accès au risque d’un tiers Health-Histok

Modernisation de l’accès risqué à des tiers des soins de santé
Ryan Redman, JD

Ryan Redman, JD est chef de produit du marketing sur Ondulation.

Les annonces d’Oracle Health de son deuxième cyber-incident en mars de cette année ont choqué les prestataires de soins de santé et les clients. Encore plus alarmant était que les données spécifiques situées dans leur ancienne infrastructure cloud ont été influencées.

Selon les informations accessibles au public, environ 6 millions de dossiers contenant des informations de santé protégés (PHI) ont probablement été menacés malgré les tentatives d’Oracle de réduire la gravité du compromis potentiel. Les conséquences ont laissé les hôpitaux essayant d’identifier les données exposées, car l’incident a rappelé aux responsables la conformité à l’appel à considérer toutes les données en dehors de la supervision centralisée, y compris les infrastructures plus anciennes lors de la facturation d’un risque tiers.

Beaucoup de ces experts en conformité en matière de santé doivent s’appuyer sur des stratégies de risque de tiers avec une visibilité limitée dans de nombreux réseaux de fournisseurs, de partenaires et d’environnements hébergés à gérer. En plus des données compromettantes sur l’infrastructure héritée, les cyber-incidents d’Oracle ont révélé un écart nocif dans le respect des réglementations sur la façon dont les organisations médicales contrôlent les relations de troisième partie. Les équipes de soins de santé doivent recevoir des outils intégrés en temps réel qui augmentent la visibilité, réduisent les travaux manuels et permettent à une réponse de risque proactive de fermer et de protéger leurs données.

Dangers cachés des infrastructures plus anciennes et des stratégies dépassées de risque de troisième partie

Pour les systèmes plus anciens, il est facile de passer au réseau secondaire des soins de santé, qui couvre les plates-formes internes, les plates-formes externes et le cloud hébergé de données. L’utilisation de tiers n’augmente que les risques critiques. Dans le cas d’Oracle, les serveurs n’ont pas encore été entièrement collés à l’environnement de la nouvelle entreprise et conduisent les attaquants à l’utilisation de données de connexion en voie de disparition pour accéder à ces systèmes. Les équipes ont négligé ce qui ressemblait à une infrastructure somnagère obsolète. Les mauvais acteurs ont abordé les données sensibles et les méthodes d’évaluation traditionnelles n’ont pas pu détecter ce risque.

Les organisations médicales sont confrontées aux graves conséquences de la conformité avec la réglementation lorsque des tiers ne garantissent pas les patients, en raison d’une approche incorrectement configurée, d’une vulnérabilité manquée ou de systèmes négligés. En 2024, le secteur des soins de santé est apparu comme l’industrie la plus attendue pour les violations des données, prouvant que l’évaluation des risques de troisième partie ne la réduit pas. Ces évaluations sont souvent effectuées régulièrement et comprennent des enquêtes en e-mails, des tableaux et des dossiers déconnectés, ont ces évaluations dans les leçons du travail manuel et offrent une vision statique limitée du risque. Les méthodes arrêtées ne peuvent pas capturer la vulnérabilité résultante dans les anciens systèmes au fil du temps. Les risques se produisent souvent jusqu’à ce que le prochain contrôle de la conformité planifiée arrive, ce qui signifie que les données sensibles ont déjà été exposées.

Cinq étapes de base pour améliorer la supervision

Les organisations de santé doivent prendre des mesures pour renforcer leur posture de tiers et les événements suivants peuvent aider à changer la politique en pratique.

• Créez une seule source de vérité pour les preuves et la documentation. Le stockage centralisé sécurisé garantit que les matériaux pertinents pour l’adhésion organisationnelle à l’organisation sont vérifiés et toujours accessibles.
• Suivez et classez l’intégration et les contrats de troisième partie. Différents cas d’utilisation avec les mêmes tiers peuvent comporter différents niveaux de risque. Un inventaire clair avec un contexte au niveau du câblage prend en charge une classification et une visibilité plus précises.
• Automatisez les cycles de notation et de contrôle des risques. Les modèles de notation configurables basés sur des trames réglementaires permettent aux spécialistes d’évaluer systématiquement le risque de tiers sans le processus de revenu manuel.
• Passez des critiques régulières à la supervision continue. Les examens périodiques laissent des lacunes critiques en vue du risque. Avertissement en temps réel grâce à une surveillance continue du symptôme lorsque le score de risque augmente avec les nouvelles résultats.
• Élaborer des plans pour répondre aux risques de troisième partie. Les organisations doivent tester régulièrement les programmes de risques les plus complexes à travers des exercices ou des simulations de table.

Enfin, le maintien de la confiance est essentiel pour le respect des réglementations et la perte à des coûts trop élevés.