满足网络安全
绩效目标和 HHS 计划的解决方案
卫生与公共服务部（HHS）推出了网络安全绩效目标（CPGs）——一套基于广泛采用的 NIST CSF 和 HICP 优先排序的控制措施，重点强化针对医疗行业最高优先级威胁的弹性（如 HHS 医院网络弹性计划景观分析所揭示）。
为什么选择 CPG？
从 2015 年的 CSA 法案到 2024 年的 HISAA 法案，HHS 网络安全绩效目标的简史。
美国国会认识到关键领域面临日益严峻的威胁，遂通过 CSA 法案。第 405(d) 条旨在建立自愿最佳实践，保护医疗机构（HCOs）免受网络风险。
国会通过网络安全法案（CSA）
HHS 设立工作组以应对 CSA 第 405(d) 条项下的相关问题
HHS 承担此责任，召集了 405(d) 工作组，成员超过 150 人，涵盖网络安全、隐私、医疗从业者、IT 及其他领域专家。
工作组制定了 HICP，作为专注于医疗行业主要威胁的最佳实践指南，提出了医疗机构可遵循的具体措施，同时支持符合 HIPAA 安全规则。
《医疗行业网络安全实践》（HICP）诞生
FBI 表示，勒索软件的#1 目标是医疗行业
COVID-19 大流行期间勒索软件攻击影响癌症治疗：
41% 门诊总量减少。
圣地亚哥某医疗非营利机构遭遇重大勒索软件攻击
- 原因 1.12 亿美元 损失的收入、修复费用和罚款。
尽管 HICP 已被执行，勒索软件事件仍在增加，显示许多医疗机构因以下限制而难以有效采纳和实施这些标准：
- 医疗机构 IT 团队人手不足，技术人员多职兼任。
- 大多数 IT 预算优先分配给诸如电子病历（EHR）实施等大型项目，网络安全需求被忽视。
- 尽管存在多个框架，攻击依然频发。
- HHS 开展研究以了解主要威胁及预防控制措施。
- HHS 以《医院网络弹性计划景观分析》报告形式发布研究结果。
- 报告揭示了医疗机构现有网络安全实践中的严重缺陷，并确认必须优先实施 HICP 中的某些措施。
报告主要发现：
勒索软件：主要威胁
- %
2023 年受影响的医疗机构比例。
漏洞评估不足
- %
有文档响应漏洞计划的医院比例。
- %
进行高级漏洞测试的医院比例。
第三方网关
- %
勒索软件事件涉及第三方源头的比例。
- 第三
根据首席信息安全官（CISO）调查，最常见的风险向量。
过时资产
- %
运行存在已知漏洞的遗留系统的医院比例。
网络保险保费上涨
- %
2021 年保费上涨，导致部分医院选择自保。
HHS 开展医院网络弹性计划景观分析
HHS 发布自愿网络安全绩效目标（CPGs）
- 基于医院网络弹性计划景观分析的发现，HHS 发布了一套优先排序的网络安全实践，即 CPGs。
- CPGs 重点解决困扰医疗行业的主要威胁，并参考了 NIST CSF 和 HICP 中的关键控制和实践。
- 这些自愿目标分为两类：基础和增强。
- HHS 与国会合作，为实施 CPGs 提供资金支持。
尽管有诸多 HHS 计划，医疗行业网络攻击仍在增加：
“像 UnitedHealth 这样的大型企业在网络安全基础知识方面表现不佳，导致美国家庭受到影响……这些都是常识性改革，包括对向政府隐瞒网络安全信息的 CEO 处以监禁。”
Ron Wyden，
美国参议院财政委员会主席
Change Healthcare 网络攻击：
- 1 亿 个人受到涉及最大已知医疗信息泄露事件的影响。
- UnitedHealth 记录 25 亿美元 Change Healthcare 网络攻击带来的总体影响。
应对威胁，网络安全成为医疗机构董事会层面的优先事项，如 KLAS 报告 所示。
美国医疗行业经历有史以来最大网络攻击，医疗机构优先事项转向网络安全。
《健康基础设施安全与问责法》（HISAA）带来更严格法规和更重罚款
网络安全被提升为国家级优先事项，美国参议院提出 HISAA 法案，规定了严厉的网络安全违规监管和罚款。
HISAA 的一些重点内容包括：
- 取消 HHS 和 HIPAA 对罚款的法定上限，确保大规模医疗机构面临足够高的惩罚以遏制网络安全松懈。
- HISAA 将拨款 13 亿美元覆盖实施成本，特别是针对较小的医疗机构。
- 所有医疗机构必须公开披露合规状况，医疗高管需每年进行认证。
- 任何虚假信息可能导致罚款高达 100 万美元 和最长 10 年.
- 监禁。
- HHS 应对医疗机构进行年度审计，并每两年向国会提交总结报告。
- HHS 必须在两年内制定基于 CPGs 的最低和增强安全要求。
在新标准出台之前，医疗机构应评估自身对 CPGs 的遵从情况。
CPGs 是通向 HISAA 的基石——以下是如何对齐并做好准备
在 HISAA 特定的最低安全要求生效前，医疗机构应评估对 CPGs 的合规性。目前满足 CPGs 是自愿的，但 HISAA 将在未来强制这些目标。此外，CPGs 采取 NIST CSF 和 HICP 的控制措施，依据医疗行业最高威胁优先排序，提前采纳将有助于缓解关键威胁，并为 HISAA 的未来强制要求做好准备。
使用 ManageEngine Endpoint Central 执行相关 CPG 部分的战术建议
