Das Office for Civil Rights (OCR) des US-Gesundheitsministeriums (HHS) schlägt neue Cybersicherheitsanforderungen für Gesundheitsorganisationen vor, die darauf abzielen, die privaten Daten von Patienten im Falle von Cyberangriffen zu schützen, berichtet Reuters. Die Regeln kommen nach großen Cyberangriffen wie einem, bei dem Anfang des Jahres die privaten Daten von mehr als 100 Millionen UnitedHealth-Patienten preisgegeben wurden.
Der Vorschlag des OCR sieht vor, dass Gesundheitsorganisationen die Multifaktor-Authentifizierung in den meisten Situationen verpflichtend vorschreiben müssen, dass sie ihre Netzwerke segmentieren, um das Risiko einer Ausbreitung von Eindringlingen von einem System auf ein anderes zu verringern, und dass sie Patientendaten verschlüsseln, sodass sie selbst im Falle eines Diebstahls nicht zugänglich sind zugegriffen werden. Es würde auch regulierte Gruppen anweisen, bestimmte Risikoanalysepraktiken durchzuführen, Compliance-Dokumentation zu führen und mehr.
Die Regel ist Teil der Cybersicherheitsstrategie, die die Biden-Regierung letztes Jahr angekündigt hat. Sobald es fertig ist, würde es die Sicherheitsregel des Health Insurance Portability and Accountability Act von 1996 (HIPAA) aktualisieren, die Ärzte, Pflegeheime, Krankenversicherungsgesellschaften und mehr regelt und zuletzt im Jahr 2013 aktualisiert wurde.
Die stellvertretende nationale Sicherheitsberaterin der USA, Anne Neuberger, bezifferte die Kosten für die Umsetzung der Anforderungen auf „schätzungsweise 9 Milliarden US-Dollar im ersten Jahr und 6 Milliarden US-Dollar in den Jahren zwei bis fünf“, schreibt Reuters. Der Vorschlag soll am 6. Januar im Bundesregister veröffentlicht werden. Damit beginnt die 60-tägige öffentliche Kommentierungsfrist, bevor die endgültige Regelung festgelegt wird.
