سنای ایالات متحده به‌صورت متفق‌القول لایحه‌ای دوحزبی را برای تقویت امنیت سایبری و تاب‌آوری (Resiliency) در بخش بهداشت و درمان تصویب کرد. این قانون که با عنوان «قانون امنیت سایبری و تاب‌آوری مراقبت‌های بهداشتی ۲۰۲۶» شناخته می‌شود، رگولاتورها را موظف می‌کند تا استانداردهای حداقلی برای بهترین روش‌های امنیتی (Cyber Best Practices) را تعریف کرده و اجرای آن‌ها را برای سازمان‌های فعال در این حوزه الزامی کنند.
به‌روزرسانی قوانین HIPAA و الزامات فنی
طبق این لایحه، وزارت بهداشت و خدمات انسانی (HHS) موظف است قوانین امنیتی HIPAA را که اکنون دو دهه قدمت دارند، مدرن‌سازی کند. از جمله الزامات جدیدی که در این به‌روزرسانی مورد تأکید قرار گرفته است، می‌توان به موارد زیر اشاره کرد:
- اجباری شدن احراز هویت چندعاملی (Multifactor Authentication – MFA)
- انجام منظم تست نفوذ (Penetration Testing)
- پیاده‌سازی چارچوب‌های امنیتی سخت‌گیرانه‌تر برای سازمان‌های تحت نظارت HIPAA
هماهنگی بین‌سازمانی و حمایت از مراکز روستایی
این قانون همچنین بر بهبود همکاری‌های میان وزارت بهداشت (HHS) و آژانس امنیت سایبری و زیرساخت‌های حیاتی (CISA) تأکید دارد تا پاسخگویی به حملات سایبری در بخش سلامت بهینه‌تر شود. علاوه بر این، لایحه مذکور بر ارائه راهنمایی‌های تخصصی و آموزش‌های لازم به ارائه‌دهندگان خدمات درمانی در مناطق روستایی، مانند کلینیک‌ها و بیمارستان‌های کوچک، برای پیشگیری از نشت داده‌ها (Data Breaches) تمرکز دارد.
چالش‌های استانداردسازی و مدیریت ریسک
کارشناسان حوزه امنیت اطلاعات در این بخش اشاره کرده‌اند که سازمان‌های درمانی در حال حاضر با حجم زیادی از توصیه‌های پراکنده و گاه متناقض از سوی سازمان‌های مختلف روبرو هستند. هدف از این قانون، ایجاد یک «منبع واحد حقیقت» (Single Source of Truth) برای استانداردهای امنیت سایبری است تا مدیران ارشد امنیت (CISO) و مدیران فناوری اطلاعات (CIO) بتوانند اولویت‌های خود را بر اساس معیارهای شفاف تعیین کنند.
در نهایت، این لایحه بر مدیریت ریسک‌های مرتبط با تامین‌کنندگان خارجی (Third-party Risk) تأکید کرده و هدف نهایی آن را حفاظت از داده‌های حساس بیماران و جلوگیری از توقف خدمات حیاتی بیمارستانی در اثر حملات سایبری عنوان کرده است.
