21 октября 2026 г.
Что такое Правило безопасности HIPAA и почему оно было отложено?
В декабре 2024 года Министерство здравоохранения и социальных служб (HHS) первоначально предложило пересмотреть Правило безопасности, чтобы усилить защиту электронной защищенной медицинской информации (ePHI), поскольку кибератаки и программы-вымогатели продолжают наносить ущерб сектору здравоохранения. Новое правило все еще находится на рассмотрении, однако HHS сдвинуло предполагаемый срок его принятия на июль 2027 года и перенесло его в свою долгосрочную повестку нормотворчества.
Хронология Правила безопасности HIPAA
- Декабрь 2024 г.: HHS опубликовало проект пересмотра Правила безопасности HIPAA
Декабрь 2024 г.: HHS опубликовало проект пересмотра Правила безопасности HIPAA
- Январь 2025 г.: Проект правила был опубликован в Федеральном реестре
Январь 2025 г.: Проект правила был опубликован в Федеральном реестре
- Май 2026 г.: Ранее HHS выбрало эту дату для окончательного принятия
Май 2026 г.: Ранее HHS выбрало эту дату для окончательного принятия
- Июль 2026 г.: HHS перенесло предполагаемое окончательное принятие на июль 2027 г.
Июль 2026 г.: HHS перенесло предполагаемое окончательное принятие на июль 2027 г.
- Июль 2027 г.: Текущий предполагаемый срок окончательного принятия
Июль 2027 г.: Текущий предполагаемый срок окончательного принятия
Дата июля 2027 года является предполагаемым сроком ведомства, а не установленным законом дедлайном. HHS все еще может отложить окончательное решение на период после июля 2027 года.
Что изменится в соответствии с предлагаемым обновлением Правила безопасности HIPAA?
Предлагаемое обновленное правило изменит подход организаций к защите ePHI, потребовав более конкретных, документированных средств контроля и более регулярного тестирования. Несколько мер защиты, которые ранее классифицировались как «рекомендуемые» (addressable), станут обязательными, а само правило будет уделять больше внимания демонстрации эффективных мер безопасности, а не просто документированию политик.
Среди новых требований для медицинских организаций будут следующие:
- MFA: Внедрение обязательной многофакторной аутентификации (MFA) для усиления контроля доступа к системам, работающим с ePHI
MFA: Внедрение обязательной многофакторной аутентификации (MFA) для усиления контроля доступа к системам, работающим с ePHI
- Сегментация сети: Сегментация сетей для изоляции критически важных систем и ограничения латерального перемещения угроз
Сегментация сети: Сегментация сетей для изоляции критически важных систем и ограничения латерального перемещения угроз
- Возможность восстановления за 72 часа: Демонстрация того, что критически важные системы и данные могут быть восстановлены в течение 72 часов после инцидента безопасности
Возможность восстановления за 72 часа: Демонстрация того, что критически важные системы и данные могут быть восстановлены в течение 72 часов после инцидента безопасности
- Инвентаризация активов и видимость сети: Ведение актуального учета систем, которые хранят, обрабатывают или передают ePHI, а также точных сетевых карт движения данных
Инвентаризация активов и видимость сети: Ведение актуального учета систем, которые хранят, обрабатывают или передают ePHI, а также точных сетевых карт движения данных
- Подтверждение аудита и соответствия требованиям: Демонстрация того, что меры безопасности реально применяются и работают на практике, а не просто зафиксированы в политиках
Подтверждение аудита и соответствия требованиям: Демонстрация того, что меры безопасности реально применяются и работают на практике, а не просто зафиксированы в политиках
Эти положения еще не вступили в силу, но они указывают на то, в каком направлении могут развиваться федеральные требования к кибербезопасности в здравоохранении.
Задержка дает организациям время на укрепление своей защиты и подготовку к потенциальным новым требованиям, пока правило дорабатывается.
Почему медицинским организациям необходима более надежная защита?
Сети медицинских учреждений создавались плоскими, чтобы врачи могли быстро получать доступ к информации из любой точки больницы. Но такая доступность также означает, что сеть сильно зависит от периферийной защиты, предотвращающей проникновение угроз.
Периферийная защита может снизить риск первоначального взлома, но она не способна устранить его полностью. Атака с использованием фишинга, украденные учетные данные, уязвимая система, смотрящая в интернет, или скомпрометированное медицинское устройство могут послужить отправной точкой. Без сетевой сегментации злоумышленник сможет беспрепятственно перемещаться в латеральном направлении к более важным зонам, включая системы, содержащие электронные медицинские карты (ЭМК / EHR).
Сети медицинских учреждений сложны — и эта сложность умножается
Сети здравоохранения сложны: они объединяют клинические системы, платформы EHR, медицинские устройства, административные приложения, сторонние сервисы и облачные рабочие нагрузки. Многие из этих систем невозможно легко заменить или отключить без ущерба для ухода за пациентами, что делает кибератаку особенно разрушительной. Без сетевой сегментации программы-вымогатели могут быстро распространиться с одной скомпрометированной конечной точки на другие системы организации.
Эта операционная сложность возрастает по мере того, как системы здравоохранения внедряют приложения искусственного интеллекта, диагностические большие языковые модели и агентов автоматизированных рабочих процессов. Инструменты ИИ требуют динамического доступа к ePHI в разрозненных системах, превращая сетевой трафик «восток-запад» в расширенную поверхность атаки. Без микросегментации скомпрометированные интеграции ИИ и API на базе машинного обучения становятся скрытыми шлюзами для распространения программ-вымогателей по сети.
Согласно исследованию Akamai Segmentation Impact Study, 76% организаций здравоохранения и медико-биологических наук столкнулись по меньшей мере с одной атакой за последние два года. Для медицинских организаций это делает ограничение латерального перемещения столь же важным, сколь и предотвращение несанкционированного доступа как такового.
Как медицинские организации могут подготовиться к новому Правилу безопасности?
Медицинские организации могут начать подготовку уже сейчас, используя микросегментацию для изоляции конечных точек, ограничения радиуса поражения, сокращения времени восстановления и демонстрации соответствия требованиям. Структурированный подход из четырех шагов поможет командам эффективно внедрить эти средства контроля:
- Отобразите системы, взаимодействующие с ePHI
Отобразите системы, взаимодействующие с ePHI
- Сегментируйте критически важные системы
Сегментируйте критически важные системы
- Спланируйте локализацию и восстановление
Спланируйте локализацию и восстановление
- Встройте подтверждение соответствия в системы безопасности
Встройте подтверждение соответствия в системы безопасности
Отобразите системы, взаимодействующие с ePHI
Начните обеспечивать видимость уже сейчас, сопоставив системы, которые взаимодействуют друг с другом, и определив, как конфиденциальная информация перемещается в вашей среде.
Сегментируйте критически важные системы
Установите границы безопасности вокруг критически важных приложений, сред EHR и других конфиденциальных систем. Определите, какие пользователи, устройства и рабочие нагрузки могут взаимодействовать через эти границы.
Спланируйте локализацию и восстановление
Примите меры по изоляции систем и ограничению радиуса поражения, а затем определите приоритеты восстановления на основе наиболее важных систем.
Встройте подтверждение соответствия в системы безопасности
Смотрите шире, чем просто наличие политики. Инвестируйте в решения, которые обеспечивают видимость реального трафика и активности коммуникаций, предоставляя вам живые доказательства в виде подробных журналов контроля, автоматических записей о соответствии и надежного аудиторского следа.
Подготовка к новым реалиям кибербезопасности
Правило безопасности HIPAA может быть окончательно принято только к июлю 2027 года, однако медицинским организациям не обязательно ждать этого момента, чтобы заняться рисками, стоящими за предлагаемыми изменениями. Поскольку новое правило ознаменует переход от периферийной защиты к акценту на доказательстве соблюдения требований, подготовка также означает создание более прочной защиты от актуальных угроз.
Начните с оценки готовности вашей сети по направлениям сегментации, многофакторной аутентификации (MFA), видимости, изоляции, возможностей восстановления и демонстрации соответствия требованиям.
Начало работы
Готовы действовать? Воспользуйтесь нашим контрольным списком HIPAA для оценки своей готовности или посмотрите наш вебинар по запросу, чтобы подробно ознакомиться с техническими деталями.
Об авторах
Нил Дженнингс (Neil Jennings)
Нил Дженнингс — инженер по решениям в команде Akamai по здравоохранению и наукам о жизни, работающий с ведущими медицинскими организациями, страховыми компаниями, разработчиками медицинских технологий и фармацевтическими/медицинскими компаниями. Его деятельность в качестве специалиста широкого профиля охватывает портфель продуктов и услуг Akamai в области безопасности, облачных вычислений, ИИ и инфраструктуры. Он начал свою карьеру в ИТ-сфере здравоохранения, где в течение 12 лет руководил стратегическими проектами и инициативами в области электронных медицинских карт (EHR), стратегии выхода на рынок, облачных технологий и модернизации, API и функциональной совместимости, а также здравоохранения, основанного на ценностных ориентирах. Он использует этот богатый опыт в сфере здравоохранения в работе с клиентами Akamai, претворяя бизнес-потребности в готовые к будущему технические решения.
Кейтлин Салливан (Kaitlyn Sullivan)
Кейтлин Салливан — студентка Университета штата Пенсильвания, изучающая анализ безопасности и рисков с упором на искусственный интеллект. Она проходила стажировку в качестве менеджера по продуктам в компании Akamai, где работала в группе технологической безопасности над проектами, связанными с безопасностью API, партнерскими экосистемами и безопасностью в сфере здравоохранения. Она особенно интересуется пересечением кибербезопасности, искусственного интеллекта и здравоохранения.
Безопасность и соответствие требованиям должны служить защитными барьерами, а не ограничениями скорости.
Безопасность
Защита конфиденциальных данных с помощью Cyera и Akamai Guardicore Segmentation
Защитите конфиденциальные данные, объединив обнаружение данных от Cyera с решением Akamai Guardicore Segmentation для применения динамических правил микросегментации с учетом данных.
Средства защиты, которые команды вынуждены регулярно отключать или обходить для поддержания бесперебойной работы бизнеса, не обеспечивают необходимых результатов.
Безопасность
Компания Akamai признана лидером в исследовании IDC MarketScape: Worldwide Web Application and API Protection Platforms 2026 Vendor Assessment
IDC MarketScape назвала Akamai лидером в оценке поставщиков WAAP MarketScape 2026 года.
Сайт, который безупречно работает в июле, может не выдержать нагрузку, возникающую при открытии периода регистрации в ноябре.
Безопасность
Период открытой регистрации — проверка на прочность для цифровой стратегии. Готовы ли вы?
Период открытой регистрации создает серьезную нагрузку на инфраструктуру медицинских страховых компаний, безопасность, API и взаимодействие с участниками. Узнайте о шести способах подготовки медицинских планов — от периферии до ядра.
