Le centre de cybersécurité du NIST étend ses efforts en matière de confidentialité

Bien que le Centre national d’excellence en cybersécurité ait maintenu sa mission consistant à promouvoir des solutions de cybersécurité pratiques et fondées sur des normes depuis sa création en 2012, les progrès technologiques de ces dernières années ont mis en évidence la nécessité d’intégrer la confidentialité.

« Notre empreinte numérique ne cesse de croître, il y a plus de données sur nous, nos informations personnelles sont disponibles et exposées », a déclaré Nakia Grayson, spécialiste de la sécurité de l’Institut national américain des normes et de la technologie. « Notre objectif est d’examiner la confidentialité au NCCoE du NIST et de souligner l’importance de la confidentialité et les domaines dans lesquels elle peut s’intégrer. Nous identifions ces domaines dans le cadre de la cybersécurité, puis trouvons des moyens de gérer les risques liés à la confidentialité dans ces domaines spécifiques. »

Le NCCoE, un partenariat entre le NIST, l’État du Maryland et le comté de Montgomery, dans le Maryland, collabore avec des organisations industrielles, des agences gouvernementales et des établissements universitaires pour élaborer des solutions pratiques basées sur les normes et les meilleures pratiques de l’industrie, en utilisant la technologie disponible dans le commerce, pour aider à répondre aux problèmes les plus urgents d’aujourd’hui. les défis de la cybersécurité.

Le NCCoE crée des guides ciblant des défis spécifiques dans les secteurs public et privé, y compris des secteurs comme les soins de santé, ainsi que pour une technologie plus large et intersectorielle, a déclaré Grayson, et compte actuellement plus de 30 projets de cybersécurité actifs.

L’un des projets du NCCoE comportant le plus grand volet de protection de la vie privée est le guide « Sécurisation de l’écosystème de surveillance des patients à distance par télésanté », explorant la manière dont les organisations de prestation de soins de santé peuvent exploiter les capacités de télésanté telles que la surveillance à distance des patients, tout en améliorant la cybersécurité et les contrôles de confidentialité. Si les technologies de surveillance à distance des patients, qui ont augmenté depuis la pandémie de COVID-19, peuvent être pratiques et rentables, elles peuvent également comporter « des risques en matière de sécurité et de confidentialité », selon le guide NCCoE.

« Dans le guide, nous parlons du fait que vous changez la nature de la relation médecin/patient », a déclaré Julie Snyder, directrice de MITRE, CIPP/G, CIPP/US, CIPM, CIPT, qui dirige la confidentialité du centre MITRE qui soutient le NIST. « Ainsi, au lieu que les médecins prennent les signes vitaux et effectuent des analyses de laboratoire lorsque vous êtes dans leur cabinet et physiquement présent, vous disposez désormais d’appareils pour le faire plus fréquemment et à distance, peu importe où vous êtes. Lors de la mise en place de cette solution, vous  » Plus de technologies et d’organisations sont impliquées que le patient et le médecin, ou l’organisation clinique. Vous avez maintenant d’autres joueurs dans le jeu qui transmettent des informations de cet appareil via un fournisseur de plateforme de télésanté à votre médecin dans un organisme de prestation de soins de santé.  »

L’équipe de projet du NCCoE a effectué une évaluation des risques dans un environnement de laboratoire virtuel simulant l’écosystème de télésanté et les services de surveillance à distance des patients, a appliqué le cadre de cybersécurité du NIST, le cadre de confidentialité du NIST et d’autres normes pertinentes, et a collaboré avec des partenaires de soins de santé, de technologie et de télésanté.

Le guide de pratique qui en résulte souligne une « stratégie globale d’atténuation des risques » comprenant des activités fondamentales pour identifier et gérer les risques, comme la gouvernance et les évaluations des risques ; des garanties telles que la gestion de l’identité, l’authentification et le contrôle d’accès ; les étapes de sécurité des données, y compris la sécurisation et la surveillance du stockage des données et la technologie de protection ; des activités permettant de découvrir en temps opportun un incident de cybersécurité, comme la surveillance continue du personnel, des appareils, des logiciels et des connexions non autorisés ; et des réponses pour contenir l’impact d’un événement de cybersécurité détecté, comme les processus et procédures de réponse et les activités d’atténuation.

Bien que la surveillance à distance des patients présente certainement un intérêt, Snyder a déclaré que les risques liés à la vie privée sont intrinsèquement introduits, « simplement en mettant plus de joueurs dans le jeu. Nous devons gérer ces nouveaux risques liés à la vie privée afin de pouvoir tirer parti des capacités offertes par cette technologie ».

« Vous souhaitez donc prendre certaines décisions architecturales, par exemple concernant le moment où les lectures de l’appareil sont associées aux données du patient », a déclaré Snyder. « Notre solution vous guide à travers cela et montre comment nous utilisons la méthodologie d’évaluation des risques en matière de confidentialité du NIST et le langage du NIST autour des actions problématiques en matière de données et des objectifs d’ingénierie de la confidentialité pour encadrer cette discussion. Nous vous montrons des éléments tels que les catégories du NIST Privacy Framework Core que vous pouvez aborder. pour vous aider à gérer les risques liés à la confidentialité dans votre solution de surveillance à distance des patients.

Pour chaque projet, le NCCoE travaille avec une communauté d’intérêts qui, selon Snyder, éclaire les défis auxquels il s’attaque. Alors qu’ils explorent davantage de projets dans le domaine de la protection de la vie privée, Snyder et Grayson ont déclaré que les professionnels et les organisations de la protection de la vie privée peuvent rejoindre ces communautés d’intérêt et qu’ils sont impatients de se connecter.

« Nous serions ravis de travailler avec davantage de communautés sur la protection de la vie privée. Nous serions ravis d’explorer davantage de sujets relatifs à la protection de la vie privée avec les communautés avec lesquelles nous travaillons déjà. Tout dépend de ce que nous entendons de chaque communauté », a déclaré Snyder.

« Nous voulons entendre les professionnels de la vie privée s’il y a d’autres domaines dans lesquels nous devrions travailler davantage pour aider à trouver des solutions en matière de vie privée », a ajouté Grayson.

Pour plus d’informations ou pour vous impliquer dans le travail de confidentialité du NCCoE, envoyez un e-mail à Privacy-nccoe@nist.gov.