先週、電子データ交換作業グループは、サイバーセキュリティ報告要件に関する国土安全保障省の規則案の公表に応じて本日コメントを発表しました。
なぜそれが重要なのか
DHSのサイバーセキュリティおよびインフラセキュリティ局からの最近の規則制定案の通知は、 重要インフラに関するサイバーインシデント報告法（CIRCIA）報告要件。
その CISAへの手紙WEDIは、ヘルスケア全体のデータ主導の効率、品質、コストの向上を目指し、専門知識と情報を活用してさまざまな関係者間の連携を促進することを目指しており、すでに過重な負担がかかっている医療機関に対する義務報告に関する規則については、DHS機関に慎重なアプローチを取るよう警告した。
WEDI は、医療組織の管理上の負担を考慮し、タイムリーな報告の課題を認識するよう CISA に要請した。同グループは「国の重要なインフラ部門に影響を及ぼすサイバー攻撃のリスク増大に対処するという CIRCIA の意図を強く支持する」としながらも、「サイバー攻撃を受けている最中および直後に対象組織が直面する課題を考慮する」よう CISA に要請した。私たちは CISA に対し、影響を受けた組織から正確かつ包括的な情報をタイムリーに要求することと、組織が極めて混乱を招くイベントを経験している間に、組織に煩わしい管理上の負担を課さないこととの間で適切なバランスを取るよう助言する」と述べた。
WEDI はその他の提案として、DHS に対して次のことを要請しました。
-
CISA が提出された情報を適切に保護していることを確認します。 「CISA が CIRCIA 報告要件に応じて対象事業体から提供されるすべての情報を保護するのに必要な措置を講じ、この情報が不適切にアクセスされるのを防ぐために最高レベルのセキュリティ管理を適用することが重要である」と WEDI は述べ、そのようなデータには「対象事業体の内部ネットワーク、インフラストラクチャ関連の情報、セキュリティ管理に関する独自の機密情報」が含まれる可能性があると指摘した。
-
レポート要件を常に一致させます。 WEDI は、CISA に対し、HHS やその公民権局など他の連邦機関のスケジュールや要件と整合をとるよう要請し、複数の執行機関にインシデント報告書を提出しなければならない可能性のある対象組織が直面する管理上の負担を軽減することを目指した。「HIPAA と CIRCIA の両方の対象となる組織は、両方の規則に準拠するために、OCR を通じて 1 度だけ報告すればよいはずだ」と WEDI は述べている。
-
72 時間のレポート ルールに柔軟性を組み込みます。 「サイバー攻撃は、それを経験した組織にとって混乱を招き、混乱を招きます」と書簡には書かれている。「この種の攻撃の被害者の多くにとって、最初の報告に必要なすべてのデータ要素を完全に特定するには、72時間以上かかる可能性があると私たちは引き続き考えています。」WEDIは、組織が「72時間以内に可能な限り最初の報告を提出し、より多くの情報と分析が利用可能になったときに更新を提出できるようにする」余裕を求めている。
-
ランサムウェア攻撃は必ずしも強制執行可能な侵害を意味するわけではないことを認識してください。 WEDI は、政府に対し、「対象となる組織が公認のセキュリティ プログラムを導入し、PHI にアクセスがない場合は、ランサムウェアがデータ侵害とみなされないことを確立するポリシーを制定する」よう求めている。データが不正な組織によってアクセスされておらず、対象となる医療機関が「公認のセキュリティ プログラムを導入し、セキュリティ ポリシーと手順を制定」するために誠意を持って努力していることが示された場合、その対象となる組織は「データ侵害を経験したとはみなされない」と WEDI は述べている。
より大きなトレンド
まずはCISA 公開された 今年3月に提案されたサイバーインシデント報告体制は、 16の重要なセクターにわたるさまざまな業界を対象とした要件。
サイバーインシデント報告規則案の策定は、 2022年重要インフラに関するサイバーインシデント報告法対象となる組織は、最終規則に従って CIRCIA に基づいてサイバーインシデントの報告を開始する必要があります。
一方、WEDIはサイバーセキュリティインシデントの影響を受けた医療システムを支援する活動に精力的に取り組んでいる。5月には 書きました 米国保健福祉省に要請 医療機関がサイバー攻撃の影響を管理できるよう支援を強化するランサムウェアやその他のサイバー攻撃の影響を軽減するためにHHSが取るべき対策を概説した。
記録に残る
「最も重要なのは、報告対象となる事業体にとって、インシデント報告プロセスがわかりやすく、完了しやすいものでなければならないということです」とWEDIは7月2日の書簡で述べています。「完了のしやすさは、プロセスを開始する前に確認できる包括的な指示を盛り込み、自由形式の説明ではなくドロップダウン メニューを可能な限り活用し、質問の数を報告の目的を達成するために必要な最小限に制限することで実現できます。」
マイク・ミリアードはヘルスケアITニュースの編集長です。
著者にメールする: 連絡先
Healthcare IT News は HIMSS の出版物です。