Senate passes healthcare cybersecurity bill after 190 million impacted by Change Healthcare breach
The Record · 7 oct, 15:49
El Senado estadounidense aprobó por unanimidad la Ley de Ciberseguridad y Resiliencia en Sanidad tras el ataque ransomware a Change Healthcare que afectó a 190 millones de personas. La norma ordena al Departamento de Salud y Seguridad Social (HHS) establecer estándares mínimos de ciberseguridad para entidades sanitarias privadas, incluyendo autenticación multifactor, y coordinarse con la CISA para mejorar la respuesta ante incidentes.
La normativa encomienda al HHS múltiples responsabilidades: exigir que todas las entidades sanitarias adopten estándares mínimos de ciberseguridad como autenticación multifactor, actualizar bienalmente un plan de protocolos de ciberseguridad para personal, proporcionar formación y mejores prácticas para expandir la plantilla de ciberseguridad sanitaria, ofrecer orientación a entidades rurales y designar un representante que lidere la coordinación de actividades de ciberseguridad. Además, el HHS debe colaborar con CISA para proporcionar información de ciberseguridad a entidades sanitarias y crear un plan conjunto de respuesta a incidentes significativos.
Las empresas sanitarias deberán informar del número total de víctimas en notificaciones de brechas de datos. La Asociación Americana de Hospitales (AHA), que representa casi 5.000 hospitales y sistemas de salud, respalda la medida pero solicita clarificación sobre si los requisitos se extenderán a proveedores externos. La AHA destaca que la mayoría de brechas de información de salud protegida (PHI) provienen de ciberataques contra proveedores no hospitalarios y empresas de software de terceros.
Puntos clave
- El proyecto requiere autenticación multifactor como estándar mínimo de ciberseguridad
- Coordina respuesta a incidentes entre HHS y CISA con planes conjuntos
- Obliga a notificar el número total de víctimas en brechas de datos
- Proporciona financiación mediante subvenciones para adopción de medidas de ciberseguridad
- Requiere aclaración sobre si los estándares aplican a proveedores externos de salud