7 Dinge, die IT-Profis über HIPAA und den Schutz von Patientendaten wissen sollten
Der Schutz der Privatsphäre von Patienten und die Sicherung sensibler Daten im Rahmen des HIPAA (Health Insurance Portability and Accountability Act) sind immer schwieriger geworden, da Umfang und Dauer von Cyberangriffen in den letzten Jahren zugenommen haben. Gesundheitseinrichtungen verfügen oft über riesige Datenbanken mit sensiblen Informationen wie Zugangsdaten und Kreditkartendaten, die Cyberkriminelle zu Geld machen und im Dark Web verkaufen wollen. Bedrohungsakteure nutzen hochentwickelte Bedrohungen wie Zero-Day-Angriffe, um Gesundheitsorganisationen ins Visier zu nehmen, und nutzen Ransomware wie Emotet und Locky, um andere Systeme zu verbreiten und zu infizieren. HIPAA legt Anforderungen fest, die Gesundheitsorganisationen und ihre Lieferkettenpartner in Bereichen wie Risikomanagement, Umgang und Untersuchung von Sicherheitsvorfällen, Protokollüberwachung, Verschlüsselung und Schulung zum Sicherheitsbewusstsein befolgen müssen. Diese ständig zunehmenden HIPAA-Vorschriften stellen Gesundheitsdienstleister, Krankenversicherungen und Clearingstellen im Gesundheitswesen vor Herausforderungen, um auf dem neuesten Stand zu bleiben und die Gesundheitsvorgaben einzuhalten.
Überlegungen zur HIPAA-Konformität
Die über 700.000 Gesundheitsdienstleister und Kostenträgerorganisationen in den Vereinigten Staaten sind mit einer Vielzahl von Compliance- und Sicherheitsvorschriften konfrontiert, die ein großes Angriffsziel für Bedrohungsakteure darstellen. Für IT-Experten ist es von entscheidender Bedeutung, die folgenden Compliance-Fakten und Sicherheitskriterien zu verstehen, wenn sie Gesundheitsorganisationen planen oder bereits unterstützen, die unter die Datenschutz- und Cybersicherheitsaspekte von HIPAA fallen:
Verstehen Sie die Definition von PHI
Strafen werden für die Weitergabe geschützter Gesundheitsinformationen (Protected Health Information, PHI) verhängt. PHI/ePHI umfasst alle Informationen, die eine Person identifizieren und sich auf mindestens einen der folgenden Punkte beziehen:- Die vergangene, gegenwärtige oder zukünftige körperliche oder geistige Gesundheit des Einzelnen
- Die Bereitstellung von Gesundheitsversorgung für den Einzelnen
- Die vergangenen, gegenwärtigen und zukünftigen Zahlungen für die Gesundheitsversorgung
- Sicherheit ist jedermanns Aufgabe
Jeder im gesamten Gesundheitsökosystem ist für den Schutz von PHI/ePHI verantwortlich, von Mitarbeitern über Führungskräfte und Kliniker bis hin zu Lieferkettenpartnern. Organisationen im Gesundheitsökosystem wie Anwälte, Datendienstanbieter, Abrechnungsagenten und Managed Security Service Providers (MSSPs) sind ebenfalls für die Wahrung der Privatsphäre und Sicherheit im Gesundheitswesen verantwortlich. Diese Partner in der Lieferkette im Gesundheitswesen haben möglicherweise Zugriff auf vertrauliche Gesundheitsinformationen. HIPAA regelt Datenlecks, ob absichtlich oder unabsichtlich. Durch Sicherheitsbewusstseinsschulungen können Mitarbeiter und Führungskräfte gleichermaßen über die Bedeutung der Datensicherheit und die sich ständig ändernden Cybersicherheitsbedrohungen aufgeklärt werden. Darüber hinaus besteht eine bewährte HIPAA-Praxis für Geschäftspartner darin, den Zugriff auf PHI-Daten nur auf Personen zu beschränken, die ein bestimmtes „Kenntnisbedürfnis“ haben, um die Angriffsfläche und die Verbreitung sensibler Gesundheits- und Patienteninformationen zu verringern. - Insider-Bedrohungen stellen ein großes Risiko dar
Das Gesundheitswesen ist die einzige Branche, in der Insider-Bedrohungen die externen Bedrohungen übertreffen, so der Verizon Data Breach Investigations Report 2019. Eine Insider-Bedrohung ist ein organisatorisches Risiko, das von Mitarbeitern, ehemalige Mitarbeiter, Auftragnehmer und Lieferkettenpartner. Da Insider oft Zugang zu sensiblen Daten haben, direkte Kenntnisse über Computersysteme haben und wissen, wo möglicherweise Sicherheitslücken bestehen, gelten diese Insider-Bedrohungen als die am schwierigsten zu erkennen und einzudämmen. Eine SIEM-Lösung (Security Information and Event Management), die User and Entity Behavior Analytics (UEBA) umfasst, ermöglicht die Erkennung anomalem Verhalten gegen diese heimtückischen Insider-Bedrohungen. - Ein SIEM kann die HIPAA-Compliance vereinfachen
HIPAA-Compliance muss nicht schwierig und zeitaufwändig sein. Systemprotokolle liefern Hinweise auf anomale Ereignisse, werden jedoch mit Millionen anderer Routineüberwachungsprotokolle vermischt. Eine SIEM-Lösung zentralisiert die Erfassung, Echtzeitanalyse und Speicherung von Protokollen, die komplexe Bedrohungen erkennen und lokalisieren können. Große und kleine IT-Organisationen können SIEM-Software oder sogar eine verwaltete SIEM-Lösung hinzufügen, um das Compliance-Reporting zu verbessern und sich besser auf ein Audit vorzubereiten. EventTracker SIEM ist ein erstklassiges SIEM, das vordefinierte Berichte für Compliance-Frameworks einschließlich HIPAA und viele andere Frameworks enthält. Darüber hinaus hat sich das Fehlen der SIEM-Technologie regelmäßig als eklatante Schwäche bei Datenschutzverletzungen post mortem herausgestellt. - Die Kosten einer Nichteinhaltung können beträchtlich sein
Im Jahr 2018 verhängte das Office for Civil Rights (OCR) des US-Gesundheitsministeriums (HHS) 11 Strafen für die Nichteinhaltung des HIPPA insgesamt über 23 Millionen US-Dollar. Sie bewerteten Bußgelder sowohl für Datenschutzverletzungen als auch für das Fehlen erforderlicher Geschäftsvereinbarungen (Business Agreements, BAs) mit Lieferkettenpartnern. Die durchschnittliche Strafe belief sich auf 500.000 US-Dollar, was für einen kleinen und mittleren Gesundheitsdienstleister oder verbundene Unternehmen eine enorme Summe ist. Zu den weiteren Auswirkungen zählen neben den finanziellen Strafen auch ein Verlust der internen Produktivität, negative Publizität und ein Rückgang der Patiententreue. Das OCR nutzt diese Strafen, um der gesamten Gesundheitsgemeinschaft zu signalisieren, dass Lücken in den Gesundheitsdaten und im Datenschutz in der Regel vermeidbar sind. - HIPAA-Compliance erfordert Menschen, Prozesse und Technologie
Der erste Schritt bei der HIPAA-Compliance besteht darin, die einzigartigen Risiken einer Organisation zu verstehen und zu verstehen, wie diese Risiken ausgenutzt und behoben werden können. Es ist ein ganzheitlicher Ansatz erforderlich um die spezifischen Bedrohungen für die Gesundheitsbranche einzuschätzen. Neben Sicherheitstechnologie sind menschliches Fachwissen und Prozesse von entscheidender Bedeutung, um Netzwerksysteme zu überwachen und verwertbare Informationen zu Routineereignissen und verdächtigen Aktivitäten zu erstellen, die einer weiteren Untersuchung wert sind. Vielen Gesundheitsorganisationen mangelt es an IT- und Sicherheitspersonal und Fachwissen, um Datenschutzverletzungen in der Branche zu erkennen und zu stoppen. EventTracker SIEMphonic ist beispielsweise eine gemeinsam verwaltete Sicherheitslösung, die von einem ISO-zertifizierten 24/7 Security Operations Center (SOC) unterstützt wird und alle kritischen Sicherheitsfunktionen bereitstellt und orchestriert, die zur Vorhersage, Verhinderung, Erkennung und Reaktion auf Sicherheitsvorfälle erforderlich sind. Compliance ist der Ausgangspunkt
Obwohl HIPAA-Compliance kompliziert sein kann und Zeit und Planung für die Umsetzung erfordert, bleibt sie Ihr Ausgangspunkt. So wie sich die Bedrohungsakteure weiterentwickeln, müssen sich auch die Cybersicherheits- und Datenschutzpraktiken weiter anpassen und verbessern. Moderne Bedrohungen erfordern moderne Technologien und Praktiken zur Bedrohungsabwehr. Sowohl IT- als auch Sicherheitsexperten müssen über aktuelle und in Betracht gezogene Compliance-Anforderungen und Verbesserungen informiert und informiert bleiben, wie etwa die möglichen HIPAA-Änderungen, die das US-Gesundheits- und Sozialministerium (HHS) für 2019 angekündigt hat und deren Umsetzung für 2020 geplant ist.Defend Against Healthcare Bedrohungen
EventTracker SIEM bietet Lösungen, die sowohl Gesundheitsdienstleistern als auch Kostenträgern helfen, die Sicherheit zu verbessern, die Compliance zu vereinfachen und sensible Patientendaten zu schützen. Stellen Sie sicher, dass Ihr Unternehmen über die Mitarbeiter, Prozesse und Technologien verfügt, um angesichts der ständig wachsenden Bedrohungen im Gesundheitswesen wachsam zu bleiben.
Holen Sie sich Ihr Exemplar von „Ein umfassender Leitfaden zur verwalteten IT-Sicherheit für Gesundheitsorganisationen“. ”
Die Offenlegung von PHI/ePHI aufgrund von Fahrlässigkeit oder vorsätzlicher Fahrlässigkeit stellt einen Verstoß gegen die HIPAA-Compliance-Vorschriften dar.