Резюме для руководства
Согласно исследованию Total Economic Impact от Forrester Consulting, современная безопасность идентификации обеспечивает 216% окупаемости инвестиций (ROI), срок окупаемости менее шести месяцев и снижение риска утечек, связанных с учетными данными, на 90% в течение трех лет. Для поставщиков медицинских услуг, страховых компаний и фармацевтических предприятий эти средства контроля защищают PHI, автоматизируют проверки на соответствие требованиям HIPAA и защищают новые клинические ИИ-агенты.
Окупаемость инвестиций в безопасность идентификации в сфере здравоохранения традиционно сложно поддается точной оценке. Затраты на ИБ-инвестиции легко подсчитать, но трудно оценить их пользу, когда ничего не происходит — именно поэтому новое стороннее исследование так полезно: оно переводит реальную ценность инвестиций в современную безопасность идентификации на язык цифр.
Новое исследование Total Economic Impact™ (TEI) платформы безопасности идентификации Okta, проведенное Forrester Consulting, показало, что составная организация, созданная на основе интервью с шестью реальными клиентами, достигла 216% окупаемости инвестиций, срока окупаемости менее шести месяцев и снижения вероятности утечки данных, связанной с идентификацией, на 90% в течение трех лет.
Составная организация в исследовании представляет собой предприятие стоимостью 3 миллиарда долларов с 9 000 сотрудников, не привязанное к конкретной отрасли (не больничная система и не конкретный плательщик), поэтому точные финансовые показатели не будут напрямую проецироваться на какую-то одну организацию здравоохранения. Но структура выводов — где концентрируются риски, откуда берется экономия времени и как быстро окупаются инвестиции в идентификацию — напрямую применима к работе медицинских учреждений, страховых компаний и фармпредприятий.
Вот что показало исследование и что это значит, когда рассматриваемые идентификационные данные принадлежат клиницистам, специалистам по урегулированию претензий, пациентам и быстро растущей популяции ИИ-агентов, которые работают с защищенной медицинской информацией (PHI).
Ключевые финансовые и операционные результаты (трехлетний сводный показатель)
Как безопасность идентификации снижает риски утечки PHI
Исследование TEI показало, что централизация безопасности идентификации (обнаружение угроз в реальном времени, непрерывный контроль состояния и устойчивая к фишингу аутентификация, работающие вместе, а не в виде разрозненных специализированных инструментов) снизила вероятность утечки данных, связанной с учетными данными, у составной организации на 90%. Это обусловлено выводом о том, что 60% всех утечек в модели изначально были связаны с идентификационными данными:
- Предотвращение бокового перемещения при компрометации EHR: В сфере здравоохранения снижение рисков — это не просто упражнение по предотвращению затрат. Компрометация учетных данных в медицинской системе несет в себе не только финансовые потери; она создает риск прямого доступа к электронным медицинским картам (EHR), результатам анализов и системам координации ухода. Для страховой компании это создает риски для данных о претензиях и правах на получение услуг, связанных с миллионами застрахованных.
- Сокращение числа инцидентов, подлежащих обязательной отчетности: Утечка данных влечет за собой обязательства по уведомлению об утечке согласно HIPAA, отчетность перед OCR (Управлением по гражданским правам) и тот ущерб доверию пациентов, который не отображается в балансовом отчете так, как затраты на устранение последствий.
- Устранение зоны поражения: Респонденты исследования назвали устойчивую к фишингу многофакторную аутентификацию (MFA) и обнаружение угроз в реальном времени наиболее важными средствами контроля здесь — теми самыми средствами, которые стоят между украденными учетными данными клинициста или страхового агента и утечкой, подлежащей обязательной отчетности.
Почему более быстрое устранение угроз обеспечивает наибольшую экономию затрат
Единственная крупнейшая выгода в исследовании TEI — приведенная трехлетняя стоимость в 11 миллионов долларов, безусловно, самая большая статья расходов в модели — была получена за счет сокращения среднего времени устранения (MTTR) инцидентов, связанных с идентификацией, на 90%, что сократило время реагирования с часов до практически реального времени:
- Автоматизированное локализированное пресечение инцидентов: Респонденты исследования рассказали, как инциденты с идентификацией (попытки перебора паролей, подозрительная активность сеансов, утечка учетных данных), на расследование и локализацию которых раньше уходили часы, теперь решаются автоматически, часто до того, как они достигают сотрудника или нарушают рабочий процесс.
- Предотвращение каскадных сбоев в разных системах: Среды идентификации в здравоохранении — это именно те взаимосвязанные системы с высокими ставками, в которых такая скорость дает кумулятивный эффект. EHR медицинской системы связана с лабораторными системами, системами визуализации, сетями медицинских направлений и биллинговыми системами; платформа претензий плательщика связана с порталами провайдеров, системами проверки права на получение услуг и сторонними администраторами. В условиях оказания медицинской помощи это разница между инцидентом с идентификацией, который остается локализованным в рамках одной системы, и инцидентом, который каскадом распространяется на каждое подключенное приложение, доступное для скомпрометированного сеанса.
Консолидация сокращает количество систем, хранящих PHI, и количество связанных с ними соглашений с поставщиками
Исследование выявило трехлетнюю экономию в размере 2,4 миллиона долларов за счет консолидации устаревших точечных решений и возврата неиспользуемых лицензий на ПО — это 4% сокращения потерь на SaaS плюс двух третей сокращения штата персонала, необходимого для администрирования фрагментированных инструментов управления доступом.
Для организаций здравоохранения каждое точечное решение в стеке идентификации — это также система, которая может обрабатывать PHI, и часто соглашение с бизнес-партнером, которое необходимо отслеживать, проверять и аудировать. Консолидация на едином уровне идентификации не только экономит средства на лицензиях, но и уменьшает количество систем, подпадающих под оценку рисков HIPAA, а также количество отношений с поставщиками, которые должен контролировать отдел комплаенса. Респонденты исследования также указали на более быстрые и менее ручные кампании по аттестации доступа (сокращение административных усилий на 90%) как на значительное достижение, имеющее прямое отношение к любому провайдеру или плательщику, проводящему регулярные проверки доступа для удовлетворения требований Правила безопасности HIPAA или требований комплаенса плательщика.
Как управление идентификацией помогает решить проблему рисков ИИ-агентов
Возможно, это наиболее актуальный вывод конкретно для сферы здравоохранения. ИИ-ассистенты для ведения медицинской документации, инструменты поддержки принятия клинических решений и автоматизированные агенты предварительного согласования или обработки претензий уже работают с постоянным доступом к PHI и данным о претензиях, которые часто выделяются так же, как ноутбук нового сотрудника, со значительно меньшим контролем. Среди качественных преимуществ исследования респонденты отметили улучшение видимости ИИ-агентов и «теневого ИИ» как фундаментальный, хотя и все еще развивающийся источник ценности:
- Масштабирование агентов и отзыв прав в реальном времени: Централизованные средства контроля идентификации позволили увидеть, какие инструменты ИИ подключаются к корпоративным системам, и отзывать доступ практически в реальном времени, если что-то выглядело подозрительно.
- Превентивные средства защиты идентификации: Респонденты исследования откровенно заявляли, что большинство организаций только начинают решать вопросы управления ИИ, причем один из них отметил, что «гораздо проще установить правильные средства безопасности в начале, чем возвращаться позже и пытаться найти и управлять всеми этими ИИ-агентами». Для организаций здравоохранения, внедряющих ИИ в клинические и административные рабочие процессы быстрее, чем их процессы управления успевают за ними, это не проблема будущего, а проблема настоящего.
Где безопасность идентификации приносит наибольшую пользу медицинским учреждениям, страховым компаниям и фармпредприятиям
- Поставщики медицинских услуг: результаты, касающиеся времени устранения последствий (MTTR) и рисков утечек, напрямую связаны с доступом к электронным медицинским картам (EHR) и клиническим системам. Главная уязвимость системы здравоохранения заключается в огромном количестве подключенных систем, к которым может получить доступ один скомпрометированный клинический или административный работник. Более быстрое локализовывание угроз и последовательное применение политик безопасности в этой сети — это то, где наибольшая выгода исследования (ускоренное реагирование на инциденты) имеет наибольшее значение.
- Плательщики и медицинские планы: здесь наиболее актуальны выводы об объединении устаревших систем и управлении доступом. Плательщики регулярно проводят масштабные циклы сертификации доступа в системах обработки претензий, проверки права на обслуживание и на порталах для провайдеров для выполнения требований комплаенса. Сокращение административных затрат на проверку доступа на 90%, о котором говорится в исследовании, напрямую касается этой повторяющейся операционной нагрузки.
- Фармацевтика и науки о жизни: наибольшее значение имеют выводы об управлении агентами на базе ИИ. Поскольку организации в сфере наук о жизни внедряют ИИ в клинические исследования, НИОКР и коммерческие рабочие процессы, рекомендация исследования установить защитные механизмы для идентификации «в самом начале», а не внедрять их задним числом, является прямым предупреждением для любой фармацевтической компании, масштабирующей ИИ-агенты без предварительно развернутого уровня управления.
Переход от фрагментированных рисков идентификации к консолидированной устойчивости
Исследование Forrester не опиралось на медицинские данные, и медицинским организациям не следует воспринимать его финансовые показатели как буквальный ориентир. Однако выявленные в нем закономерности — риски утечек, сосредоточенные в сфере идентификации, скорость реагирования на инциденты как важнейший драйвер ценности и управление ИИ-агентами как наиболее острый нерешенный пробел — тесно перекликаются с тем, о чем руководители служб безопасности медицинских учреждений, плательщиков и фармкомпаний уже говорят как о своих главных опасениях.
Вопрос, который стоит задать, заключается не в том, совпадут ли точные цифры для вашей организации, а в том, больше ли ваша среда управления идентификацией на фрагментированное «до», описанное в исследовании, или на консолидированное «после».
Ознакомьтесь с полным исследованием Forrester TEI, чтобы изучить подробный анализ выгод, затрат и рисков.
Эти материалы предназначены исключительно для общих информационных целей и не являются юридическими, конфиденциальными, охватывающими вопросы безопасности, комплаенса или бизнес-консультациями. © 2026 Okta, Inc. и/или ее аффилированные лица.
