A fines de febrero, Change Healthcare, una unidad de UnitedHealth Group, fue víctima de un incidente de ciberseguridad, causando consecuencias en todas las operaciones de atención médica en los EE. UU. El ataque interrumpió la facturación y el seguro, lo que representa una amenaza directa para la atención al paciente y las operaciones esenciales.
Las interrupciones del ataque se han sentido en múltiples niveles del sistema de salud, y muchas prácticas han recibido un gran golpe financiero. La demora en el procesamiento de reclamaciones totalizaron más de $ 6.3 mil millones entre el 21 de febrero y el 9 de marzo, entre los más de 1,850 hospitales y 250,000 consultorios médicos en un conjunto de datos.
"Lo que hace que esto sea diferente de los ataques anteriores a la atención médica es la amplitud de la industria que se ha visto afectada. Change Healthcare es una de las plataformas de cámara de compensación más utilizadas en los Estados Unidos, por lo que los proveedores de todos los tipos y tamaños han experimentado interrupciones como resultado de un solo ataque selectivo", dijo Ky Chaffin, director gerente de servicios financieros, sistemas de salud de BOK Financial®. "La magnitud del impacto de este ataque es inmensa. Estamos trabajando con nuestros clientes proveedores en cuidados intensivos, cuidados postagudos, cuidados a largo plazo y prácticas médicas, en lugares de todo el país, todos los cuales están lidiando con algún nivel de interrupción".
Muchos proveedores continuarán sintiendo los impactos en los próximos meses, dijo Robert Dudley, director general de sistemas de salud de BOK Financial.
Los proveedores de atención médica a menudo son Un objetivo de los ciberdelincuentes debido a la naturaleza de la información de identificación personal (PII) y la información de salud personal (PHI) disponible. Estos datos a menudo se pueden vender en el mercado negro a los ciberdelincuentes para obtener un beneficio saludable, pero también resulta en un daño potencial para tanto los proveedores como los pacientes.
"Administrar el tiempo de los flujos de efectivo y mantener una liquidez adecuada son desafíos constantes para la mayoría de los proveedores de atención médica", dijo Chaffin.
"Cualquier interrupción en el ciclo de facturación y cobros se siente casi de inmediato, por lo que un retraso prolongado de esta naturaleza puede tener efectos devastadores en estas organizaciones y su capacidad para brindar la atención de la que todos dependemos".- Ky Chaffin, director ejecutivo de servicios financieros, sistemas de salud de BOK Financial
Cómo preparar su negocio para un ataque
Si bien el impacto de un ataque cibernético puede variar de una empresa a otra, una cosa en la que los expertos están de acuerdo es que la preparación es la clave para garantizar que su empresa esté armada con las protecciones que necesita en caso de que ocurra un evento cibernético. Esto incluye asegurarse de que sus empleados tengan el formación que necesitan para identificar posibles estafas.
"La sensibilidad de los datos creados y poseídos por las organizaciones de atención médica, la naturaleza altamente técnica y arcana del sistema de pago, y la naturaleza crítica de los servicios prestados hacen de la industria de la salud un objetivo valioso para los ciberdelincuentes. No se trata de si, sino de cuándo, ocurrirá un ataque", dijo Chaffin.
Aquí hay cinco maneras de proteger y preparar su negocio, según Dudley y Chaffin:
1. Participar en la mitigación estratégica de riesgos. Comience con una inmersión profunda en las protecciones que tiene implementadas a través de un Evaluación de ciberseguridad de 360 grados que analiza exhaustivamente su entorno de red y hace recomendaciones sobre las formas en que puede mejorar su postura de seguridad. El momento de hacer esta evaluación es antes de que ocurra un ataque, dijeron los expertos.
"No es un buen momento para una revisión de 360 cuando ya estás respondiendo a un ataque. Prepararse de antemano mediante la participación de sus equipos de TI y consultores externos para evaluar y mejorar sus protocolos de seguridad es fundamental", explicó Chaffin.
2. Invierta en protecciones cibernéticas. Asegúrese de que su organización esté protegida invirtiendo en filtros de spam mejorados para identificar casos de phishing, permitir la identificación multifactor en toda la organización, utilizar el monitoreo basado en inteligencia artificial para actividades sospechosas, incorporar más prácticas de resiliencia empresarial en su estrategia de ciberseguridad y considerar asociarse con un proveedor externo de detección y respuesta (MDR).
3. Asegúrese de tener suficiente cobertura. El seguro de ciberseguridad es una forma de ayudar a su empresa a mitigar las pérdidas causadas por una variedad de incidentes relacionados con el ciberespacio, incluidas las violaciones de datos, la interrupción del negocio y los daños a la red. El objetivo de este tipo de seguro es ayudar a su organización a restaurar las operaciones de la corrupción o pérdida de datos, así como proteger los activos de su negocio de cualquier demanda potencial que pueda surgir. Muchas pólizas también cubren el costo de las investigaciones sobre fallas o gestión de la marca, pero es fundamental hablar con los proveedores de seguros sobre lo que consideren necesario según las necesidades de su organización.
4. Revise la liquidez de su organización. Dudley sugiere que es importante encontrar un equilibrio entre el efectivo disponible y la posibilidad de acceder a una línea de crédito. El ciberataque Change Healthcare destaca la necesidad de que las organizaciones tengan acceso al capital y la importancia de la planificación de la continuidad del negocio para un proveedor de atención médica.
5. Asegure la redundancia en su organización. Parte de estar preparado para un posible ataque cibernético es tener un Plan de recuperación ante desastres en el lugar, que representa Redundancia en operaciones. En caso de un ataque cibernético o falla, la redundancia permite que su red permanezca en servicio al proporcionar equipos de respaldo alternativos para que pueda continuar operando.
Chaffin sugiere también analizar sus opciones de redundancia en las funciones de tesorería y ciclo de ingresos, en caso de un ataque cibernético que reduzca su capacidad para procesar pagos o emitir nóminas. "La redundancia garantiza que si hay problemas cibernéticos en el lado del proveedor o del banco, usted tiene la capacidad de continuar operando", dijo.
La realidad de los ataques cibernéticos de esta naturaleza es que continuarán ocurriendo, dijo Dudley. A medida que se revele más sobre el ataque a Change Healthcare, dijo que los proveedores de atención médica, y la industria en general, analizarán las defensas cruciales y lo que la industria puede aprender de la situación.
"Esto se siente como un evento decisivo", agregó Chaffin. "Ha resaltado una debilidad crucial en el sistema de pago y siento una motivación renovada para fortalecer aún más las protecciones vigentes, lo cual es crítico a medida que estos ataques continúan ocurriendo".
. © 2024 BOKF, NA.