來(lái)源：HC3i中數(shù)新醫(yī)

美國(guó)Ponemon研究院的一項(xiàng)調(diào)查顯示：超過(guò)一半的醫(yī)院表示，他們?cè)谶^(guò)去兩年中曾發(fā)生過(guò)一次或多次由第三方供應(yīng)商造成的數(shù)據(jù)泄露...

美國(guó)Ponemon研究院的一項(xiàng)調(diào)查顯示：超過(guò)一半的醫(yī)院表示，他們?cè)谶^(guò)去兩年中曾發(fā)生過(guò)一次或多次由第三方供應(yīng)商造成的數(shù)據(jù)泄露，平均每起事件的成本為290萬(wàn)美元。即便如此，仍有太多醫(yī)院未能對(duì)由第三方造成的數(shù)據(jù)泄露進(jìn)行充分的風(fēng)險(xiǎn)評(píng)估。

■ 第三方供應(yīng)商，給醫(yī)院帶來(lái)更多**隱患

沒(méi)有一家醫(yī)院是獨(dú)立存在的：從臨床軟件到數(shù)據(jù)存儲(chǔ)，有眾多的供應(yīng)商為醫(yī)療IT系統(tǒng)的必要組件提供服務(wù)。連接到互聯(lián)網(wǎng)的每一個(gè)設(shè)備或軟件，都意味著醫(yī)院遭受攻擊和破壞的新的可能。

Ponemon的一項(xiàng)新研究表明，衛(wèi)生系統(tǒng)管理第三方供應(yīng)商風(fēng)險(xiǎn)的方法在這個(gè)網(wǎng)絡(luò)**環(huán)境中遠(yuǎn)遠(yuǎn)不夠，同時(shí)醫(yī)院也看到，HHS和OCR正在加強(qiáng)對(duì)**的調(diào)查和處罰力度。

■ **風(fēng)控能力不足，醫(yī)院要為第三方供應(yīng)商“買單”

根據(jù)Ponemon報(bào)告，醫(yī)療保健、衛(wèi)生系統(tǒng)平均有3.2名全職**員，每月工作500小時(shí)以上，負(fù)責(zé)供應(yīng)商風(fēng)險(xiǎn)評(píng)估。

但報(bào)告顯示，鑒于普通醫(yī)院與1300多家不同供應(yīng)商有關(guān)系，這樣的人力配置還不足以支撐**調(diào)查的任務(wù)。大多數(shù)醫(yī)院每年并不會(huì)審查每個(gè)醫(yī)院的**措施。事實(shí)上，只有不超過(guò)四分之一的受訪者表示，他們?yōu)樗泄?yīng)商合作伙伴進(jìn)行供應(yīng)商評(píng)估。

Ponemon研究人員表示，盡管每年在供應(yīng)商管理、醫(yī)療保健組織等領(lǐng)域投入近240億美元，但“控件和程序往往只是部分部署或根本不部署”，這會(huì)削弱他們監(jiān)管第三方帶來(lái)的風(fēng)險(xiǎn)的能力。

這讓醫(yī)療衛(wèi)生機(jī)構(gòu)付出了代價(jià)：56%的受訪者表示，他們的組織在過(guò)去兩年中經(jīng)歷過(guò)一次或多次與供應(yīng)商相關(guān)的數(shù)據(jù)泄露，平均成本為290萬(wàn)美元。

自動(dòng)化工具和任務(wù)，例如供應(yīng)商評(píng)估問(wèn)卷和更新風(fēng)險(xiǎn)文件，有助于管理新供應(yīng)商的涌入。但報(bào)告顯示，盡管78名受訪者認(rèn)識(shí)到能夠持續(xù)管理第三方風(fēng)險(xiǎn)變化的重要性，但是大多數(shù)醫(yī)院系統(tǒng)在這一領(lǐng)域也處于滯后狀態(tài)。

研究人員說(shuō)：“對(duì)手工流程的依賴使得企業(yè)很難評(píng)估所有供應(yīng)商，也很難了解他們面臨的供應(yīng)商風(fēng)險(xiǎn)類型?！?/p>

此外，近60%的受訪者表示，醫(yī)療衛(wèi)生機(jī)構(gòu)的管理層愿意在風(fēng)險(xiǎn)評(píng)估過(guò)程中走捷徑，“如果有必要，可以為重要的經(jīng)濟(jì)伙伴提供**保護(hù)”。

■ 更多依賴，更多**隱患

當(dāng)一家醫(yī)院不能充分管理其供應(yīng)商時(shí)，他們的網(wǎng)絡(luò)就會(huì)面臨相當(dāng)大的風(fēng)險(xiǎn)。醫(yī)療保健系統(tǒng)需要在產(chǎn)品的有用性與它可能帶來(lái)的風(fēng)險(xiǎn)之間取得平衡，并且比其他行業(yè)更加謹(jǐn)慎：更大的隱私和**限制意味著與供應(yīng)商共享數(shù)據(jù)，或在云中托管信息，這些都需要更嚴(yán)格的審查和監(jiān)督。

好消息是，醫(yī)院有很多方法可以在內(nèi)部管理其**防止外部**威脅入侵，外部供應(yīng)商也是如此認(rèn)為。

“很明顯，醫(yī)療保健提供者處境艱難，” Ponemon研究所主席兼創(chuàng)始人Dr. Larry Ponemon,說(shuō)。他們所依賴的供應(yīng)商數(shù)量在不斷增加，同時(shí)這些供應(yīng)商所帶來(lái)的威脅在頻率和嚴(yán)重程度上也在不斷升級(jí)，因此很容易看出如何管理這些風(fēng)險(xiǎn)已成為一個(gè)壓倒性的問(wèn)題。”

標(biāo)題：Hospitals are paying for not vetting their vendors

作者：Benjamin Harris