เหตุใดข้อมูลด้านการดูแลสุขภาพจึงเป็นเป้าหมายหลักของแรนซัมแวร์

องค์กรด้านการดูแลสุขภาพถือครองข้อมูลที่มีค่าที่สุดบางส่วนที่อาชญากรสามารถขโมยได้ เช่น ประวัติการรักษาพยาบาล รายละเอียดการประกันภัย หมายเลขประกันสังคม และบันทึกการเรียกเก็บเงิน ซึ่งสามารถนำไปขายต่อหรือแสวงหาประโยชน์ได้เป็นเวลาหลายปี ลอร์รี แจนส์เซน-อาเนสซี รองประธานฝ่ายปฏิบัติการความเสี่ยงระดับโลกของ BlueVoyant ได้ชี้ให้เห็นว่าการป้องกันแรนซัมแวร์ด้วยการกำกับดูแลข้อมูลด้านการดูแลสุขภาพจำเป็นต้องเปลี่ยนจากการเป็นเรื่องรองมาเป็นลำดับความสำคัญหลักในการปฏิบัติงาน โดยเธอโต้แย้งว่าวิธีที่องค์กรจัดการข้อมูลของตนเป็นตัวกำหนดว่าการโจมตีจะกลายเป็นการหยุดชะงักเล็กน้อยหรือการละเมิดครั้งใหญ่ที่หายนะ

โรงพยาบาลและคลินิกเป็นเป้าหมายที่น่าดึงดูดด้วยเหตุผลง่ายๆ คือ พวกเขาไม่สามารถยอมให้เกิดการหยุดชะงักได้ เมื่อแรนซัมแวร์ล็อกบันทึกผู้ป่วยหรือระบบการจัดตารางนัด ความกดดันที่จะจ่ายค่าไถ่และฟื้นฟูการดำเนินงานอย่างรวดเร็วนั้นมหาศาล และความเร่งด่วนนั้นคือสิ่งที่ผู้โจมตีคาดหวังไว้ ระบบไอทีแบบเดิม เครือข่ายที่กระจัดกระจายจากการควบรวมและซื้อกิจการ และผู้ขายที่หลากหลายซึ่งเข้าถึงระบบที่ละเอียดอ่อนได้ ล้วนขยายพื้นที่การโจมตีให้กว้างขึ้น ผลลัพธ์คืออุตสาหกรรมที่การบุกรุกที่ประสบความสำเร็จเพียงครั้งเดียวสามารถส่งผลกระทบเป็นวงกว้างต่อการจัดตารางนัด การเรียกเก็บเงิน และการดูแลผู้ป่วยโดยตรงพร้อมกัน

การกำกับดูแลข้อมูลมีความหมายอย่างไรต่อความเป็นส่วนตัวของผู้ป่วย

การกำกับดูแลข้อมูลไม่ใช่เพียงช่องทำเครื่องหมายเพื่อให้สอดคล้องกับข้อกำหนดเท่านั้น แต่หมายถึงนโยบาย กระบวนการ และโครงสร้างความรับผิดชอบที่กำหนดว่าใครสามารถเข้าถึงข้อมูลได้ ข้อมูลถูกจัดประเภทอย่างไร จัดเก็บที่ใด และเก็บรักษาไว้นานเท่าใด สำหรับโรงพยาบาล นั่นหมายถึงการรู้อย่างชัดเจนว่าระบบใดบ้างที่เก็บข้อมูลสุขภาพที่ได้รับการคุ้มครอง ใครมีเหตุผลอันชอบธรรมในการเข้าถึงข้อมูลนั้น และมีบันทึกที่ชัดเจนเกี่ยวกับการเข้าถึงนั้นตลอดเวลา

หากไม่มีการกำกับดูแลที่แข็งแกร่ง องค์กรมักจะไม่รู้ว่าข้อมูลที่ละเอียดอ่อนถูกเปิดเผยไปมากเพียงใดจนกระทั่งเวลาผ่านไปนานหลังจากเหตุการณ์เกิดขึ้น เพราะพวกเขาไม่เคยมีแผนผังที่ชัดเจนว่าข้อมูลนั้นอาศัยอยู่ที่ใดตั้งแต่แรก การกำกับดูแลที่ดีช่วยลดความไม่แน่นอนนั้นลงได้ นั่นหมายความว่าองค์กรสามารถตอบได้อย่างรวดเร็วและมั่นใจว่ามีอะไรถูกแตะต้องระหว่างเกิดเหตุการณ์ และใครบ้างที่ต้องได้รับการแจ้งเตือน ความชัดเจนนั้นมีความสำคัญอย่างมากต่อผู้ป่วย เพราะมันส่งผลโดยตรงต่อความรวดเร็วที่พวกเขาจะรู้ว่าข้อมูลของตนเองเป็นส่วนหนึ่งของการละเมิดหรือไม่

การเข้ารหัสและการควบคุมการเข้าถึงจำกัดความเสียหายจากการขโมยข้อมูลได้อย่างไร

แม้กรอบการกำกับดูแลที่ดีที่สุดก็ไม่สามารถป้องกันการพยายามบุกรุกทุกครั้งได้ สิ่งที่มันทำได้คือจำกัดรัศมีการระเบิดเมื่อผู้โจมตีผ่านแนวป้องกันรอบนอกไปแล้ว การเข้ารหัสทำให้ข้อมูลที่ถูกขโมยมีประโยชน์ต่ออาชญากรน้อยลงมาก หากไม่สามารถอ่านได้โดยไม่มีคีย์ที่ถูกต้อง การควบคุมการเข้าถึง โดยเฉพาะหลักการสิทธิ์ขั้นต่ำสุด (least privilege) จะจำกัดไม่ให้ผู้โจมตีเคลื่อนที่ในแนวนอนได้ไกลเพียงใดเมื่อเข้าไปในเครือข่ายแล้ว เนื่องจากการประนีประนอมข้อมูลประจำตัวของพนักงานคนหนึ่งไม่ควรให้สิทธิ์เข้าถึงฐานข้อมูลผู้ป่วยทั้งหมด

แนวทางแบบหลายชั้นนี้สำคัญเพราะการดำเนินการแรนซัมแวร์สมัยใหม่ผสมผสานการเข้ารหัสเข้ากับการขโมยข้อมูลมากขึ้น โดยข่มขู่ว่าจะเผยแพร่บันทึกที่ถูกขโมยเว้นแต่จะจ่ายค่าไถ่ การวิเคราะห์อุตสาหกรรมล่าสุดได้ระบุเป็นตัวเลขว่าการยกระดับนี้เกิดขึ้นบ่อยเพียงใด รายงานอุตสาหกรรมล่าสุดพบว่า 17% ของเหตุการณ์ทางไซเบอร์จบลงด้วยการขโมยข้อมูลจริง ซึ่งเป็นเครื่องเตือนใจว่าความล้มเหลวในการกำกับดูแลไม่ใช่เพียงความเสี่ยงเชิงทฤษฎี เมื่อการบุกรุกกลายเป็นการนำข้อมูลออกไป การเข้ารหัสที่แข็งแกร่งและการเข้าถึงที่จำกัดอย่างเคร่งครัดมักเป็นตัวแปรระหว่างเหตุการณ์ที่ถูกควบคุมได้กับการเปิดเผยบันทึกผู้ป่วยในวงกว้าง

ผู้ป่วยสามารถทำอะไรได้บ้างเมื่อการป้องกันของผู้ให้บริการล้มเหลว

ผู้ป่วยมีความสามารถในการมองเห็นข้อมูลภายในขององค์กรด้านการดูแลสุขภาพที่จำกัด และนั่นคือเหตุผลที่การสนทนาเรื่องการกำกับดูแลมีความสำคัญต่อพวกเขาแม้จะเกิดขึ้นเบื้องหลังก็ตาม การสมมติว่าคำมั่นสัญญาของผู้ให้บริการเพียงลำพังรับประกันความปลอดภัยได้นั้นเป็นการเดิมพันที่เสี่ยง ผู้ป่วยควรถือว่าความระมัดระวังของตนเองเป็นชั้นการป้องกันเสริม

นั่นหมายถึงการใส่ใจกับจดหมายแจ้งการละเมิดแทนที่จะเพิกเฉย ติดตามเอกสารแสดงสิทธิประโยชน์ (explanation-of-benefits) เพื่อดูว่ามีบริการที่ไม่เคยได้รับหรือไม่ และอายัดเครดิตหากสงสัยว่ามีการขโมยข้อมูลทางการแพทย์เพื่อการฉ้อโกง ผู้ป่วยยังสามารถถามผู้ให้บริการโดยตรงเกี่ยวกับนโยบายการเก็บรักษาข้อมูลของตน และว่าเคยมีการลบข้อมูลเก่าออกหรือไม่ เนื่องจากข้อมูลที่ไม่จำเป็นต้องมีอยู่อีกต่อไปไม่สามารถถูกขโมยได้ในการละเมิดในอนาคต

สิ่งนี้หมายความต่อคุณอย่างไร

แนวปฏิบัติด้านการกำกับดูแลที่เกิดขึ้นภายในแผนกไอทีของโรงพยาบาลมีเส้นทางตรงสู่ผลลัพธ์ของผู้ป่วย ทั้งในด้านคลินิกและการเงิน การป้องกันแรนซัมแวร์ด้วยการกำกับดูแลข้อมูลด้านการดูแลสุขภาพที่แข็งแกร่งช่วยลดโอกาสที่การบุกรุกจะกลายเป็นเหตุการณ์ขโมยข้อมูลจำนวนมาก และช่วยเร่งการตอบสนองเมื่อมีสิ่งผิดปกติเกิดขึ้น สำหรับผู้ป่วย บทเรียนไม่ใช่การตื่นตระหนกทุกครั้งที่มีพาดหัวข่าวเกี่ยวกับการละเมิดข้อมูลด้านสุขภาพ แต่คือการตั้งรับอย่างกระตือรือร้น: รู้วิธีอ่านหนังสือแจ้งการละเมิด เข้าใจสิทธิของคุณเกี่ยวกับการขโมยข้อมูลทางการแพทย์เพื่อการฉ้อโกง และถือว่าแนวปฏิบัติด้านข้อมูลของผู้ให้บริการเป็นสิ่งที่ควรถามถึง

ประเด็นสำคัญ

  • ด้านการดูแลสุขภาพยังคงเป็นเป้าหมายหลักของแรนซัมแวร์เพราะการหยุดชะงักในการปฏิบัติงานสร้างแรงกดดันให้จ่ายค่าไถ่อย่างรวดเร็ว
  • การกำกับดูแลข้อมูล ไม่ใช่แค่เครื่องมือทางเทคนิค เป็นตัวกำหนดว่าองค์กรสามารถตอบสนองและควบคุมเหตุการณ์ได้ดีเพียงใด
  • การเข้ารหัสและการควบคุมการเข้าถึงแบบสิทธิ์ขั้นต่ำสุดจำกัดจำนวนข้อมูลที่ถูกขโมยที่ผู้โจมตีสามารถนำไปใช้ได้จริง
  • ผู้ป่วยควรติดตามหนังสือแจ้งการละเมิดและเอกสารการเรียกเก็บเงินอย่างใกล้ชิด เนื่องจากช่องว่างการกำกับดูแลที่อื่นอาจยังเปิดเผยบันทึกส่วนบุคคลได้

การติดตามข้อมูลว่าองค์กรด้านการดูแลสุขภาพจัดการและปกป้องข้อมูลอย่างไรเป็นหนึ่งในวิธีที่ง่ายที่สุดที่ผู้ป่วยจะก้าวล้ำหน้า ความเสี่ยงที่พวกเขาไม่สามารถควบคุมได้โดยตรง