Attaque par ransomware de PracticeMax : Comment les organismes de santé peuvent sécuriser leur chaîne d'approvisionnement

3. Effectuer des évaluations des risques liés aux associés en permanence, et pas seulement lors du renouvellement du contrat.

L'évaluation de vos fournisseurs lors de l'intégration est un bon début. Cependant, si vous limitez les réévaluations ultérieures à des périodes fixes, comme les renouvellements de contrat, vous passerez à côté de tous les risques qui surviennent dans l'intervalle. Il existe deux approches pour combler ces lacunes :

1. Une approche proactive, où des évaluations complètes sont effectuées plus fréquemment.
2. Une approche réactive, dans laquelle les évaluations des risques sont effectuées en réponse à des événements spécifiques.

Chaque approche présente des avantages et fournit des informations plus régulières pour vous aider à maîtriser les risques liés aux BA. Les approches proactives combinent une évaluation basée sur les contrôles, réalisée par le fournisseur, avec une analyse externe des menaces provenant d'Internet et du dark web, ainsi que des sources publiques et privées d'informations relatives à la réputation, aux sanctions et aux finances. La clé de cette approche est la normalisation et la corrélation des données de toutes les sources dans un registre unique des risques pour un contexte central, la quantification, la gestion et la remédiation.

Une approche réactive permet d'automatiser le déclenchement, l'émission et l'analyse d'évaluations spécifiques à un événement (par exemple, en réponse à l'attaque de SolarWinds) sur la base des relations avec des tiers décrites dans le conseil n° 2 ci-dessus. Dans tous les cas, vous repartez avec des informations plus régulières pour une prise de décision plus éclairée et basée sur les risques concernant votre chaîne d'approvisionnement.

4. N'ignorez pas l'intégration externe - les risques peuvent persister lorsque les relations avec les fournisseurs prennent fin.

Bien que l'attaque de PracticeMax ait impliqué un fournisseur actuel, il est important de s'assurer que vous appliquez la même rigueur au processus de désengagement qu'au processus d'engagement. Lorsque vous mettez fin à vos relations avec les BA, vous devez évaluer si ces derniers prennent des mesures telles que l'élimination des PHI et des actifs de vos patients conformément aux exigences réglementaires et aux meilleures pratiques du secteur. Sinon, vous risquez de devoir faire face à de lourdes amendes (demandez à Morgan Stanley). Nous avons constaté que peu d'entreprises abordent la question du risque lors de la phase d'intégration de leurs relations avec les BA. Recherchez des solutions qui vous permettent de planifier des tâches de révision des contrats afin de vous assurer que toutes les obligations ont été respectées, et d'émettre des évaluations de contrat personnalisables pour évaluer l'état d'avancement de l'intégration.

5. Automatiser les rapports pour une mise en correspondance efficace avec les exigences HIPAA et autres.

La règle de sécurité de l'HIPAA exige que les entités couvertes concluent un accord d'association commerciale (BAA) avec tout fournisseur tiers qui fournit des services au nom de l'entité. L'accord oblige les partenaires commerciaux à respecter les mêmes normes HIPAA que l'entité couverte, garantissant ainsi la sécurité des renseignements médicaux personnels des patients. Si vous traitez avec des dizaines, des centaines, voire des milliers de tiers, la tâche de collecter et d'analyser manuellement ces informations dans une feuille de calcul peut rapidement devenir écrasante. Recherchez des solutions qui non seulement automatisent la collecte et l'analyse des données sur les risques liés aux BA, mais qui produisent également des rapports spécifiques à l'HIPAA indiquant le statut de conformité et les éventuelles faiblesses avant de faire appel à vos auditeurs externes. Cela accélérera considérablement le processus d'atténuation des risques.

Prochaines étapes de la gestion des risques liés aux tiers dans le secteur des soins de santé

En adoptant une approche globale de la sécurité des associés commerciaux et en protégeant les données à chaque étape du cycle de vie des tiers, vous pouvez atténuer les risques et éviter de devenir la prochaine victime de violation de données par ransomware. Pour obtenir des conseils plus précis sur la manière dont Prevalent peut vous aider à répondre aux exigences de la règle de sécurité HIPAA en matière de risques liés aux partenaires commerciaux, téléchargez la liste de contrôle de la conformité des tiers HIPAA ou contactez-nous dès aujourd'hui pour une séance de stratégie.

Bonus : Si vous pensez qu'un associé a été victime d'une attaque par ransomware, utilisez ce questionnaire gratuit pour déterminer votre exposition.