最佳CISO如何提高運營彈性
過去三年一直受到動蕩變化的推動——尤其是在涉及組織的技術結(jié)構(gòu)方面。意想不到的全球大流行大大加速了數(shù)字化轉(zhuǎn)型 (DX) 和無國界勞動力，迫使企業(yè)快速推進他們原定需要數(shù)年才能完成的項目。這些長達數(shù)年的項目開始在數(shù)月甚至數(shù)周內(nèi)完成，極大地推動了行業(yè)向前發(fā)展，但也強調(diào)了網(wǎng)絡安全必須交織在這些轉(zhuǎn)型的結(jié)構(gòu)中以建立運營彈性。
在此期間，網(wǎng)絡安全轉(zhuǎn)變?yōu)榻M織的競爭優(yōu)勢，而不僅僅是成本中心——導致許多董事會開始更加關注安全投資和指標，并優(yōu)先考慮結(jié)果。不可預見的大流行情況、加速的 DX 和靈活的工作——再加上烏克蘭的地緣政治沖突——證明 CISO 不僅需要防范網(wǎng)絡犯罪分子日益復雜的攻擊，還需要跟上網(wǎng)絡犯罪的速度。通過正確的安全措施進行創(chuàng)新。在這個轉(zhuǎn)型時期，我觀察到最敏捷的公司將網(wǎng)絡彈性放在首位，而我們行業(yè)中最好的 CISO 也擔任首席彈性官，將網(wǎng)絡投資和保護用于保護其業(yè)務運營。
最近發(fā)生的事件導致網(wǎng)絡空間變得越來越充滿敵意，也許沒有其他行業(yè)比醫(yī)療保健行業(yè)受到的影響更嚴重。對于醫(yī)療服務機構(gòu) (HDO) 而言，在安全可靠地提供患者護理方面沒有比這更高的風險了。這是因為勒索軟件對醫(yī)院的攻擊不僅僅是具有經(jīng)濟影響的白領犯罪——這些事件被歸類為威脅生命的犯罪，因為它們會阻礙 HDO 提供患者護理的能力，甚至可能導致人員傷亡。
根據(jù) Cynerio最近的一項研究，56% 的醫(yī)院安全負責人表示，他們的組織在過去 24 個月內(nèi)經(jīng)歷了一次或多次涉及醫(yī)療物聯(lián)網(wǎng) (IoMT) 設備的網(wǎng)絡攻擊。45% 的人報告說這些攻擊對患者護理造成了不利影響，其中 53%（總共 24%）報告了導致死亡率增加的不利影響。正如我們現(xiàn)在所知，醫(yī)療保健中的網(wǎng)絡安全是患者安全，而不僅僅是數(shù)據(jù)泄露。
現(xiàn)在，最好的 CISO 如何推動醫(yī)療服務機構(gòu)的運營彈性？
- 識別和應用：對醫(yī)療設備和運行這些系統(tǒng)所需的組件實施更嚴格的安全控制?，F(xiàn)實情況是，在許多醫(yī)療保健環(huán)境中，IT、物聯(lián)網(wǎng)和 IoMT 設備已經(jīng)融合在一個網(wǎng)絡上，并且缺乏差異化控制。通過識別醫(yī)療保健環(huán)境中的資產(chǎn)并對其進行分類，并通過應用虛擬分段和其他安全控制，CISO 可以在其高度關鍵的操作中建立彈性。
- 確定優(yōu)先次序并解決差距：系統(tǒng)地確定優(yōu)先次序并解決差距是實施良好治理和有效降低風險的關鍵。最好的 CISO 會為他們的環(huán)境建立一個“單一事實來源”，以彌合運營上的脫節(jié)和分歧。這個單一的記錄系統(tǒng)可以提供對臨床網(wǎng)絡的可見性，并允許利益相關者做出有效的決策，以改善其組織的運營和護理。
- 消除筒倉：當組織筒倉產(chǎn)生時，它們會導致各個團隊忽視共同目標，這可能導致巨大的效率低下和風險。對于 HDO，這些孤島會影響操作和護理的安全。例如，如果組織的網(wǎng)絡防御策略存在盲點，IT 團隊可能會在不知不覺中阻止與關鍵醫(yī)療設備的通信，或者在錯誤的時間關閉設備以應用補丁，從而導致可怕的后果。為了解決這個問題，CISO 應該實施融合 IT/安全、生物醫(yī)學和業(yè)務成果的“保護以實現(xiàn)”戰(zhàn)略。
- 采用整體方法：對于 CISO 而言，重要的是要從整體上考慮醫(yī)院運營，并了解盡管醫(yī)療設備很重要，但環(huán)境中的其他建筑管理系統(tǒng) (BMS) 也很重要。從安全攝像頭和物理門禁控制到 HVAC 系統(tǒng)、照明、電梯和火警系統(tǒng)，BMS 是至關重要的網(wǎng)絡物理系統(tǒng)，每天都有數(shù)百萬人信任它們來維持醫(yī)院的正常運轉(zhuǎn)。當這些系統(tǒng)出現(xiàn)故障時，提供護理變得更加困難，患者的治療效果也會受到影響。通過采取整體方法，HDO 可以提高整個生態(tài)系統(tǒng)的可見性，并確保更有效和高效的漏洞管理。
結(jié)合 CISO 實施的上述策略，一些政策也在塑造組織如何處理其醫(yī)療設備的安全問題。一個典型的例子是保護機密醫(yī)療保健(PATCH) 法案，該法案包含在最近的 23 財年撥款法案中，旨在為申請 FDA 批準的設備制造商實施基線網(wǎng)絡安全要求。此外，該法案將要求制定監(jiān)控、識別和解決上市后漏洞的計劃，并將為設備建立軟件物料清單 ( SBOM )——所有這些都將有助于確保 HDO 基礎設施保持安全。
近年來，網(wǎng)絡攻擊暴露了我們醫(yī)療保健基礎設施中的無數(shù)漏洞，并且隨著新的創(chuàng)新醫(yī)療技術的開發(fā)，這種情況將繼續(xù)存在。通過實施上述策略，并隨著 PATCH 法案等兩黨立法的制定，CISO 將更有能力推動運營彈性并確?；颊甙踩?。
