2024年，网络攻击和数据泄露对医疗保健行业造成了严重影响，该行业正准备迎接又一个繁忙的年份，涉及医疗保健网络安全和隐私活动。
2024年向卫生与公共服务部（HHS）公民权利办公室（OCR）报告的10起最大数据泄露事件共影响了1.37亿个人，全年泄露总数将超过1.68亿。这10起最大泄露事件中有9起被归因于黑客或IT事件，这表明网络攻击对行业的持续影响。
展望2025年，医疗保健行业仍将是网络攻击和数据泄露的目标。然而，专家预测，该行业对这些事件的响应和准备方式将发生变化，无论是通过日常防御策略还是立法行动。
医疗保健行业将更加关注网络韧性与卫生
随着网络攻击继续扰乱运营和供应链，网络韧性仍然是医疗保健组织进入新一年的关键关注点。
“2025年，医疗保健网络安全的韧性将继续从被动应对转向主动防范。”Claroty医疗保健行业主管Ty Greenhalgh表示。Greenhalgh预测，勒索软件仍将是2025年主要的网络攻击手段，要求医疗保健组织采取防御策略，使黑客的工作更加困难。
“医疗保健组织需要将韧性融入其网络安全战略中，才能生存下去，重点在于预见压力并在事件发生前采取预防措施。”Greenhalgh补充道。“这种转变不仅减少了潜在威胁的影响，还确保了更快的恢复和运营连续性，最终保障患者护理和组织资产的安全。”
2023年，HHS和医疗保健部门协调委员会发布了一项全面的景观分析，探讨了美国医院网络安全韧性的现状。该分析揭示了医院网络韧性的显著差距，包括多因素认证（MFA）的低利用率和明显的供应链风险。
2024年2月，Change Healthcare遭受的网络攻击中断了全国的医疗保健运营，进一步凸显了基本安全控制和网络韧性的重要性。此次网络攻击之所以成功，是因为网络威胁行为者利用了被盗凭证远程访问未受MFA保护的Change Healthcare Citrix门户。
Frost Brown Todd的数据安全合伙人Mason Clutter，前美国国土安全部首席隐私官，认为2025年将是关注基础安全措施的一年。
“2025年，旧的变成了新的。个人健康信息是非常敏感、私密且最终有价值的信息。”Clutter表示。“过去的教训在2025年重新回到起点：网络安全卫生至关重要——无论是提供者的端还是患者的端。”
持续监控网络威胁并实施适当的防护措施和基本的网络安全卫生将在2025年及以后保护医疗保健系统方面发挥重要作用。
AI将继续带来新的威胁与机遇
随着AI在医疗保健领域的角色不断演变，安全和隐私保护变得至关重要。网络威胁行为者和防御者都学会了利用AI来谋取利益，并可能在2025年继续这样做。
“2025年，网络犯罪分子使用AI的频率将大幅增加，从而对医疗保健组织发动更复杂和针对性的攻击。”Barnes & Thornburg的合伙人Brian McGinnis，该公司的数据安全和隐私实践小组联合主席表示。“生成式AI工具的使用增加将使威胁行为者能够精心策划高度个性化的网络钓鱼活动，并开发能够绕过传统安全措施的自主恶意软件。”
网络威胁行为者可以利用AI工具制作更有说服力的网络钓鱼邮件，并提高攻击的速度和数量。
为了降低风险，McGinnis建议医疗保健组织实施自己的AI驱动的网络安全工具，以实现持续的网络威胁监控，并增强员工培训计划，帮助员工识别AI威胁。
“与监管机构和行业同行的合作和信息共享也将至关重要，以领先于越来越多利用AI进行恶意目的的对手。”McGinnis补充道。
对于Holland & Knight的合伙人Shannon Hartsfield而言，AI仍然是推动医疗保健创新的动力，但隐私风险不容忽视。
“AI工具的开发者将越来越需要数据来训练大型语言模型，但监管机构对其使用个人数据的方式表示担忧。”Hartsfield表示。“此外，《健康保险流通与责任法案》（HIPAA）对这种用途施加了限制。”
随着医疗IT专业人士应对AI的安全和隐私影响，2025年肯定会带来新的挑战和创新机会。
隐私和安全立法将在州和联邦层面扩大
除了关注网络韧性和AI的持续发展，立法者可能会继续在州和联邦层面提出额外的隐私和安全立法。
例如，预计到2024年底或2025年初，《HIPAA安全规则》将得到更新。HHS已于2024年10月提交了一份草案给美国管理和预算办公室，目前正在进行审查。
“《HIPAA安全规则》是在二十多年前最终确定的，安全能力和威胁已经发生了巨大变化。”Hartsfield表示。“《安全规则》具有灵活性和可扩展性，但提供更多针对当今技术的指导将是有帮助的。”
此外，专家预测，行业将继续看到各州采用自己的隐私立法。
“2025年，更多州可能会通过类似于华盛顿州《我的健康我的数据法》的法律，保护不受HIPAA监管的消费者健康数据。”Womble Bond Dickinson的隐私和网络安全团队主席Tara Cho表示。
华盛顿州于2023年通过的《我的健康我的数据法》通过允许消费者撤回同意和请求数据删除，为消费者提供了额外的隐私保护。
华盛顿州并不是唯一采取行动的州。
“自2020年《加州消费者隐私法》生效以来，已有20个美国州制定了全面的隐私法，这一趋势没有放缓的迹象。”McGinnis表示。
到2025年底，还将有8个州实施新的隐私保护措施，为各种类型的个人数据提供额外保护，McGinnis指出。随着州和联邦隐私法律的拼凑变得更加复杂，处理健康数据的实体将不得不了解HIPAA与这些州法律之间的相互作用（如果有），并相应地遵守。
进入2025年，医疗保健组织和其他处理健康数据的实体可以预期又一年适应不断变化的网络威胁环境，监测AI的安全影响，并准备应对即将出台的安全和隐私立法。
(全文结束)
