满足网络安全绩效目标和 HHS 倡议的解决方案
美国卫生与公众服务部（HHS）推出了网络安全绩效目标（CPGs）——这是一组从被广泛采用的 NIST CSF 和 HICP 中优先选出的控制措施，旨在聚焦于提升针对医疗保健领域最高优先级威胁的韧性（如 HHS 发布的《医院网络韧性倡议现状分析》所揭示）。
为什么选择 CPGs？
HHS 网络安全绩效目标的简要历史——从 2015 年的 CSA 法案到 2024 年的 HISAA 法案。
认识到针对关键行业的威胁日益上升，美国国会通过了 CSA。第 405(d) 条旨在建立自愿性的最佳实践，以保护医疗保健组织（HCO）免受网络风险影响。
国会通过《网络安全法案》（CSA）
HHS 成立工作组，以应对 CSA 第 405(d) 条下的相关问题
HHS 承担了这一职责，并召集了 405(d) 工作组，该工作组由 150 多名来自网络安全、隐私保护、医疗从业者、IT 及其他主题专家（SME）的成员组成。
该工作组制定了 HICP，这是一份聚焦医疗行业主要威胁的最佳实践指南，并附有 HCO 可遵循的具体实践，以应对这些威胁。此外，HICP 还有助于符合 HIPAA 的安全规则要求。
制定《医疗行业网络安全实践》（HICP）
FBI 表示，医疗保健行业是勒索软件的头号攻击目标
新冠疫情期间，勒索软件攻击影响癌症治疗：
门诊总量下降了 41%。
圣地亚哥一家医疗非营利组织遭受重大勒索软件攻击
- 导致收入损失、补救成本及罚款共计 1.12 亿美元。
尽管 HICP 已被实施，勒索软件事件仍持续上升，这表明许多 HCO 由于以下限制，难以有效采纳并落实这些标准：
- HCO 的 IT 团队人员不足，技术人员往往身兼数职。
- 大多数 IT 预算优先用于电子病历（EHR）实施等大型项目，几乎没有余力满足网络安全需求。
- 尽管存在多个框架，攻击事件仍然普遍。
- HHS 开展研究，以了解最主要的威胁以及预防这些威胁所需的控制措施。
- HHS 在题为《医院网络韧性倡议现状分析》的报告中发布了其研究结果。
- 该报告揭示了 HCO 当前遵循的网络安全实践中存在的一些令人担忧的缺口，并指出必须优先考虑 HICP 中的某些实践。
报告中的关键发现：
勒索软件：头号威胁
- %
2023 年有 60% 的 HCO 受到影响。
脆弱性评估不足
- %
53% 的医院制定了漏洞响应书面计划。
- %
20% 的医院开展高级漏洞测试。
第三方网关
- %
的勒索软件事件涉及第三方来源。
- 位
根据 CISO 的说法，这是第三常见的风险向量。
老旧资产
- %
的医院运行着存在已知漏洞的遗留系统。
不断上涨的网络保险保费
- %
2021 年增长，一些医院因此选择自保。
HHS 开展医院网络韧性倡议态势分析
HHS 发布自愿性网络安全绩效目标（CPG）
- 基于医院网络韧性倡议态势分析的发现，HHS 发布了一套优先级排序的网络安全实践，称为 CPG。
- CPG 重点应对困扰医疗行业的主要威胁，并参考了 NIST CSF 和 HICP 中的关键控制措施与实践。
- 这套自愿性目标分为两类：基础和增强。
- HHS 正与国会合作，为实施 CPG 制定资助计划。
尽管 HHS 推出了许多举措，医疗行业仍然目睹了网络攻击的增加：
“像 UnitedHealth 这样的巨型企业在网络安全基础课上都不及格，而美国家庭因此正在承受后果……这些都是常识性的改革，其中包括对那些在网络安全问题上向政府撒谎的 CEO 判处监禁。”
Ron Wyden，
美国参议院财政委员会主席
Change Healthcare 网络攻击：
- 在已知最大规模的 PHI 泄露事件中，1 亿人受到影响。
- UnitedHealth 记录其 Change Healthcare 网络攻击造成的总影响达 25 亿美元
为应对威胁，网络安全已成为 HCO 董事会层面的优先事项，KLAS 报告对此有所体现。
美国医疗行业遭遇史上最大规模网络攻击，HCO 的优先事项转向网络安全
《健康基础设施安全与问责法案》（HISAA）意味着更严格的监管和更严厉的罚款
随着网络安全成为国家层面的优先事项，美国参议院提出了 HISAA 法案，对网络安全违规行为规定了严格的监管要求和罚款。
HISAA 的一些亮点包括：
- HHS 和 HIPAA 对罚款金额的法定上限将被取消，以确保较大的 HCO 面临足够高的处罚，从而遏制松懈的网络安全措施。
- HISAA 将拨款 13 亿美元以覆盖实施成本，尤其是帮助规模较小的 HCO。
- 所有 HCO 都必须公开披露合规状态，医疗行业高管应按年度对其进行认证。
- 任何虚假信息都可能导致最高 100 万美元 的罚款以及最长 10 年 的监禁。
- HHS 应每年对 HCO 进行审计，并每两年向国会提交摘要。
- HHS 必须在两年内基于 CPG 制定一套最低和增强安全要求。
- 在新标准制定完成之前，HCO 应评估对 CPG 的遵循情况。
CPG 是迈向 HISAA 的垫脚石——以下是您如何与其保持一致并做好准备
在 HISAA 针对性的最低安全要求正式生效之前，HCO 应评估其对 CPG 的符合情况。虽然目前满足 CPG 仍属自愿性质，但 HISAA 将在未来强制要求实现这些目标。此外，CPG 采用了 NIST CSF 和 HICP 中的控制措施，并根据医疗行业面临的主要威胁进行了优先级排序，尽早采用将有助于缓解关键威胁，同时帮助您为 HISAA 未来的强制要求做好准备。
使用 ManageEngine Endpoint Central 实施 CPG 相关内容的战术建议
ManageEngine Endpoint Central 可帮助您实现 CPG 中基础目标和增强目标下与终端管理及安全相关的部分。
