دو سناتور ارشد دموکرات، لایحه‌ای را برای تقویت امنیت سایبری در بخش بهداشت و درمان (Healthcare) مجدداً ارائه کردند. این لایحه با عنوان «قانون امنیت و پاسخگویی زیرساخت‌های بهداشتی»، بر افزایش استانداردهای امنیتی و تخصیص بودجه برای بیمارستان‌های روستایی و مناطق کمتر برخوردار تمرکز دارد.
الزامات اجباری و جریمه‌های مالی
این لایحه پیشنهادی از وزارت بهداشت و خدمات انسانی ایالات متحده (HHS) می‌خواهد تا استانداردهای حداقلی اجباری برای سازمان‌های تحت پوشش HIPAA و شرکای تجاری آن‌ها تعریف کند. همچنین برای سازمان‌هایی که دارای «اهمیت سیستمی» هستند یا برای امنیت ملی حیاتی تلقی می‌شوند، الزامات سخت‌گیرانه‌تری در نظر گرفته شده است.
- جریمه‌های نقدی: عدم پایبندی به استانداردهای امنیتی اطلاعات بهداشتی منجر به جریمه‌های مالی خواهد شد.
- حمایت مالی: مبلغ ۱.۳ میلیارد دلار برای تشویق بیمارستان‌ها به پذیرش این استانداردهای امنیتی در نظر گرفته شده است.
روند صعودی نشت داده‌ها و حملات باج‌افزاری
دلیل این فشار قانونی، افزایش چشمگیر حجم نشت داده‌ها در سال‌های اخیر است. بر اساس داده‌های HHS، در سال ۲۰۲۴ بیش از ۷۴۱ مورد نشت داده گسترده رخ داده که ۲۹۰ میلیون نفر را تحت تأثیر قرار داده است. یکی از بزرگترین این حوادث، حمله باج‌افزار به واحد خدمات IT شرکت Change Healthcare بود که نزدیک به ۱۹۳ میلیون نفر را متأثر کرد.
این روند در سال ۲۰۲۵ و ۲۰۲۶ نیز ادامه داشته و نشان می‌دهد که استانداردهای داوطلبانه برای محافظت از حریم خصوصی و ایمنی بیماران کافی نیستند. عوامل تهدید با استفاده از فناوری‌های پیشرفته‌تر و هوش مصنوعی (AI)، پیچیدگی حملات خود را افزایش داده‌اند.
چالش‌های زنجیره تأمین و ریسک شخص ثالث
یکی از نقاط ضعف اصلی، وابستگی به تامین‌کنندگان خارجی یا همان Business Associates است. گزارش‌ها نشان می‌دهد که در سال ۲۰۲۶، نزدیک به ۴۰٪ از نشت‌های داده‌ای بزرگ مربوط به شرکای تجاری و تامین‌کنندگان بوده است که بیش از ۳۱ میلیون نفر را تحت تأثیر قرار داده است. این موضوع اهمیت نظارت بر ریسک شخص ثالث (Third-party Risk) را دوچندان می‌کند.
اهداف عملکرد سایبری (CPGs)
پیش از این، HHS اهدافی را برای بهبود عملکرد سایبری تعریف کرده بود که شامل موارد زیر است:
- مدیریت آسیب‌پذیری‌های شناخته شده
- پیاده‌سازی احراز هویت چندعاملی (MFA) و رمزنگاری قوی
- برنامه‌ریزی برای پاسخ به حوادث (Incident Response)
- جداسازی حساب‌های کاربر عادی از حساب‌های دارای دسترسی بالا (Privileged Accounts)
- بخش‌بندی شبکه (Network Segmentation) و جمع‌آوری متمرکز Logها
