网络攻击可能对医疗保健组织产生深远的影响，导致成本高昂的运营中断和需要解决的监管障碍。网络安全和风险管理专家表示，医疗机构可以通过投资保险和提供全面的保护来减轻这些后果。
注册现代医疗上午通讯，让早晨的新闻直接发送到您的收件箱。
“医疗保健目前处于复苏状态。当医院关注的是人们的健康，谁还会关注网络的健康呢?网络安全公司SonicWall负责战略合作伙伴关系实现和整合的副总裁鲍比·康威尔说。“对坏人来说，这是最好的机会。”
专家表示，攻击者之所以以医疗机构为目标，是因为它们收集的有价值数据信息的数量和类型。
最常见的策略之一涉及勒索软件，这是一种恶意软件，旨在阻止用户访问他们的文件，直到他们支付一定的金额。提供者通常别无选择，只能支付赎金以重新获得记录，防止对患者造成任何伤害。
网络安全公司Trustwave Holdings Inc.旗下SpiderLabs部门的高级安全研究经理西格勒(Karl Sigler)说，针对关键基础设施的勒索软件攻击中，约有四分之一发生在医疗领域。
西格勒说，供应商通常有定制的应用程序来为他们的组织提供特定的护理，而这些应用程序通常不会经过安全检查。他说，输液泵或心脏起搏器等生物技术设备也增加了潜在攻击的脆弱性，因为每个设备本质上都是一台可以连接到网络的计算机。
由于信息的大量交换和信息技术系统的整合，卫生系统在合并和收购期间特别脆弱。得克萨斯大学达拉斯分校(University of Texas at Dallas)经济学博士研究生南?克莱门特(Nan Clement)今年夏天发布的一份同行评议研究报告显示，在并购过程中及之后，数据泄露的可能性会增加一倍。
另一种流行的策略是电子邮件网络钓鱼，攻击者发送看似来自可信来源的诈骗信息。点击链接或下载附件会在设备上安装恶意软件。
“你让所有这些人都感到压力很大。每个人都在加班。每个人都在努力处理所有这些事情，一个人不小心点击了电子邮件上的链接，”Cornwell说。“砰——整个行动都被破坏了。”
在许多情况下，医疗保健组织需要数周时间才能意识到已发生违规行为，从而使患者信息在很长一段时间内易受攻击。
卫生系统，不管他们最近是否发生过数据事故，要么拒绝讨论他们的网络安全策略，要么没有回应采访请求。
网络攻击造成的经济损失可能达到数亿美元，具体取决于系统的规模、网络被破坏的时间以及是否支付了赎金。例如，总部位于芝加哥的CommonSpirit Health估计，去年的数据泄露造成了大约1.5亿美元的损失，影响了60多万名患者。
经济损失可能包括暂停运营带来的收入损失、补救费用、监管罚款和寻求第三方帮助的成本。攻击者还可以瞄准为多个卫生系统提供服务的供应商，在他们可以窃取的地点和信息上撒下更大的网。
西格勒说:“经济影响绝对是毁灭性的。”“很难从这些事情中恢复过来。”
根据HIPAA违规通知规则，如果涉及“不安全的受保护健康信息”，组织可能需要在发现后60天内通知患者和媒体，如果违规影响超过500人，则需要在60天内通知民权办公室。联邦贸易委员会和一些州也有通知要求。
HCA向受影响的患者发送了电子邮件，并于上周表示正在邮寄通知信。它提供为期两年的信用监控和身份保护。新泽西州Freehold的CentraState医疗保健系统在去年12月发现攻击后，向近61.8万名患者发送了信件，并开始为社会安全号码被盗的患者提供身份盗窃保护。
为了确定风险，医疗保健组织完成了一项评估，该评估考察了所涉及的健康信息的性质和范围、使用数据的未经授权人员、是否实际获取了数据以及风险减轻的程度。
罗宾逊+科尔律师事务所(Robinson + Cole)的数据隐私和网络安全团队主席林恩?弗里德曼(Linn Freedman)表示:“你必须转移时间和资源，而这些时间和资源本来是不需要作为受害者来应对这种攻击的，这会让你失去这些机构正在做的好工作。”
患者也可能会提起集体诉讼，尽管要证明某项特定的违规行为对他们造成了伤害存在挑战。例如，HCA就因最近的数据泄露而面临多起诉讼。阿拉巴马州的一名妇女最近对莫比尔的斯普林希尔纪念医院提起诉讼，指控2019年的勒索软件攻击导致其网络关闭，导致分娩受伤，最终导致她的女婴死亡。
专家表示，随着网络攻击变得越来越复杂，医疗机构采取必要的保护措施比以往任何时候都更加重要。
律师事务所Pasich LLP的合伙人彼得·哈尔普林(Peter Halprin)说，投资网络保险是防止金融灾难的一种方式。他说，医疗机构可以提出索赔，以弥补运营收入损失和勒索软件支付，以及与勒索软件谈判代表和隐私顾问等供应商合作应对危机的成本。
许多行业的大公司经常投资于保险覆盖塔，本质上是堆叠多层保险计划以增加覆盖范围。每个连续的保险计划承保的金额都更大，但每一层的保险成本都更低，因为额外保险公司的风险降低了。
保险经纪公司GB&A的商业线路经理Evan Bundschuh表示，对于中小型企业来说，每100万美元的第一层保险费用估计为1000至7500美元，这取决于业务规模和所需保护的水平。
医疗保健组织还可以投资网络安全服务，例如网络安全监控、防火墙保护和加密工具等。SonicWall的康威尔说，这些服务的费用各不相同，从小型诊所的几千美元到大型医院系统的数百万美元不等。
