3 pasos para iniciar el viaje de confianza cero de su organización de atención médica

Cada año asisto a la conferencia HIMSS, las sesiones de ciberseguridad más concurridas siempre tienen que ver con Cero Confianza para profesionales de la salud, y espero HIMSS 2024 no ser diferente. La industria de la salud ha adoptado el concepto de Confianza Cero de manera más rápida y profunda que casi cualquier otro sector. Mientras que Orden Ejecutiva 14028 ha impulsado a las agencias gubernamentales en la dirección de Zero Trust, es Zero Trust para la atención médica lo que ha liderado la carga.

En esta publicación de blog, detallaré cómo los proveedores de atención médica pueden implementar una estrategia de confianza cero alineada con Modelo de Madurez de Confianza Cero (ZTMM) de CISA y el papel fundacional Segmentación de confianza cero de Illumio juega en cualquier arquitectura Zero Trust.

¿Qué es Zero Trust para el cuidado de la salud?

Zero Trust proporciona un marco simple para mejorar la resiliencia cibernética. De hecho, Investigación ESG ha demostrado que también reduce el gasto en seguridad y el costo general de una violación.

El problema es que la definición de Zero Trust ha cambiado con el tiempo, dificultando saber exactamente qué es. Zero Trust fue presentado originalmente en 2010 por John Kindervag en su informe de Forrester Research. No más centros masticados: el modelo de confianza cero de la seguridad de la información. No obstante, durante muchos años, el significado de Zero Trust ha sido secuestrado por los departamentos de marketing de los proveedores de seguridad. Esto dificultó que las personas averiguaran qué deberían estar haciendo, ya que fueron bombardeadas por demasiados mensajes contradictorios. La buena noticia es que la mayoría de esos departamentos de marketing ahora están obsesionados con la IA y las cosas son mucho más simples.

En apoyo de la Orden Ejecutiva 14028, el Instituto Nacional de Ciencia y Tecnología (NIST) publicó un Arquitectura de confianza cero (NIST SP 800-207) que definió aspectos de Zero Trust y lo que es como “un conjunto en evolución de paradigmas de ciberseguridad que mueven las defensas de perímetros estáticos basados en la red para centrarse en usuarios, activos y recursos”.

Cómo iniciar el viaje Zero Trust de su organización de atención médica

Con una imagen más clara de lo que es Zero Trust, el siguiente paso es entender cómo lograrlo. La buena noticia es que la Agencia de Seguridad de la Infraestructura y Ciberseguridad de los Estados Unidos (CISA) ha creado un Modelo de Madurez de Confianza Cero (ZTMM) que proporciona:

1. Una guía para mapear el estado actual de su organización con los cinco pilares de Confianza Cero

2. Una hoja de ruta sobre cómo optimizar cada vez más su arquitectura Zero Trust

Demasiadas organizaciones implementan herramientas Zero Trust Network Access (ZTNA) como reemplazo de VPN y luego declaran que Zero Trust se ha completado. La realidad es que alcanzar el nivel Óptimo en los cinco pilares del ZTMM de CISA puede ser un largo viaje — y se extiende mucho más allá de ZTNA.

Al usar el ZTMM, puede trazar el curso de su organización en su recorrido Zero Trust para la atención médica y asegurarse de que esté protegida en el camino.

1. Identifique lo que necesita proteger

CISA aconseja tomar decisiones sobre las implementaciones de Zero Trust basadas en factores como el riesgo, la misión, los requerimientos federales y regulatorios y las restricciones operativas. La identificación del riesgo guiará si su organización debe ser amplia e intensificar cada nivel en todos los 5 pilares juntos o profundizarse en uno o más pilares.

Por ejemplo, si tiene un sistema EHR como Epic, puede decidir que cercas ese entorno es la prioridad más alta.

2. Comprender el estado de su organización en cada pilar de ZTMM

El modelo de madurez toma los cinco pilares de Zero Trust y define cuatro niveles de madurez, desde Tradicional que es el status quo actual hasta Óptimo que es el nivel más alto de logro. Después de entender lo que quiere asegurar, el siguiente paso es comprender el estado actual de cada pilar de la ZTMM.

3. Empezar a trabajar en pilares prioritarios

Cada proveedor tendrá diferentes prioridades para trabajar hacia el nivel óptimo de cada pilar. Esto dependerá de las brechas de seguridad, el presupuesto, la disponibilidad de personal o los requerimientos de cumplimiento de normas. También es importante considerar que algunos pilares son más difíciles y costosos de lograr mientras que otros son más simples.

A pesar de las diferentes prioridades, las Redes son un pilar clave en el que todas las organizaciones deberían estar profundizando. Este pilar no se trata de switches y routers, sino del concepto general de la red y el tráfico que fluye a través de ella. Aplicando segmentación de red tradicionalmente implicaría VLAN estáticas o reglas complejas de firewall, pero CISA ZTMM fomenta un enfoque más dinámico y flexible que proporciona una granularidad más fina.

CISA ha proporcionado más detalles sobre cada nivel de implementación del pilar de la Red, incluyendo segmentación, administración del tráfico y resiliencia:

Más recursos de Zero Trust para proveedores de atención médica

El Servicio Nacional de Salud del Reino Unido (NHS) ha emitido una guía sobre segmentación de red donde asesoran sobre cómo segmentar cinco pilares clave de diagnóstico:

• Genómica
• Imagenología
• Patología
• Endoscopia
• Medición fisiológica

Aunque gran parte de las recomendaciones del NHS para la segmentación caen en el nivel Tradicional más bajo del ZTMM de CISA, el NHS destaca la segmentación de la red como parte fundamental de la estrategia Zero Trust. Su guía establece que la seguridad Zero Trust “suprime el concepto de una red de confianza dentro del perímetro corporativo de una organización y aboga por la creación de micro perímetros de control alrededor de activos críticos y la aplicación de estrictos controles de acceso, segmentación de redes y administración de identidad”. Esta definición de segmentación se mapea perfectamente al nivel óptimo de ZTMM de CISA.

Desarrolle tolerancia a los ataques con la segmentación de confianza cero de Illumio

Organizaciones sanitarias están recurriendo a Illumio Zero Trust Segmentation (ZTS) para un enfoque simple y rentable para lograr el nivel óptimo de segmentación de red sin ingeniería de red compleja o reglas estáticas de firewall.

Con Illumio ZTS, su organización puede:

• Conviértase en tolerante a los ataques: Ganancia visibilidad de extremo a extremo de toda la comunicación entre cargas de trabajo y dispositivos en toda la superficie de ataque híbrida. Vea dónde se encuentran las brechas de seguridad y cierre las conexiones innecesarias.

• Plan para un ataque: Establezca automáticamente controles de políticas granulares pero flexibles que detengan la propagación de amenazas cibernéticas, mejoren la resiliencia cibernética para sistemas críticos y preparen proactivamente a su organización para el próximo ataque inevitable.
• Adaptar en tiempo real: Reactivamente aislar sistemas comprometidos durante un ataque activo para detener el movimiento lateral y mantener las operaciones. A medida que evoluciona su entorno de TI, escale la visibilidad y las políticas de seguridad de manera dinámica para garantizar la agilidad y resiliencia del negocio.
• Cumpla los requerimientos de cumplimiento de normas: Aproveche la visibilidad y la microsegmentación para evaluar el riesgo, probar el cumplimiento de normas y proteger los datos confidenciales y los recursos críticos.

Lea nuestra guía en Illumio ZTS para proveedores de atención médica y aprenda más sobre las 3 formas en que ZTS resuelve los desafíos de seguridad de la atención médica:

Póngase en contacto con nosotros hoy para saber cómo Illumio puede ayudar a su organización a detener la propagación de brechas y ataques de ransomware.