Den HIPAA-Mindeststandard verstehen

Wer mit Best Practices im Bereich Datensicherheit vertraut ist, wird vom „Prinzip der geringsten Privilegien“ gehört haben, bei dem Mitarbeitern und relevanten Stakeholdern die geringsten Zugriffsrechte gewährt werden, die sie zur Ausübung ihrer Rolle benötigen. Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) hat ein ähnliches Prinzip übernommen, das als „HIPAA Minimum Necessary Standard“ bekannt ist und ein integraler Bestandteil der HIPAA-Sicherheitsregel ist.

Der HIPAA-Mindeststandard legt fest, dass alle HIPAA-unterfallenden Unternehmen und Geschäftspartner den Zugriff auf und die Offenlegung aller geschützten Gesundheitsinformationen (PHI) auf das erforderliche Mindestmaß beschränken müssen. Es gibt viele Fälle, in denen ein betroffenes Unternehmen PHI an einen Geschäftspartner weitergibt, der in seinem Namen eine Dienstleistung erbringt. In diesem Szenario muss das betroffene Unternehmen „angemessene Anstrengungen“ unternehmen, um sicherzustellen, dass der Geschäftspartner nur Zugriff auf die Informationen hat, die er für die Erbringung der Dienstleistung benötigt. Beispielsweise benötigt ein Assistenzarzt möglicherweise keinen Zugriff auf die gesamte Krankengeschichte seines Patienten, während ein Arzt möglicherweise keinen Zugriff auf die Sozialversicherungsnummern seines Patienten benötigt. In jedem Fall sollte der Zugriff auf diese Informationen eingeschränkt werden. Der Begriff „angemessener Aufwand“ ist etwas vage, bedeutet aber lediglich, dass das betroffene Unternehmen eine angemessene Begründung für die Weitergabe von PHI liefern muss.

Wann gilt der HIPAA Minimum Necessary Standard?

Der HIPAA-Mindeststandard gilt für die Verwendung und Offenlegung von PHI, die gemäß der HIPAA-Datenschutzrichtlinie zulässig sind. Es gibt jedoch bestimmte Umstände, unter denen dies nicht gilt, beispielsweise wenn ein Gesundheitsdienstleister PHI zum Zwecke der Behandlung eines Patienten anfordert oder wenn ein Patient Zugang zu seinen eigenen Krankenakten beantragt. In einigen Fällen wird der Zugang zu PHI von Regierungsbehörden beantragt. In diesem Szenario ist der HIPAA-Mindeststandard nicht relevant, da das betroffene Unternehmen gesetzlich verpflichtet ist, Zugang zum PHI zu gewähren.

So erfüllen Sie den HIPAA-Mindeststandard

Die zur Einhaltung des HIPAA Minimum Necessary Standard verwendeten Methoden sind weitgehend die gleichen wie bei jeder anderen Datensicherheitsstrategie. Normalerweise beginnen Sie mit der Festlegung einer Reihe von Richtlinien und Verfahren, die festlegen, wie sensible Daten verwendet und offengelegt werden sollen. Anschließend führen Sie einige grundlegende Verwaltungsarbeiten durch, bei denen es darum geht, Daten zu klassifizieren und alle Daten zu entfernen, die nicht mehr relevant sind. Der nächste Schritt wäre die Zuweisung der entsprechenden Zugriffskontrollen gemäß der „Least Privilege“-Methodik. Sowohl die Zugriffskontrollen als auch die geschützten Informationen müssen regelmäßig überwacht werden, um sicherzustellen, dass Sie genau wissen, wer wann Zugriff auf welche Daten hat. Nachfolgend finden Sie eine detailliertere Erläuterung dieser Schritte.

Richtlinien und Verfahren

Sie müssen Richtlinien festlegen, die dokumentieren, wie der Zugriff auf PHI gewährt wird und welches Schema zur Klassifizierung der Daten verwendet wird. Alle relevanten Mitarbeiter müssen geschult werden, um sicherzustellen, dass sie die Richtlinien und Verfahren verstehen und über das entsprechende technische Wissen verfügen, um sie einzuhalten. Das versicherte Unternehmen muss sicherstellen, dass die Richtlinien durchgesetzt werden und dass alle Mitarbeiter sich der Konsequenzen bewusst sind, die sich aus der Nichteinhaltung dieser Richtlinien ergeben.

PHI-Erkennung und -Klassifizierung

Es wäre praktisch unmöglich, den HIPAA Minimum Necessary Standard durchzusetzen, wenn Sie nicht genau wissen, welche PHI Sie haben und wo sie sich befindet. Es gibt Datenklassifizierungstools, die Ihre Repositories automatisch nach ePHI scannen - basierend auf vordefinierten Regeln und Vorlagen.

Ein Datenklassifizierungstool hilft Ihnen, Patientennamen, Sozialversicherungsnummern, biometrische Informationen, Krankenaktennummern usw. zu identifizieren. Die meisten Datenerkennungslösungen unterstützen gängige Dateitypen wie doc, .xls, .ppt, .csv, .zip und viele mehr. Bei einigen anspruchsvolleren Lösungen können PHI auch in Bildern eingebettet sein. Sobald ePHI identifiziert wurde, klassifiziert die Lösung die Daten gemäß dem von Ihnen gewählten Schema.

Eine Datenklassifizierungslösung kann entweder regelmäßig für Ihren gesamten Datensatz oder zum Zeitpunkt der Erstellung/Änderung ausgeführt werden. Natürlich werden nicht alle medizinischen Informationen elektronisch gespeichert. Sie müssen außerdem alle physischen Dokumente, die PHI enthalten, suchen und manuell klassifizieren. Nach dem Prozess der Datenklassifizierung ist es immer eine gute Idee, alle Daten zu entfernen, die ROT (redundant, veraltet oder trivial) sind. Stellen Sie jedoch sicher, dass Sie eine Sicherungskopie dieser Daten aufbewahren, für den Fall, dass Sie versehentlich etwas entfernen, das Sie später benötigen.

Das Prinzip der geringsten Privilegien (PoLP)

Wie am Anfang dieses Artikels erwähnt, werden Benutzern bei PoLP die geringsten Berechtigungen gewährt, die sie zur ordnungsgemäßen Erfüllung ihrer Aufgaben benötigen. Der Hauptzweck von PoLP besteht darin, den Schaden zu minimieren, der entstehen könnte, wenn ein privilegiertes Konto durch einen böswilligen Akteur kompromittiert würde.

Durch die Ermittlung und Klassifizierung Ihrer PHI sind Sie viel besser in der Lage, Ihren Daten die entsprechenden Zugriffskontrollen zuzuweisen.

Es ist zwar möglich, jedem einzelnen Benutzer Zugriffsrechte zuzuweisen, ein besserer Ansatz besteht jedoch darin, Rollen einzurichten und diesen Rollen Zugriffsrechte und Benutzer zuzuweisen - eine Technik, die als Role-Base Access Control (RBAC) bezeichnet wird. Beispielsweise benötigt ein Administrator für medizinische Unterlagen, der für die Pflege von Patientenakten, die Beantwortung von Anfragen, die Abrechnung und die Dateneingabe verantwortlich ist, wahrscheinlich vollständigen Zugriff auf die PHI eines Patienten, während ein medizinischer Forschungswissenschaftler möglicherweise nur Zugriff auf Daten zu klinischen Ergebnissen benötigt . Obwohl möglicherweise Hunderte von Rollen eingerichtet werden müssten, ist RBAC in der Regel immer noch einfacher zu verwalten als andere Methoden der Zugriffskontrolle.

Just-in-Time-Zugriff (JIT).

Angesichts der Unflexibilität von PoLP müssen Sie natürlich über Protokolle verfügen, die festlegen, wie Mitarbeiter Zugriff auf eine bestimmte Ressource anfordern können. Bei der Just-in-Time-Zugriffsmethode (JIT) wird der Zugriff für einen bestimmten Zweck und für einen bestimmten Zeitraum gewährt.

Es gibt keinen Standardansatz für die Implementierung des JIT-Zugriffs. Daher müssen Sie entscheiden, ob Sie dies manuell tun möchten - möglicherweise durch die Erstellung einer Tabelle, die den temporären Zugriff protokolliert, oder durch die Verwendung einer automatisierten Lösung, die den Zugriff auf eine Ressource widerruft nach einem vorgegebenen Zeitrahmen.

Ein gängiger Ansatz besteht darin, spontan ein dediziertes Benutzerkonto zu erstellen, das nur Zugriff auf die angeforderte Ressource hat, und dann einfach zu entfernen/deaktivieren, wenn es nicht mehr benötigt wird. Die meisten Echtzeit-Überwachungslösungen können inaktive Benutzerkonten automatisch erkennen und verwalten. Dies stellt ein Sicherheitsnetz dar, bei dem Sie vergessen, das Konto zu entfernen, wenn es nicht mehr relevant ist.

Überwachung des Zugriffs auf PHI

Obwohl die Einrichtung von Zugriffskontrollen zum Schutz personenbezogener Daten vor unbefugter Nutzung und Offenlegung ein guter Ausgangspunkt ist, müssen diese Kontrollen (und die personenbezogenen Daten selbst) regelmäßig überprüft und ständig auf verdächtige Aktivitäten überwacht werden.

Sie sollten eine Sicherheitslösung einführen, die eine Zusammenfassung aller an Ihrem ePHI vorgenommenen Änderungen über eine zentrale Konsole anzeigt. Einige Sicherheitslösungen verwenden Techniken des maschinellen Lernens, um typische Verhaltensmuster zu erlernen, anhand derer getestet werden kann, um potenziell anomale Aktivitäten zu erkennen. Der Administrator wird benachrichtigt, wenn Ereignisse erkannt werden, die von diesen Mustern abweichen, und kann so eine zeitnahe Untersuchung des Vorfalls einleiten.

Natürlich kann es schwierig sein zu bestimmen, wer wann Zugriff auf welche Daten haben soll. Durch die Überwachung der mit bestimmten Rollen verbundenen Trends können Sie jedoch leicht feststellen, wer normalerweise Zugriff auf welche Daten hat, und so Ihre Zugriffskontrollen entsprechend verfeinern. Wenn beispielsweise eine bestimmte Gruppe Zugriff auf Rechnungsinformationen hat, aber nie tatsächlich auf diese Informationen zugreift, wäre dies ein klares Zeichen dafür, dass Sie dieser Gruppe den Zugriff auf Rechnungsinformationen entziehen und stattdessen Zugriff gewähren sollten, wenn eine Anfrage gestellt wird.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen dabei helfen kann, mehr Transparenz über Ihre PHI zu erlangen und die HIPAA-Konformität einzuhalten, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.