Erfüllung der Anforderungen von HIPAA an das Risiko von Drittanbietern
Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) ist ein US-Bundesgesetz, das darauf abzielt, sensible Patientendaten vor unbefugter Offenlegung zu schützen, entweder durch versehentliches Durchsickern von Daten oder als Ergebnis eines geplanten Cyberangriffs.
Der Rahmen für diesen Datenschutzstandard gliedert sich in zwei Komponenten:
- Die HIPAA-Sicherheitsregel - Festlegung von Schutzstandards für alle elektronischen Formen von persönlichen Gesundheitsinformationen (ePHI).
- Die HIPAA-Datenschutzregel - Eine Reihe von Einschränkungen für die Verwendung und Offenlegung von Patienteninformationen.
In der Liste der "Covered Entities", die die HIPAA-Verordnung einhalten müssen, sind "Geschäftspartner" enthalten, zu denen alle externen Unternehmen mit Zugang zu persönlichen Gesundheitsinformationen (PHI) gehören - auch bekannt als Drittanbieter.
Diese Third-Party-Risikomanagementkomponente von HIPAA ist wahrscheinlich am schwierigsten zu erreichen. Drittanbieter müssen vor dem Onboarding ausreichend bewertet und dann kontinuierlich überwacht werden, um sicherzustellen, dass ihre Sicherheitslücken nicht gegen die Sicherheitsregelstandards von HIPAA verstoßen.
Lesen Sie weiter, um zu erfahren, wie Sie alle Anforderungen des HIPAA an das Risikomanagement von Drittanbietern erfüllen können.
Was bedeutet es, HIPAA-konform zu sein?
Ein HIPAA-konformes Unternehmen verfügt über alle erforderlichen Netzwerk- und Prozesskontrollen, die erforderlich sind, um die in den Sicherheits- und Datenschutzbestimmungen des HIPAA festgelegten Standards zum Schutz personenbezogener Daten zu erfüllen.
Auf hohem Niveau erfüllt ein Cybersicherheitsprogramm, das mit HIPAA konform ist, die folgenden zehn Anforderungen:
- Die Implementierung von Sicherheitsrichtlinien, die Verhaltensweisen und Prozessstandards an die Datenschutzregel von HIPAA anpassen.
- Die Benennung eines Compliance-Beauftragten und eines Compliance-Ausschusses.
- Durchführung regelmäßiger Schulungen zur Sensibilisierung der Mitarbeiter für Cyberbedrohungen.
- Die Einrichtung effizienter Kommunikationsströme für Cyber-Bedrohungen.
- Regelmäßige Überwachung der internen und externen Bedrohungslandschaft und Bewertung von Sicherheitsrisiken.
- Die Durchsetzung von Standards für die Offenlegung privater Informationen und Sicherheitsstandards.
- Die Implementierung von Cyber-Mechanismen zur sofortigen Erkennung und Behebung sensibler Datenbedrohungen, einschließlich eines Cyber Security Incident Response Plan.
- Gewährleistung der kontinuierlichen Verfügbarkeit, Sicherheit, Integrität und Vertraulichkeit aller elektronischen geschützten Gesundheitsinformationen (ePHI).
- Die Implementierung eines Cybersicherheitsmechanismus zur Erkennung und Minderung erwarteter Bedrohungen für PHI.
- Die Einrichtung von Prozessen zur Erkennung und Verhinderung unbefugter Offenlegungen von PHI.
Es hilft auch zu verstehen, welche Verhaltensweisen einen direkten Verstoß gegen die HIPAA-Verordnung darstellen. Einige extreme Beispiele für verletzende Praktiken sind:
- Versäumnis, eine Datenschutzverletzung innerhalb des festgelegten Zeitrahmens von 60 Tagen bei Vorfällen, an denen mehr als 500 Personen beteiligt sind, dem Minister zu melden.
- Unzureichende Schulung der Mitarbeiter zur Sensibilisierung für Cyber-Bedrohungen.
- Unbefugter Zugriff und Offenlegung von persönlichen Gesundheitsdaten (PHI).
- Versehentliche Offenlegung von PHI, wie z. B. ein Datenleck oder das Versenden von Patienteninformationen per E-Mail an den falschen Empfänger.
- Manueller Diebstahl von Datenspeichergeräten, auf denen PHI gehostet werden, nach einem Einbruch in ein Büro.
Die Erwartungen an die technische Compliance, insbesondere im Bereich der Drittanbieter, werden im Folgenden ausführlicher beschrieben.
Die Einhaltung der HIPAA-Verordnung wird letztendlich vom Office for Civil Rights (OCR) überprüft, entweder durch eine jährliche Compliance-Überprüfung oder nach einer Beschwerde über einen Verstoß.
Wenn Sie noch kein HIPAA-Compliance-Programm implementiert haben, verwenden Sie diese Checkliste, um eine Grundlage für Ihre Bemühungen um die Einhaltung von Risiken durch Dritte zu schaffen.
Erfahren Sie mehr über die häufigsten HIPAA-Verstöße, die Gesundheitseinrichtungen betreffen >
Ist die HIPAA-Konformität obligatorisch?
Die Einhaltung von HIPAA wird vom Department of Health and Human Services (HHS) und dem Office for Civil Rights (OCR) durchgesetzt.
Unternehmen, die die HIPAA-Verordnung einhalten müssen, werden als "Covered Entities" bezeichnet. " Dazu gehören:
- Gesundheitsdienstleister - Alle Anbieter, die elektrische Patienteninformationen verarbeiten, unabhängig von der Größe der Entität.
- Krankenversicherungen - Umfasst alle Kranken-, Zahn-, Seh-, Verschreibungsversicherungen und Pflegeheime.
- Clearingstellen im Gesundheitswesen - Unternehmen, die Verarbeitungsdienste für einen Gesundheitsplan erbringen, oder Gesundheitsdienstleister, die personenbezogene Gesundheitsdaten betreffen.
- Geschäftspartner - Jede Person oder Organisation, die PHI-Dienstleistungen für die oben genannten Unternehmen erbringt.
Erfahren Sie, wie Sie ein ideales HIPAA-Compliance-Produkt auswählen >
Durch die Einbeziehung von Clearingstellen und Business Associates im Gesundheitswesen in die Definition der erfassten Unternehmen wird der Kreis der Unternehmen, die HIPAA einhalten müssen, erheblich erweitert. Die digitale Transformation hat den nachteiligen Nebeneffekt, dass sich die Angriffsflächen zwischen den Covered Entities und ihren Drittanbietern verengen.
Die Bedrohungslandschaft ist mittlerweile so vernetzt, dass eine Datenschutzverletzung, an der ein Viertanbieter (der Anbieter Ihres Anbieters) beteiligt ist, Ihre sensiblen Gesundheitsdaten dem Risiko einer Kompromittierung aussetzen könnte.
Sehen Sie sich die Liste der größten Datenschutzverletzungen im Gesundheitswesen an >
Bei so vielen potenziellen digitalen Wegen zu sensiblen Ressourcen ist das Potenzial der Nichteinhaltung der HIPAA-Verordnung hoch, was das Risikomanagement von Drittanbietern zum kompliziertesten Element der HIPAA-Compliance macht.
Wenn jedoch die Vendor Risk Management-Komponente der HIPAA-Compliance effektiv angegangen wird, wird die Einhaltung gesetzlicher Vorschriften für die verbleibenden Informationssicherheitskomponenten relativ einfach.
Erfahren Sie mehr über die schlimmsten Fälle von HIPAA-Verstößen in der Geschichte >
So erfüllen Sie die Anforderungen an das Lieferantenrisikomanagement der HIPAA-Verordnung
Wenn Sie eine Clearingstelle für das Gesundheitswesen, ein Gesundheitsdienstleister oder ein Krankenversicherungsplan sind, müssen Sie die folgenden Datensicherheitsanforderungen von HIPAA für Drittanbieter kennen. Jede aufgeführte HIPAA-Anforderung wird durch ein Beispiel für eine Sicherheitsmaßnahme unterstützt, die von UpGuard für die Einrichtung eines TPRM-Programms zur Unterstützung der HIPAA-Konformität angeboten wird.
45 CFR § 164.308(a)(1) - Verwaltungsgarantien
(a) Risikoanalyse [erforderlich]
Führen Sie eine genaue und gründliche Bewertung der potenziellen Risiken und Schwachstellen für die Vertraulichkeit, Integrität und Verfügbarkeit elektronisch geschützter Gesundheitsinformationen durch, die von der betroffenen Entität oder dem Geschäftspartner gespeichert werden.
Was bedeutet das?
Zunächst muss eine Ausgangsbasis geschaffen werden, um den Grad der Einhaltung der HIPAA-Verordnung zu bestimmen. Bei dieser Bewertung sollten auch potenzielle Anbieter in der Pipeline berücksichtigt werden, da das inhärente Risikoprofil eines neuen Anbieters Ihre Sicherheitslage erheblich beeinflussen kann.
Eine Risikobewertung sollte eine umfassende Bewertung aller internen und externen Informationssysteme umfassen, um die Zugriffsebenen für personenbezogene Gesundheitsdaten zu bestimmen.
>Die Gesundheitsbranche lagert in der Regel einen erheblichen Teil ihrer PHI-Verarbeitung an Geschäftspartner und Subunternehmer aus. Eine skalierbare Lösung für das Risikomanagement ist unerlässlich, um zu verhindern, dass sensible Gesundheitsinformationstechnologie in der Lieferkette übersehen wird.
Die TPRM-Plattform von UpGuard enthält eine Sicherheitsbewertungsfunktion für eine vorläufige Bewertung der potenziellen Sicherheitsrisiken, die mit potenziellen Anbietern verbunden sind. Diese Funktion rationalisiert den Onboarding-Management-Prozess, indem sie Kandidaten mit der höchsten Wahrscheinlichkeit in die engere Wahl zieht, vorbildliche Sicherheitsstandards und technische Sicherheitsvorkehrungen zu befolgen.
Nach dem Onboarding wird die Angriffsfläche jedes Anbieters kontinuierlich auf Schwachstellen überwacht, die die Krankenakten einem erhöhten Kompromittierungsrisiko aussetzen. Eine Bibliotheks- oder Risikobewertung und anpassbare Sicherheitsfragebögen werden ebenfalls angeboten, um spezifische Sicherheitsrisiken detaillierter zu bewerten.
Durch die Optimierung des Behebungsmanagements für die kritischsten Risiken von Drittanbietern, die die HIPAA-Compliance gefährden, deckt UpGuard den gesamten Umfang des Lieferantenrisikomanagements in einer leistungsstarken und dennoch erfrischend intuitiven Plattform ab.
Fordern Sie eine kostenlose Demo von UpGuard > an
45 CFR § 164.308(a)(1) - Administrative Garantien
(b) Risikomanagement [erforderlich]
Implementierung von Sicherheitsmaßnahmen, die ausreichen, um Risiken und Schwachstellen auf ein angemessenes und angemessenes Niveau zu reduzieren, das eingehalten werden muss (die Sicherheitsstandards von HIPAA)
Was bedeutet das?
Nachdem Cyberrisiken, die die Sicherheit, Verfügbarkeit und Integrität von PHI bedrohen, identifiziert wurden, müssen Organisationen im Gesundheitswesen die erforderliche Sorgfaltspflicht im Bereich der Cybersicherheit walten lassen, um diese Risiken zu mindern - entweder durch die Implementierung neuer Sicherheitskontrollen oder die Beseitigung von Schwachstellen.
UpGuard ordnet die Einreichung von Sicherheitsfragebögen gängigen Cybersicherheits-Frameworks zu, um die besonderen Risiken zu identifizieren, die von abgedeckten Unternehmen und Geschäftspartnern ausgehen, die die Einhaltung der Vorschriften behindern.
NIST, ein Informationssicherheitsstandard, dem Regierungsbehörden vertrauen, ist in dieser Liste beliebter Cyber-Frameworks enthalten. Durch die Angleichung der Sicherheitskontrollen an das NIST-Cybersicherheits-Framework erhalten sensible Gesundheitsdaten ein Schutzniveau, das die HIPAA-Compliance unterstützt.
UpGuard zeigt auch die prognostizierten Verbesserungen des Sicherheitsstatus an, die mit jeder vorgeschlagenen Behebungsreaktion verbunden sind. Diese Funktion hilft Sicherheitsteams, Abhilfemaßnahmen mit den größten positiven Auswirkungen auf Ihre Sicherheitslage zu priorisieren.
Fordern Sie eine kostenlose Demo von UpGuard > an
45 CFR § 164.308(a)(1) - Administrative Garantien
(d) Überprüfung der Aktivität des Informationssystems [erforderlich]
Implementieren Sie Verfahren zur regelmäßigen Überprüfung von Aufzeichnungen über die Aktivität des Informationssystems, z. B. Überwachungsprotokolle, Zugriffsberichte und Berichte zur Nachverfolgung von Sicherheitsvorfällen.
Erfahren Sie, wie UpGuard der Burgess Group geholfen hat, die HIPAA-Konformität zu erreichen.
Lesen Sie die Fallstudie >
Was bedeutet das?
Sicherheitsrisiken von Drittanbietern können jederzeit auftreten, so dass es mit einem jährlichen Bewertungsplan nicht möglich ist, PHI vor neuen Bedrohungen zu schützen. Um die Sicherheitsteams über plötzliche Risiken, die die PHI-Sicherheit bedrohen, auf dem Laufenden zu halten, sollte eine Lösung zur kontinuierlichen Schwachstellenüberwachung mit einem regelmäßigen Risikobewertungsplan gekoppelt werden.
Die UpGuard-Plattform umfasst eine Lösung zur Überwachung der Angriffsfläche, die kontinuierlich nach Schwachstellen und Datenlecks sucht, die die PHI-Sicherheit bedrohen, sowohl intern als auch im gesamten Anbieternetzwerk.
Fordern Sie eine kostenlose Demo von UpGuard > an
45 CFR § 164.308(b)(1) - Geschäftspartnerverträge und andere Vereinbarungen
Ein betroffenes Unternehmen darf einem Geschäftspartner nur dann gestatten, elektronisch geschützte Gesundheitsinformationen im Namen des betroffenen Unternehmens zu erstellen, zu empfangen, zu pflegen oder zu übertragen, wenn das abgedeckte Unternehmen gemäß § 164.314(a) zufriedenstellende Zusicherungen erhält, dass der Geschäftspartner die Informationen angemessen schützen wird. Ein betroffenes Unternehmen ist nicht verpflichtet, solche zufriedenstellenden Zusicherungen von einem Geschäftspartner einzuholen, bei dem es sich um einen Subunternehmer handelt.
Was bedeutet das?
Ein Business Associate Agreement (BAA) ist von Geschäftspartnern erforderlich, um die Einhaltung der PHI-Sicherheitsstandards von HIPAA bei der Verarbeitung sensibler Gesundheitsdaten zu gewährleisten.
UpGuard ermöglicht es allen Drittanbietern, ein Repository aller relevanten Sicherheitsdokumente in einem gemeinsamen Profil zu führen, einschließlich abgeschlossener Geschäftspartnervereinbarungen, und hilft Ihnen, ihre Sicherheitsbemühungen anhand ihrer Zusicherungen zur PHI-Sicherheit zu verfolgen.
Fordern Sie eine kostenlose Demo von UpGuard > an
45 CFR § 164.308(a)(6) - Verwaltungsgarantien
(D) Implementierungsspezifikation: Antwort und Berichterstattung [Erforderlich]
Identifizierung und Reaktion auf vermutete oder bekannte Sicherheitsvorfälle; Milderung der schädlichen Auswirkungen von Sicherheitsvorfällen, die der betroffenen Einheit oder dem Geschäftspartner bekannt sind, soweit praktikabel, und Dokumentation von Sicherheitsvorfällen und deren Ergebnissen.
Was bedeutet das?
Alle entdeckten Sicherheitsbedrohungen im Zusammenhang mit Drittanbietern sollten rechtzeitig behoben werden, um schädliche Auswirkungen auf die PHI-Sicherheit zu minimieren. Die sofortige Benachrichtigung der Anbieter über kritische Schwachstellen hilft ihnen, jedes Sicherheitsrisiko zu adressieren, bevor es sich zu einer Datenschutzverletzung entwickelt.
Die Vendor Risk Executive Summary-Matrix von UpGuard hilft Sicherheitsverantwortlichen und Entscheidungsträgern, kritische Sicherheitsbedrohungen, die jeder Anbieter angehen sollte, sofort zu identifizieren, um das Potenzial für PHI-Kompromittierungen erheblich zu reduzieren.
Das übersichtliche und intuitive Dashboard von UpGuard bietet einen detaillierten Überblick über den Status des Abschlusses der Bewertung, die identifizierten Risiken und die Risikobehebungsmaßnahmen, um Sie kontinuierlich über die Bedrohungen und Sicherheitsmaßnahmen zu informieren, die sich auf Ihre HIPAA-Compliance-Bemühungen auswirken.
45 CFR § 164.308(a)(8) - Administrative Garantien
Führen Sie eine regelmäßige technische und nichttechnische Bewertung durch, die zunächst auf den im Rahmen dieser Regel implementierten Standards und anschließend auf Umwelt- oder Betriebsänderungen basiert, die sich auf die Sicherheit elektronisch geschützter Gesundheitsinformationen auswirken, und die feststellt, inwieweit die Sicherheitsrichtlinien und -verfahren eines betroffenen Unternehmens oder Geschäftspartners die Anforderungen dieses Unterabschnitts erfüllen.
Was bedeutet das?
Sie müssen kontinuierlich auf neue Schwachstellen achten, die die Einhaltung der HIPAA-Vorschriften durch einen Anbieter beeinträchtigen könnten. Alle Lieferantenrisiken sollten in einem Risikoprofil zusammengefasst werden, das Daten aus Sicherheitsfragebögen, Risikobewertungen und Sicherheitsbewertungen enthält.
UpGuard' hat eine HIPAA-Sicherheitsfrage entwickelt, die Gesundheitseinrichtungen dabei unterstützt, festzustellen, welche Anbieter die HIPAA-Datenschutzregel einhalten. Die Ergebnisse dieser Bewertungen werden mit den Sicherheitsstandards von HIPAA abgeglichen, um die spezifischen Risiken zu identifizieren, die die Einhaltung von HIPAA bedrohen.
45 CFR § 164.308(a)(8) - Richtlinien und Verfahren sowie Dokumentationsanforderungen.
(1) Standarddokumentation
(ii) Wenn eine Handlung, Aktivität oder Bewertung nach diesem Unterabschnitt dokumentiert werden muss, führen Sie eine schriftliche (die elektronisch sein kann) Aufzeichnung der Aktion, Aktivität oder Bewertung.
Was bedeutet das?
Betroffene Unternehmen müssen den Nachweis erbringen, dass ein Cybersicherheitsprogramm implementiert wurde, um PHI vor Kompromittierung zu schützen. Der Nachweis der Übereinstimmung mit allen Sicherheitsrichtlinien, die die HIPAA-Konformität unterstützen, sollte auf dem neuesten Stand gehalten und jederzeit verfügbar sein.
Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >
UpGuard ermöglicht es Covered Entities, Dokumentationen zu hosten, die die Einrichtung von Sicherheitskontrollen zur Unterstützung der HIPAA-Compliance in einem gemeinsamen Profil unterstützen, auf das bei Bedarf leicht zugegriffen werden kann.
Berichte, die relevante Cybersicherheitsbemühungen belegen, können mit dem Tool zur Erstellung von Berichten für Führungskräfte von UpGuard sofort erstellt werden, wodurch der Verwaltungsaufwand für die manuelle Berichterstellung reduziert wird.