Publicado el: Febrero 26, 2024

La Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos de EE. UU. (HHS) ha anunciado una multa contra Green Ridge Behavioral Health por no prevenir un ataque de ransomware que comprometió la información personal de sus pacientes. Esta es solo la segunda vez que la OCR toma medidas coercitivas en respuesta a un ciberataque de ransomware que comprometió la información de salud protegida por la Ley de Responsabilidad y Portabilidad de Seguros Médicos (HIPAA).

Green Ridge Behavioral Health, un proveedor de servicios de salud mental con sede en Maryland, fue víctima en 2019 de un ataque de ransomware que expuso los datos confidenciales de más de 14,000 pacientes. La investigación de la OCR reveló que Green Ridge no había realizado el análisis de riesgos requerido por las reglas de HIPAA, ni había implementado medidas de seguridad suficientes para protegerse contra tales ataques cibernéticos. Esta supervisión no sólo violó las regulaciones de HIPAA sino que también dejó la información de los pacientes expuesta a los ciberdelincuentes.

La acción de cumplimiento incluye una multa de $40,000 y exige que Green Ridge Behavioral Health desarrolle un plan integral de acción correctiva. Este plan requiere que el proveedor de atención médica realice un análisis de riesgos exhaustivo y establezca políticas de gestión de riesgos, garantizando que existan salvaguardas para proteger los datos de los pacientes contra futuras amenazas cibernéticas. Además, la OCR supervisará de cerca los esfuerzos de cumplimiento de Green Ridge durante los próximos tres años.

La sanción y las acciones de seguimiento resaltan la seriedad con la que el HHS está abordando la creciente amenaza de los ciberdelincuentes en la industria de la salud. El HHS dice que en los últimos cinco años, ha habido un aumento del 256 % en las infracciones que involucran piratería y un aumento del 264 % en los ataques de ransomware contra proveedores de atención médica, lo que afectó los datos de HIPAA de 134 millones de personas solo en 2023.

"El ransomware se está convirtiendo en uno de los ataques cibernéticos más comunes y deja a los pacientes extremadamente vulnerables", afirmó la directora de la OCR, Melanie Fontes Rainer. “Estos ataques causan angustia a los pacientes que no tendrán acceso a sus registros médicos y, por lo tanto, es posible que no puedan tomar las decisiones más precisas sobre su salud y bienestar. Los proveedores de atención médica deben comprender la gravedad de estos ataques y deben implementar prácticas para garantizar que la información de salud protegida de los pacientes no esté sujeta a ataques cibernéticos como el ransomware”.

La acción de cumplimiento de Green Ridge por parte del HHS envía un mensaje claro a los proveedores de atención médica sobre la importancia crítica del cumplimiento de HIPAA y la necesidad de medidas proactivas de ciberseguridad. Los ciberdelincuentes han aumentado considerablemente sus objetivos en el sector de la salud, y los ataques de ransomware representan la mayor amenaza para la privacidad de los pacientes y la integridad de los servicios de salud. El caso de Green Ridge subraya la necesidad de que los proveedores de atención médica evalúen y mejoren continuamente sus protocolos de ciberseguridad para evitar que la información de sus pacientes se vea comprometida.

Para mitigar la creciente amenaza cibernética y seguir cumpliendo con la ley HIPAA, la OCR recomienda, entre otras acciones, lo siguiente:

• Garantizar que el análisis y la gestión de riesgos se realicen periódicamente, especialmente cuando se planifican nuevas tecnologías y operaciones comerciales.
• Implementar una revisión periódica de la actividad del sistema de información.
• Utilizar autenticación multifactor para garantizar que solo los usuarios autorizados accedan a información de salud protegida.
• Cifrar información de salud protegida para protegerla contra el acceso no autorizado.
• Brindar capacitación a la fuerza laboral sobre las responsabilidades de HIPAA y reforzar el papel fundamental de los miembros de la fuerza laboral en la protección de la privacidad y seguridad del paciente.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
• Fuente: https://www.safetydetectives.com/news/hhs-fines-healthcare-provider-for-failing-to-protect-patient-information/