Publicerad på: Februari 26, 2024

US Department of Health and Human Services (HHS) Office for Civil Rights (OCR) har meddelat böter mot Green Ridge Behavioral Health för att ha misslyckats med att förhindra en ransomware-attack som äventyrade patienternas personliga information. Detta är bara andra gången som OCR har vidtagit verkställande åtgärder som svar på en cyberattack av ransomware som äventyrade hälsoinformation skyddad av Health Insurance Portability and Accountability Act (HIPAA).

Green Ridge Behavioral Health, en Maryland-baserad leverantör av mentalvårdstjänster, föll offer 2019 för en ransomware-attack som avslöjade känslig information från över 14,000 XNUMX patienter. OCR:s undersökning avslöjade att Green Ridge inte hade genomfört den riskanalys som krävs enligt HIPAA:s regler, och inte heller hade den implementerat säkerhetsåtgärder som var tillräckliga för att skydda sig mot sådana cyberattacker. Denna tillsyn bröt inte bara mot HIPAA-reglerna utan lämnade också patientinformationen utsatt för cyberbrottslingar.

Verkställighetsåtgärden inkluderar en straffavgift på $40,000 XNUMX och kräver att Green Ridge Behavioral Health utvecklar en omfattande korrigerande handlingsplan. Denna plan kräver att vårdgivaren utför en grundlig riskanalys och upprättar riskhanteringspolicyer, vilket säkerställer att säkerhetsåtgärder finns på plats för att skydda patientdata mot framtida cyberhot. Dessutom kommer OCR att noggrant övervaka Green Ridges efterlevnadsinsatser under de kommande tre åren.

Straffet och uppföljningsåtgärderna belyser det allvar med vilket HHS tar itu med det växande hotet från cyberbrottslingar i sjukvårdsindustrin. HHS säger att under de senaste fem åren har det skett en 256% ökning av intrång som involverar hackning och en 264% ökning av ransomware-attacker mot vårdgivare, vilket påverkade HIPAA-data från 134 miljoner människor bara under 2023.

"Ransomware växer till att bli en av de vanligaste cyberattackerna och gör patienter extremt sårbara", säger OCR-chefen Melanie Fontes Rainer. "Dessa attacker orsakar nöd för patienter som inte kommer att ha tillgång till sina journaler, därför kanske de inte kan fatta de mest exakta besluten om deras hälsa och välbefinnande. Sjukvårdsleverantörer måste förstå allvaret i dessa attacker och måste ha rutiner på plats för att säkerställa att patienternas skyddade hälsoinformation inte utsätts för cyberattacker som ransomware.”

Green Ridge-åtgärden från HHS sänder ett tydligt budskap till vårdgivare om den avgörande betydelsen av HIPAA-efterlevnad och behovet av proaktiva cybersäkerhetsåtgärder. Cyberbrottslingar har avsevärt ökat sin inriktning mot sjukvårdssektorn, med attacker mot ransomware som utgör det största hotet mot patienternas integritet och integriteten hos sjukvårdstjänsterna. Fallet Green Ridge understryker nödvändigheten för vårdgivare att kontinuerligt utvärdera och förbättra sina cybersäkerhetsprotokoll för att förhindra att deras patientinformation äventyras.

För att mildra det växande cyberhotet och förbli kompatibel med HIPAA-lagen rekommenderar OCR, bland andra åtgärder, följande:

• Säkerställa att riskanalys och riskhantering genomförs regelbundet, särskilt när ny teknik och affärsverksamhet planeras.
• Genomföra regelbunden översyn av informationssystemaktiviteten.
• Använder multifaktorautentisering för att säkerställa att endast auktoriserade användare får åtkomst till skyddad hälsoinformation.
• Krypterar skyddad hälsoinformation för att skydda mot obehörig åtkomst.
• Ge personalutbildning om HIPAA-ansvar och förstärka personalens avgörande roll för att skydda patienternas integritet och säkerhet.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• PlatoHealth. Biotech och kliniska prövningar Intelligence. Tillgång här.
• Källa: https://www.safetydetectives.com/news/hhs-fines-healthcare-provider-for-failing-to-protect-patient-information/