پیاده سازی تدابیر امنیت سایبری برای محافظت از شبکه های Telemedicine از تهدیدات

چرا شبکه های Telemedicine اهداف جذاب هستند

اطلاعات سلامت بیمار (PHI) در بازار سیاه بسیار ارزشمند است، اغلب قیمت های بالاتر را نسبت به شماره کارت اعتباری به دست می آورد. پلتفرم های Telemedicine همچنین حجم زیادی از دستگاه های متصل را مدیریت می کنند، هر کدام یک از آنها یک نقطه ورودی بالقوه را نشان می دهند.

تدابیر امنیت سایبری هسته ای برای Telemedicine

هر استقرار تله پزشکی باید این کنترل های بنیادی را برای کاهش خطر اجرا کند.

• احراز هویت چند عاملی (MFA)

MFA نیاز به کاربران برای ارائه دو یا چند فاکتور تأیید مانند یک رمز عبور و یک کد یک بار از یک برنامه تلفن همراه - قبل از دسترسی به پلت فرم Telemedicine.این به طور قابل توجهی خطر سرقت اعتباری و دسترسی غیر مجاز را کاهش می دهد. ارائه دهندگان مراقبت های بهداشتی باید MFA را برای تمام پزشکان، مدیران و حتی بیماران که در آن امکان پذیر است اعمال کنند.

۲- رمزگذاری داده ها در حمل و نقل و در حالت استراحت

رمزگذاری تضمین می کند که حتی اگر داده ها بدون مجوز متوقف یا دسترسی پیدا کنند، نمی توان آن را بخواند.برنامه های Telemedicine باید از امنیت لایه حمل (TLS) 1.3 یا بالاتر برای تمام ارتباطات بین دستگاه های مشتری، سرورها و API های شخص ثالث ذخیره شده در سرورها، نمونه های ابر و رسانه های پشتیبان باید با استفاده از AES-256 یا معادل آن رمزگذاری شوند.

۳- مدیریت منظم پچ و به روز رسانی نرم افزار

آسیب پذیری های نرم افزار خنثی یک بردار حمله اولیه است. مهاجمین به طور فعال برای نقص های شناخته شده در سیستم عامل ها، ابزار کنفرانس ویدئویی، سیستم های بهداشت الکترونیکی (EHR) و تجهیزات شبکه ای اسکن می کنند.سازمان های بهداشتی باید یک سیاست مدیریت پچ رسمی ایجاد کنند که شامل آسیب پذیری، اولویت بندی ریسک و آزمایش قبل از استقرار تله پزشکی - مانند برنامه های تلفن همراه یا دستگاه های پزشکی IoT خودکار، به روز رسانی ضروری هستند.

بخش بندی شبکه و تقسیم بندی Micro-Segmentation

تقسیم شبکه تله پزشکی به مناطق منزوی، حرکت بعدی مهاجمان را محدود می کند.برای مثال، بخش کنفرانس ویدئویی باید قوانین فایروال جداگانه داشته باشد و کنترل دسترسی از EHR backend را محدود کند. micro-segmentation با استفاده از سیاست های دانه ای در یک بخش، محدود کردن ارتباط بین دستگاه های فردی یا ماشین های مجازی، این روش شامل نقض و به حداقل رساندن شعاع انفجار است.

استراتژی های پیشرفته امنیتی

فراتر از اصول، سازمان ها باید چارچوب های پیشرفته ای را برای مقابله با تهدیدات پیچیده و در حال تکامل خواسته های نظارتی اتخاذ کنند.

ارزیابی ریسک و مدیریت آسیب پذیری

ارزیابی ریسک رسمی دارایی ها، تهدیدات، آسیب پذیری ها و تاثیر بالقوه بر ایمنی و حریم خصوصی بیمار را مشخص می کند.موسسه ملی استانداردها و فناوری (NIST) چارچوب امنیت سایبری یک رویکرد ساختار یافته برای مدیریت آسیب پذیری منظم - حداقل ماهانه - و تست نفوذ سالانه کمک می کند تا نقاط ضعف را قبل از انجام حملات کشف کند.

صفر معماری اعتماد

Zero Trust فرض می کند که هیچ کاربر، دستگاه یا شبکه ای نباید به طور پیش فرض مورد اعتماد قرار گیرد (حتی اگر در محیط شرکت باشند، برای Telemedicine، این بدان معنی است که هر درخواست دسترسی، نظارت مداوم برای ناهنجاری ها و محدود کردن دسترسی به حداقل مورد نیاز برای هر نقش، اجزای کلیدی شامل میکرو-egment، حداقل کنترل دسترسی به دسترسی و تایید مستمر است.

پایان امنیت و مدیریت دستگاه

Telemedicine به نقاط مختلف انتهایی متکی است: ایستگاه های کاری کلینیکی، تلفن های همراه، دستگاه های خانگی و سبدهای پزشکی اختصاصی، هر نقطه پایانی باید با سیستم عامل های حفاظت از نقطه انتهایی (EPP) که شامل آنتی ویروس، فایروال و جلوگیری از نفوذ میزبان است، برای دستگاه های غیر مدیریت (به عنوان مثال، گوشی های هوشمند بیمار)، کنترل های دسترسی دقیق و امنیت قبل از بررسی اتصالات تلفن همراه (موم پاک کردن دستگاه های رمزگذاری شده، و پاک کردن راه حل های دور) و تمیز کردن دستگاه های پاک کردن دستگاه های پاک کننده، و تمیز کردن دستگاه های پاک کننده تلفن های پاک کننده، دسترسی دقیق را اجرا می کند.

اینترنت اشیاء پزشکی (IoMT)

دستگاه های پزشکی متصل - مانیتور فشار خون، متر گلوکز، استوسکوپها - داده های تغذیه شده به سیستم عامل های تله پزشکی. بسیاری از دستگاه های IoMT دارای قابلیت های امنیتی محدود هستند.سازمان ها باید تمام دستگاه های IoMT را در شبکه های اختصاصی قرار دهند و اطمینان حاصل کنند که به روز رسانی های امنیتی ایالات متحده را دریافت می کنند.

نظرات و مقررات

Telemedicine امنیت سایبری باید با مقررات خاص بهداشتی هماهنگ شود. عدم انطباق می تواند منجر به جریمه، مسئولیت قانونی و از دست دادن اعتماد بیمار شود.

HIPAA و Telemedicine

در ایالات متحده، قانون دسترسی به بیمه درمانی و پاسخگویی (HIPAA) الزاماتی را برای محافظت از اطلاعات سلامت محافظت شده الکترونیکی (ePHI) تنظیم می کند، قانون امنیت HIPAA، حفاظت های اداری، فیزیکی و فنی، از جمله کنترل دسترسی، کنترل های حسابرسی، کنترل های یکپارچگی و امنیت انتقال را به ارائه دهندگان خدمات بهداشتی (BAA) برای ارائه می دهد.

GDPR و استانداردهای بین المللی

سازمان هایی که به بیماران در اتحادیه اروپا خدمت می کنند باید با مقررات حفاظت از داده های عمومی (GDPR) مطابقت داشته باشند که نیاز به حفاظت از داده ها از طریق طراحی، اطلاع رسانی در 72 ساعت و احترام به حقوق موضوعات داده ها دارند، به طور مشابه، ONC Health IT Playbook] [FLT 1 بهترین شیوه ها برای ایمن سازی سیستم های IT ارائه می دهد.