So überwachen Sie PHI: Was Sie überwachen müssen

PHI ist weder der einundzwanzigste Buchstabe des griechischen Alphabets noch ein durch geometrische Konstruktion definiertes Verhältnis. In diesem Zusammenhang steht PHI für „Protected Health Information“ und umfasst alle Gesundheitsinformationen in jeglicher Form, die in irgendeiner Weise zur Identifizierung einer Person verwendet werden können. Es ist wichtig zu verstehen, dass Informationen wie Namen, Telefonnummern und Geburtsdaten zwar keine eindeutigen Identifikatoren sind, es sich aber um „Quasi-Identifikatoren“ handelt, die in Kombination zu personenbezogenen Daten werden. Es ist außerdem zu beachten, dass Gesundheitsinformationen von Personen, die vor mehr als 50 Jahren verstorben sind, nicht als PHI eingestuft werden.

Gemäß der HIPAA-Datenschutzregel gibt es 18 Identifikatoren, die zur Identifizierung, Lokalisierung oder Kontaktaufnahme einer Person verwendet werden können, darunter:

Name
Adresse
Daten, die sich auf eine Person beziehen (einschließlich Geburtsdatum, Aufnahmedatum, Entlassungsdatum, Sterbedatum und genaues Alter, falls über 89 Jahre alt)
Telefonnummern
Faxnummern
E-Mail-Adresse
Sozialversicherungsnummer
Krankenaktennummer
Nummer des Begünstigten des Krankenversicherungsplans
Accountnummer
Zertifikats- oder Lizenznummer
Fahrzeugkennungen und Seriennummern, einschließlich Nummernschilder
Gerätekennungen und Seriennummern
Web-URL
Internet Protocol (IP)-Adresse
Finger- oder Stimmabdruck
Fotografisches Bild (nicht beschränkt auf Bilder des Gesichts)
Jedes andere Merkmal, das die Person eindeutig identifizieren könnte

So überwachen Sie PHI

Bevor Sie geschützte Gesundheitsinformationen effektiv überwachen können, müssen Sie genau wissen, über welche Daten Sie verfügen, wo sie sich befinden, wer Zugriff darauf hat (und haben sollte) und was sie damit machen. Es ist eine HIPAA-Anforderung, dass betroffene Unternehmen einen Prüfpfad aller an PHI vorgenommenen Änderungen führen, obwohl es keine spezifischen Anforderungen hinsichtlich der Detailliertheit der Prüfprotokolle gibt. Zweitens müssen Sie Ihre PHI vor unbefugtem Zugriff schützen, was die Implementierung strenger Zugriffskontrollen gemäß dem HIPAA Minimum Necessary Standard erfordert. Sie müssen diese Kontrollen auch überwachen, um sich vor einer Rechteausweitung zu schützen.

Datenermittlung und -klassifizierung

Wie bereits erwähnt, besteht der erste Schritt zum Schutz Ihrer PHI darin, sicherzustellen, dass Sie genau wissen, über welche Daten Sie verfügen und wo diese sich befinden. In modernen IT-Umgebungen, die komplex und verteilt sind, ist dies keine leichte Aufgabe, insbesondere wenn Sie Ihre PHI manuell lokalisieren möchten. Die beste Option wäre die Verwendung eines Datenerkennungs- und -klassifizierungstools, das Ihre Repositorys automatisch nach allen 18 oben aufgeführten Identifikatoren durchsucht. Sobald das PHI gefunden wurde, wird es entsprechend klassifiziert, was die Zuweisung der entsprechenden Zugriffskontrollen erheblich erleichtert. Sobald Sie Ihre Daten klassifiziert haben, empfiehlt es sich, alle nicht mehr relevanten Daten zu entfernen (oder zumindest zu archivieren).

Der erforderliche Mindeststandard der HIPAA

Der HIPAA-Mindeststandard wurde eingeführt, um sicherzustellen, dass betroffene Unternehmen „angemessene Anstrengungen“ unternehmen, um sicherzustellen, dass sie nur dann Zugang zu PHI gewähren, wenn dies unbedingt erforderlich ist. Der erste Schritt zur Einhaltung dieses Standards besteht darin, eine Reihe von Richtlinien zu entwerfen, die festlegen, wie, warum und wann der Zugriff auf PHI gewährt/entzogen wird. Diese Richtlinien sollten auch Informationen über die verwendeten Zugriffskontrollmethoden enthalten. Heutzutage entscheiden sich viele Unternehmen aufgrund ihrer Flexibilität und intuitiven Natur für die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) als bevorzugte Methode der Zugriffskontrolle. Bei RBAC werden Zugriffsrechte Rollen (oder Gruppen) und nicht einzelnen Benutzern zugewiesen.

Überwachen von Benutzerberechtigungen

Zusätzlich zur Einrichtung von Zugriffskontrollen sollten Sie Änderungen an diesen Berechtigungen regelmäßig überprüfen und kontinuierlich überwachen, um unbefugten Zugriff auf Ihre PHI zu erkennen und darauf zu reagieren. Obwohl es theoretisch möglich ist, Ihre Ereignisprotokolle manuell zu überwachen, wäre dies eine umständliche und fehleranfällige Aufgabe. Stattdessen sollten Sie eine dedizierte Echtzeit-Überwachungslösung einsetzen, die alle Berechtigungsänderungen in Active Directory, Exchange Server, SharePoint, SQL Server, Dateiserver sowie den gängigsten Cloud-Plattformen verfolgt. Wenn Sie RBAC zur Zugriffssteuerung verwenden und Active Directory verwenden, müssen Sie auch die Gruppenmitgliedschaften überwachen, da eine unerwartete Änderung der Gruppenberechtigungen schwerwiegende Folgen haben könnte.

Überwachung von PHI-Änderungen

Wie bereits erwähnt, müssen HIPAA-gedeckte Unternehmen einen Prüfpfad aller an PHI vorgenommenen Änderungen führen, was eine Prüfung der Änderungen in Echtzeit erfordert. Eine Echtzeit-Prüfungslösung verfolgt alle Änderungen an Ihrem PHI und stellt Ihnen ein detailliertes Prüfprotokoll zur Verfügung, das Informationen darüber enthält, wer, was, wo und wann die Änderungen vorgenommen wurden. Heutzutage nutzen die meisten Echtzeit-Auditing-Lösungen Techniken des maschinellen Lernens, um anomales Verhalten zu identifizieren. Wenn ein verdächtiges Ereignis erkannt wird, wird eine Warnung an das E-Mail-Konto oder das Mobilgerät des Administrators gesendet, sodass dieser eine Untersuchung des Vorfalls einleiten kann. Einige Lösungen können auch Ereignisse erkennen und darauf reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen. Wenn beispielsweise X Dateien innerhalb eines bestimmten Zeitraums kopiert werden, kann ein benutzerdefiniertes Skript ausgeführt werden, das ein Benutzerkonto deaktivieren, einen bestimmten Prozess stoppen, die Firewall-Einstellungen ändern oder einfach den betroffenen Server herunterfahren kann. Schwellenwertalarme können auch dazu verwendet werden, fehlgeschlagene Anmeldeversuche zu erkennen und die Verbreitung von Ransomware zu verhindern.

Überwachung des Zugriffs auf Geräte, die PHI speichern

Zusätzlich zur Überwachung des direkten Zugriffs auf Ihre PHI sollten Sie auch verfolgen, welche Benutzer auf bestimmte Geräte zugreifen, die PHI speichern. Sie sollten alle An-/Abmeldeereignisse protokollieren, um die Ursache eines Vorfalls leichter identifizieren zu können. Es wäre auch eine gute Idee, alle Änderungen an den Netzwerkzugriffsrichtlinien jedes Geräts im Auge zu behalten, da Sie so Informationen darüber erhalten, ob das Gerät Zugriff auf das öffentliche Internet hat oder nicht.

Abschluss

Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen dabei helfen kann, mehr Transparenz über Ihre PHI zu erlangen und die HIPAA-Konformität einzuhalten, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.