Pelanggaran Data Pelayanan Kesehatan: Ancaman yang Terus Ada Meskipun Kerugiannya Menurun

Sektor pelayanan kesehatan terus menjadi target utama para penjahat siber, meskipun terdapat beberapa perkembangan menggembirakan dalam hal kerugian yang terkait dengan pelanggaran data. Pada tahun 2024, kerugian rata-rata akibat pelanggaran data telah menurun menjadi sebesar 9,77 juta dolar AS dari nilai sebelumnya, 10,93 juta dolar AS pada tahun 2023{{Footnote.N76502}}.

Namun, penurunan ini tidak boleh menimbulkan perasaan berpuas diri dan menjadi lengah. Pelayanan kesehatan tetap menjadi industri yang paling banyak ditargetkan oleh serangan siber dengan potensi konsekuensi yang sangat merugikan pasien dan penyedia layanan.

Kerentanan Keamanan Data di Sektor Pelayanan Kesehatan

Fasilitas pelayanan kesehatan, mulai dari praktik dokter, klinik, rumah sakit, fasilitas pencitraan medis dan pengujian diagnostik, serta fasilitas penelitian menghadapi sekumpulan tantangan keamanan data yang unik karena berbagai faktor:

• Alur data medis yang sensitif dan kompleks antara berbagai perangkat dan sistem, seperti pemindai CT, mesin ultrasonografi, dan komputer administrasi, menimbulkan berbagai titik potensial yang rentan mengalami kehilangan data.
• Banyak organisasi kekurangan tenaga ahli keamanan siber yang memadai dan tidak memiliki strategi keamanan yang terpadu sehingga sering mengambil keputusan secara ad hoc terkait dengan pembelian peralatan dan perangkat lunak saat memiliki anggaran lebih, bukan berdasarkan rencana keamanan yang komprehensif. Hal ini terutama terjadi pada organisasi berskala lebih kecil dan makin diperparah oleh kelangkaan global akan tenaga profesional di bidang keamanan siber.

Kerentanan tersebut bersama dengan pentingnya pengoperasian pelayanan kesehatan, mengharuskan organisasi meninggalkan langkah keamanan yang bersifat reaktif dan mulai mengembangkan strategi perlindungan yang komprehensif dan proaktif. Kegagalan mengatasi tantangan tersebut dapat mengakibatkan konsekuensi yang berdampak luas dan berat.

Dampak Luas Pelanggaran Data

Saat organisasi pelayanan kesehatan mengalami pelanggaran data, konsekuensinya akan jauh melampaui kerugian finansial langsung, yaitu:

• Kepercayaan pasien akan terkikis dengan cepat apabila rekam medis mereka mengalami serangan, yang berpotensi menyebabkan konsekuensi kesehatan yang serius jika informasi pengobatan diubah atau dibuat tidak dapat diakses.
• Penyedia layanan kesehatan sering kali menghadapi dampak reputasi yang signifikan, yang kemudian mengakibatkan penurunan jumlah pasien baru dan gangguan finansial.
• Gangguan operasional dapat meluas sehingga membutuhkan sumber daya yang besar untuk memulihkan sistem dan data, dan pada saat bersamaan, juga harus mengatasi kerugian yang meningkat serta hilangnya pendapatan.

Dengan besarnya skala permasalahan tersebut, survei Sophos pada tahun 2024{{Footnote.N76503}} mengungkapkan bahwa 37% dari organisasi pelayanan kesehatan memerlukan waktu lebih dari satu bulan untuk pulih dari serangan ransomware, serta hampir seluruh korban melaporkan adanya upaya untuk menyerang sistem pencadangan mereka.

Tantangan Perangkat Pemeras (Ransomware) yang Makin Meningkat

Perangkat pemeras (ransomware) terus menjadi salah satu ancaman paling signifikan terhadap fasilitas pelayanan kesehatan di seluruh dunia. Pada tahun 2023, serangan ini menyebabkan 54% insiden keamanan siber di Uni Eropa. Hal lebih memprihatinkan adalah hanya 27%{{Footnote.N76504}} dari fasilitas medis yang disurvei yang telah menerapkan program perlindungan tertentu terhadap perangkat pemeras (ransomware).

Organisasi pelayanan kesehatan menjadi target sangat menarik terutama karena sifat pengoperasiannya yang krusial dan sensitivitas dari datanya. Saat sistem layanan pasien diserang, fasilitas medis menghadapi tekanan besar untuk memulihkan layanan dengan cepat, sehingga membuatnya lebih cenderung membayar tebusan dibandingkan dengan organisasi di sektor lainnya.

Risiko yang terjadi luar biasa besar. Keterlambatan dalam pengobatan atau akses terhadap rekam medis dapat berdampak langsung terhadap hasil pengobatan pasien.

Serangan perangkat pemeras (ransomware) modern telah berkembang sehingga tidak lagi sekadar enkripsi data, tetapi sudah mencakup pencurian data dan strategi pemerasan ganda, yaitu tindakan penyerang mengancam untuk mempublikasikan informasi sensitif pasien jika korban tidak melakukan pembayaran tambahan.

Hal ini menempatkan penyedia layanan kesehatan dalam posisi sulit karena harus mempertimbangkan antara masalah privasi pasien dan keberlanjutan layanan.

Meskipun ancaman ini sangat serius, penerapan pertahanan khusus terhadap perangkat pemeras (ransomware) masih belum memadai di seluruh sektor ini. Banyak fasilitas tidak memiliki segmentasi jaringan yang tepat, protokol cadangan yang kuat, atau rencana respons insiden yang komprehensif dan yang disesuaikan untuk skenario serangan perangkat pemeras (ransomware).

Menghadapi Peraturan dan Kepatuhan Keamanan Siber Global

Pemerintah di seluruh dunia telah menyadari pentingnya penguatan perlindungan data di sektor pelayanan kesehatan. Hasilnya, pemerintah di seluruh dunia sedang menerapkan tingkat regulasi yang makin diperketat untuk menegaskan ancaman serius terhadap sektor ini.

Di tingkat dasar, Uni Eropa menegakkan Regulasi Umum Perlindungan Data (GDPR, General Data Protection Regulation) untuk perlindungan data secara menyeluruh, sedangkan Arahan NIS2 ditujukan untuk menghadapi keamanan jaringan dan informasi di berbagai sektor vertikal tertentu, yang mencakup pelayanan kesehatan.

Di Amerika Serikat, Undang-Undang Portabilitas dan Akuntabilitas Kesehatan (HIPAA, Health Insurance Portability and Accountability Act) terus berkembang dengan pembaruan terbaru yang memperkuat perlindungan keamanan siber terhadap Informasi Kesehatan yang Dilindungi secara Elektronik (ePHI, Electronic Protected Health Information).

Komisi Eropa juga telah mengusulkan Rencana Tindakan Keamanan Siber di sektor pelayanan kesehatan untuk meningkatkan ketahanan sektor ini terhadap serangan, dengan menyadari bahwa regulasi sendiri tidak akan memadai jika tidak didukung oleh edukasi dan dukungan yang tepat.

Pemenuhan atas berbagai persyaratan regulasi ini membutuhkan solusi teknis yang andal, dengan enkripsi berperan sangat penting dalam perlindungan data sensitif. Namun, tidak semua solusi enkripsi memberikan tingkat keamanan dan kepatuhan yang setara.

Alasan Pentingnya Enkripsi Berbasis Perangkat Keras untuk Perlindungan Data di Sektor Pelayanan Kesehatan

Dalam hal perlindungan data di sektor pelayanan kesehatan, tidak semua solusi enkripsi memiliki kualitas yang sama. Enkripsi berbasis perangkat keras menawarkan perlindungan yang lebih unggul dibandingkan dengan solusi alternatif yang berbasis perangkat lunak, terutama terhadap serangan tingkat lanjut dan upaya manipulasi fisik. Keunggulan ini sangat penting terutama saat mentransfer data sensitif pada drive eksternal.

Solusi modern enkripsi berbasis perangkat keras, seperti jajaran produk Kingston IronKey, menawarkan fitur keamanan yang kuat. Drive USB Kingston IronKey Vault Privacy 50 dengan sertifikasi FIPS 197 (dalam proses), menyediakan perlindungan terhadap serangan BadUSB melalui firmware yang ditandatangani secara digital serta dilengkapi dengan fitur pencegahan serangan brute force.

Untuk kebutuhan penyimpanan yang lebih besar, SSD Eksternal Kingston IronKey Vault Privacy 80 memberikan enkripsi XTS-AES 256-bit tersertifikasi FIPS 197 dengan kapasitas hingga 7,68TB. Dengan desain yang tidak tergantung sistem operasi dan antarmuka dengan layar sentuh, produk ini sangat sesuai untuk penyimpanan dan transfer data yang terlindung di lingkungan pelayanan kesehatan. Perangkat ini terutama bermanfaat untuk fasilitas skala kecil hingga menengah karena dapat memberikan pencadangan yang terisolasi dari jaringan (air-gapped) yang dapat melindungi dari perangkat pemeras (ransomware) serta mendukung pemulihan yang lebih cepat dari setiap gangguan.

Langkah-langkah Perlindungan Data Pasien

Meskipun penurunan kerugian akibat pelanggaran data di sektor pelayanan kesehatan mungkin menunjukkan kemajuan yang positif, industri ini harus tetap waspada dengan menerapkan langkah-langkah keamanan siber yang komprehensif. Perlindungan informasi sensitif pasien memerlukan pendekatan dari berbagai aspek yang menggabungkan:

• Enkripsi berbasis perangkat keras yang kuat untuk penyimpanan dan transfer data
• Pelatihan staf secara rutin tentang praktik keamanan dan penerapan kebiasaan keamanan siber yang baik
• Strategi keamanan yang direncanakan secara komprehensif, bukan solusi ad hoc
• Pemenuhan kepatuhan secara tepat waktu atas berbagai peraturan yang terus berkembang
• Berinvestasi pada keahlian keamanan siber yang terspesialisasi untuk mengatasi kesenjangan keterampilan di industri

Dengan mengambil berbagai langkah tersebut, organisasi pelayanan kesehatan dapat meningkatkan perlindungan data pasien serta menjaga kepercayaan yang sangat penting dalam memberikan layanan kesehatan yang efektif. Lindungi data pelayanan kesehatan Anda dengan enkripsi yang tepat. Dapatkan saran pakar dari tim Minta Bantuan Pakar Kingston.