Gepubliceerd op: 26 februari 2024

Het Office for Civil Rights (OCR) van het Amerikaanse ministerie van Volksgezondheid en Human Services (HHS) heeft aangekondigd een boete tegen Green Ridge Behavioral Health omdat het er niet in slaagde een ransomware-aanval te voorkomen die de persoonlijke gegevens van zijn patiënten in gevaar bracht. Dit is pas de tweede keer dat OCR handhavingsmaatregelen heeft genomen als reactie op een ransomware-cyberaanval die gezondheidsinformatie in gevaar bracht die wordt beschermd door de Health Insurance Portability and Accountability Act (HIPAA).

Green Ridge Behavioral Health, een in Maryland gevestigde dienstverlener in de geestelijke gezondheidszorg, werd in 2019 het slachtoffer van een ransomware-aanval waarbij de gevoelige gegevens van meer dan 14,000 patiënten openbaar werden gemaakt. Uit het onderzoek van OCR bleek dat Green Ridge niet de door de HIPAA-regels vereiste risicoanalyse had uitgevoerd, en evenmin beveiligingsmaatregelen had geïmplementeerd die voldoende waren om zich tegen dergelijke cyberaanvallen te beschermen. Door dit toezicht werd niet alleen de HIPAA-regelgeving overtreden, maar werd ook patiëntinformatie blootgesteld aan cybercriminelen.

De handhavingsactie omvat een boete van $ 40,000 en geeft opdracht aan Green Ridge Behavioral Health om een ​​alomvattend corrigerend actieplan te ontwikkelen. Dit plan vereist dat de zorgverlener een grondige risicoanalyse uitvoert en een risicobeheerbeleid opstelt, waarbij ervoor wordt gezorgd dat er veiligheidsmaatregelen zijn getroffen om patiëntgegevens te beschermen tegen toekomstige cyberdreigingen. Bovendien zal OCR de nalevingsinspanningen van Green Ridge de komende drie jaar nauwlettend volgen.

De boete en vervolgacties benadrukken de ernst waarmee de HHS de groeiende dreiging van cybercriminelen in de gezondheidszorg aanpakt. HHS zegt dat er de afgelopen vijf jaar een toename is geweest van 256% in het aantal inbreuken waarbij hacking betrokken was, en een toename van 264% in het aantal ransomware-aanvallen tegen zorgverleners, waardoor alleen al in 134 de HIPAA-gegevens van 2023 miljoen mensen werden aangetast.

“Ransomware groeit uit tot een van de meest voorkomende cyberaanvallen en maakt patiënten uiterst kwetsbaar”, zegt OCR-directeur Melanie Fontes Rainer. “Deze aanvallen veroorzaken ongemak voor patiënten die geen toegang hebben tot hun medische dossiers, waardoor ze mogelijk niet de meest nauwkeurige beslissingen kunnen nemen over hun gezondheid en welzijn. Zorgaanbieders moeten de ernst van deze aanvallen begrijpen en moeten over praktijken beschikken om ervoor te zorgen dat de beschermde gezondheidsinformatie van patiënten niet wordt blootgesteld aan cyberaanvallen zoals ransomware.”

De Green Ridge-handhavingsactie van HHS zendt een duidelijke boodschap uit naar zorgverleners over het cruciale belang van HIPAA-naleving en de noodzaak van proactieve cyberbeveiligingsmaatregelen. Cybercriminelen hebben zich steeds meer op de gezondheidszorg gericht, waarbij ransomware-aanvallen de grootste bedreiging vormen voor de privacy van patiënten en de integriteit van de gezondheidszorg. De Green Ridge-zaak onderstreept de noodzaak voor zorgaanbieders om voortdurend hun cyberbeveiligingsprotocollen te beoordelen en te verbeteren om te voorkomen dat de gegevens van hun patiënten in gevaar komen.

Om de groeiende cyberdreiging te beperken en te blijven voldoen aan de HIPAA-wet, beveelt OCR onder meer het volgende aan:

• Ervoor zorgen dat risicoanalyse en risicobeheer regelmatig worden uitgevoerd, vooral wanneer nieuwe technologieën en bedrijfsactiviteiten worden gepland.
• Implementeren van een regelmatige beoordeling van de activiteit van het informatiesysteem.
• Gebruikmakend van meervoudige authenticatie om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot beschermde gezondheidsinformatie.
• Het coderen van beschermde gezondheidsinformatie om te beschermen tegen ongeoorloofde toegang.
• Het bieden van personeelstraining over HIPAA-verantwoordelijkheden en het versterken van de cruciale rol van medewerkers bij het beschermen van de privacy en veiligheid van patiënten.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• Plato Gezondheid. Intelligentie op het gebied van biotech en klinische proeven. Toegang hier.
• Bron: https://www.safetydetectives.com/news/hhs-fines-healthcare-provider-for-failing-to-protect-patient-information/