Сторонняя веб-аналитика вызывает большие проблемы

Согласно бюллетеню Центра служб Medicare и Medicaid (CMS), Центра интеграции кибербезопасности (CCIC), группы Cyber ​​Threat Intelligence (CTI), сторонние поставщики программного обеспечения для веб-аналитики вызывают широко распространенную тенденцию к взлому в сфере здравоохранения.

По заявлению CTI, многие веб-сайты, посвященные здравоохранению, в том числе мобильные приложения, связанные со здоровьем, используют программное обеспечение веб-аналитики от сторонних поставщиков для мониторинга взаимодействия пользователей с веб-сайтами. «Владельцы веб-сайтов используют данные, собранные поставщиками веб-аналитики, чтобы узнать, как лучше взаимодействовать со своими клиентами». Распространенное программное обеспечение для веб-аналитики включает Adobe Analytics, Clicky, Google Analytics, Hotjar, Kissmetrics и Mixpanel.

«Когда данные веб-сайта анализируются сторонним поставщиком программного обеспечения для веб-аналитики, он может раскрывать личную информацию (PII) и защищенную медицинскую информацию (PHI) без ведома или согласия пользователя», — заявил CTI. «Это бюллетень-уведомление является результатом тенденции, когда несколько организаций здравоохранения с помощью сторонних поставщиков программного обеспечения для веб-аналитики ненадлежащим образом раскрывают миллионы записей, содержащих PII/PHI».

Ответственное использование программного обеспечения для веб-аналитики и предотвращение ненадлежащего раскрытия защищенных данных «требует принятия дополнительных мер безопасности со стороны администраторов веб-сайтов», заявил CTI. Рекомендуемые действия по смягчению последствий включают, помимо прочего, следующее:

• Каждое «Застрахованное юридическое лицо» в сфере здравоохранения должно иметь «Соглашение о деловом партнерстве» со своим поставщиком (-ами) метрик веб-сайта, чтобы каждый поставщик метрик веб-сайта соглашался следовать стандартам защиты HIPAA.
• Программное обеспечение для отслеживания должно быть настроено на ограничение доступа только к данным в рамках соглашения.
• Все данные, используемые сторонними поставщиками веб-метрик, должны быть обезличены и зашифрованы перед анализом.