Home Salud El acceso a la red de confianza cero ayuda a proteger los sistemas de North Country Healthcare

El acceso a la red de confianza cero ayuda a proteger los sistemas de North Country Healthcare

by admin

Hace poco más de un año, North Country Healthcare confiaba en el acceso a VPN para todos los proveedores, lo que llevó a lo que su director de información describió como otra hoja de papel con credenciales de inicio de sesión a la intemperie en los escritorios de las personas.

EL PROBLEMA

Como centro de salud calificado federalmente sin fines de lucro, NCHC sirve a 12 comunidades en el norte de Arizona y ha crecido significativamente en los últimos años para satisfacer las necesidades de atención médica de la comunidad.

Ahora, trabajando con unos 100 proveedores y atendiendo a 50.000 pacientes al año, ha tenido que asociarse con más proveedores de tecnología para continuar brindando atención y servicios de calidad para su comunidad en rápida expansión.

“Me preocupaba constantemente quién tenía las credenciales para acceder a nuestro entorno”, dijo Jon Smith, CIO de NCHC. “Con el acceso VPN, es difícil rastrear y monitorear las credenciales que están en uso, quién las usa, a qué tienen acceso y administrar cuándo deben caducar. Puede establecer algunas restricciones, pero con una VPN, todavía no tiene control total sobre el acceso de terceros “.

En comparación con otras industrias, el sector de la salud sufre más ataques cibernéticos, con infracciones médicas de hasta un 55% en 2020 y el costo de una infracción promedio que oscila entre $ 7 millones y $ 15 millones. Entonces, una organización sin fines de lucro como NCHC tiene cero margen de error.

“Como muy versado en ciberseguridad antes de unirme a NCHC, sabía que la mayoría de estas infracciones comienzan con proveedores externos, especialmente aquellos que brindan servicios de TI administrados”, dijo Smith. “Al mismo tiempo, NCHC es un centro de atención médica sin fines de lucro con recursos internos limitados y confiamos en proveedores externos. Rápidamente me di cuenta de que necesitábamos implementar una mejor solución de administración de acceso de proveedores para garantizar la seguridad de NCHC a medida que seguimos creciendo”.

PROPUESTA

Inicialmente, NCHC estaba trabajando para descubrir una forma de mejorar el acceso a VPN. Los miembros del personal trabajaban 80 horas a la semana solo para estar al tanto de la gestión de acceso y la seguridad de la organización. Como la mayoría de los ejecutivos de TI, Smith suele recibir cientos de presentaciones de proveedores de tecnología que llenan su bandeja de entrada y correo de voz. Sin embargo, cuando escuchó lo que SecureLink tenía para ofrecer, pidió una demostración.

“Ahora, no solo tenemos el control del acceso y las credenciales, también hemos podido configurar el acceso de cada individuo a un nivel tan granular basado en el principio de privilegio mínimo, que ya no nos preocupa que los usuarios abusen su acceso a ese grado “.

Jon Smith, North Country HealthCare

“SecureLink no fue la mejora de acceso a VPN que estábamos buscando inicialmente”, explicó. “En cambio, elimina por completo el problema de la vulnerabilidad de VPN. SecureLink propuso su solución de acceso a la red de confianza cero para terceros, que comienza con la suposición de que las personas son una amenaza, en lugar de confiables, y son tratadas en consecuencia.

Lea también:  Las reglas ocultas de la moda de Love Island, incluida la ropa prohibida y los estilistas de vestuario

“El acceso a la red del proveedor se proporciona con el mínimo de privilegios, lo que significa que nuestros proveedores solo tendrían acceso a lo que necesitan, cuando lo necesitan y nada más”, continuó. “La solución proporcionaría acceso a la red basado en el principio de confianza cero y otorgaría controles y permisos granulares a NCHC con la capacidad de restringir el acceso remoto de terceros solo a la aplicación que necesitan y nada más, todo lo cual encontré muy atractivo”.

Además, con la solución propuesta, NCHC podría almacenar e inyectar credenciales para evitar tener que compartir nombres de usuario y contraseñas con representantes de terceros, eliminando el riesgo asociado con el seguimiento de las credenciales en notas adhesivas, agregó.

ENFRENTANDO EL DESAFÍO

Después del proceso de configuración inicial, SecureLink eliminó casi de inmediato las preocupaciones de las “notas adhesivas” con los proveedores. Sin más VPN para acceder, los proveedores de NCHC ya no tenían que escribir contraseñas de VPN compartidas.

Además, debido a que los proveedores de NCHC ahora iniciaban sesión en SecureLink en lugar de directamente en los sistemas de NCHC, la organización del proveedor podría agregar una capa adicional de seguridad con contraseñas más complejas.

“Además, el proceso intuitivo de incorporación de proveedores de SecureLink liberó rápidamente a nuestro equipo de administración para abordar otras preocupaciones urgentes”, señaló Smith. “Ahora que NCHC puede establecer fechas de vencimiento de cuentas y realizar un seguimiento de la actividad de los proveedores, es muy fácil para nosotros saber quién accede a qué sistemas NCHC y, lo que es más importante, quién no”.

El acceso remoto basado en la web del proveedor de seguridad reduce significativamente el riesgo de una violación de terceros al tiempo que agiliza la administración de acceso del proveedor de NCHC, dijo.

Lea también:  La enorme mansión de Gareth Southgate y su esposa Alison está muy lejos de sus humildes comienzos

“Además de proporcionar a NCHC las herramientas para controlar y aislar de forma granular el acceso de terceros, la solución también es compatible con todos los requisitos de conectividad que tienen nuestros terceros: RDP, SSH, Telnet, VNC, así como cualquier protocolo TCP o UDP y cualquier herramienta nativa. que el proveedor externo pueda tener “, explicó. “Es una solución de seguridad de acceso remoto integral que utiliza un modelo de confianza cero para proteger nuestra red de la posible exposición de datos.

“Aseguramos de manera efectiva el acceso a nuestros registros médicos electrónicos, para nuestros socios de administración de registros y aplicaciones, y a partes segmentadas de nuestra red local para nuestros socios de red administrada y nuestro socio de seguridad física”, agregó. “Siempre que necesitemos que alguien obtenga acceso, incluso por un período corto de tiempo, sabemos que se hará de forma segura y se registrará”.

RESULTADOS

Cuando NCHC confiaba en el acceso VPN para proteger su red, no podía monitorear las cuentas para saber cuándo debían expirar las credenciales del proveedor. Ahora, más de la mitad de las cuentas creadas han expirado.

Además, los proveedores asociados con estas cuentas no han solicitado la renovación de sus credenciales. Esto es beneficioso desde el punto de vista de la seguridad para NCHC porque sabe que esas credenciales ya no están disponibles para ser utilizadas.

“Ahora, no solo tenemos el control del acceso y las credenciales, también hemos podido configurar el acceso de cada individuo a un nivel tan granular basado en el principio de privilegio mínimo, que ya no nos preocupa que los usuarios abusen su acceso a ese grado “, dijo Smith.

Lea también:  Kate Middleton 'elige cuidadosamente los colores de la ropa para enviar mensajes al público', dice un experto

“También pudimos identificar los servicios que eran de misión crítica y asegurarnos de que solo se acceda a ellos durante el tiempo que no sea de producción, o que se solicite el acceso si es necesario durante las horas de producción”.

ASESORAMIENTO PARA OTROS

“Debe ser plenamente consciente de los riesgos asociados con el uso de medidas de seguridad como las VPN frente al acceso a la red de confianza cero”, aconsejó Smith. “Los proveedores de tecnología subcontratados suelen tener contratos a corto plazo con organizaciones sanitarias, y el hecho de que su trabajo esté terminado no significa que vayan a descartar sus credenciales de forma segura”.

Un nivel adicional de seguridad para limitar estas credenciales, en términos de acceso a la información y período de tiempo de acceso, es importante para información tan sensible como los registros y sistemas médicos.

“Cuando subcontratas soluciones de infraestructura, tiene que ir acompañado de una seguridad elaborada para proteger la infraestructura interna de la organización”, dijo. “Es posible que no se dé cuenta del riesgo de ciberseguridad dentro de su organización, pero al observar casos recientes como el ataque de ransomware en Eskenazi Health, verá que puede suceder en cualquier lugar si no está preparado para las amenazas desde el principio.

“Esta tecnología es verdaderamente una que resuelve por completo uno de los riesgos más grandes en una organización y, al mismo tiempo, le brinda a su organización la capacidad de auditar todos los accesos externos”, concluyó.

.: @SiwickiHealthIT
Envíe un correo electrónico al escritor: [email protected]
Healthcare IT News es una publicación de HIMSS Media.

0 comment
0

You may also like

Leave a Comment

This site uses Akismet to reduce spam. Learn how your comment data is processed.

This website uses cookies to improve your experience. We'll assume you're ok with this, but you can opt-out if you wish. Accept Read More

Privacy & Cookies Policy