Health-IT kann Bildgebung nicht in die Cloud verlagern. So bleiben On-Premises-Systeme konform.

Warum einige Systeme nicht vorankommen

Jedes Gesundheitssystem schaut sich gerade die Cloud an. Speicher kostet weniger, Skalierung ist einfacher, und Anbieter fragen ständig, warum die elektronische Patientenakte (EMR) noch nicht da ist. Aber gehen Sie in jede Radiologieabteilung und die Antwort ist offensichtlich: Diese Bilddateien sind riesig, und Kliniker brauchen sie schnell. Die meisten Krankenhäuser betreiben bereits einen lokalen Cache an jedem Standort, nur um die Latenz bei der Bildgebung zu reduzieren. Diese Arbeitslast wird nicht verschwinden.

Das EMR ist eine schwierigere Entscheidung. Einige Organisationen haben es in die Cloud migriert. Viele nicht, weil die Integrationen, die darum herum aufgebaut sind (Laborsysteme, Apotheke, Terminplanung, Geräteinterfaces), auf niedrige Latenz angewiesen sind, die ein cloudbasiertes EMR nicht immer garantieren kann, wenn Daten in Echtzeit hin- und hergesendet werden müssen. Entfernt man eine Integration, riskiert man, dass ein Kliniker während einer Live-Patientenbegegnung auf einen Ladeindikator starrt.

Und solange die Kern-Kliniksysteme vor Ort bleiben, bleibt auch Active Directory. Es ist die Identitätsschicht, gegen die sich alles andere authentifiziert. Es vor dem Rest der Umgebung zu verschieben, fügt nur Risiken hinzu, ohne welche zu entfernen.

Vor Ort zu bleiben bedeutet auch, dass Stillstand keine Option ist. Es gibt keinen Cloud-Anbieter, der im Hintergrund stillschweigend das Betriebssystem patcht oder die Konfiguration härtet . Wenn ein Krankenhaus ein System intern betreibt, bleibt der gesamte Lebenszyklus, um dieses System aktuell und sicher zu halten, ebenfalls intern, und der Nachweis, dass dies tatsächlich geschieht, wird zur Aufgabe der Organisation, nicht des Anbieters.

Die praktische Realität für viele Health-IT-Teams: Die Cloud-Migration ist real, aber teilweise. Radiologieserver, EMR-Integrationspunkte und AD bleiben in absehbarer Zukunft vor Ort. Und diese Systeme müssen weiterhin die gleichen Compliance-Anforderungen erfüllen wie alle anderen.

Was HIPAA erwartet, wenn etwas schiefgeht

Die HIPAA-Benachrichtigungsregel für Datenschutzverletzungen geht standardmäßig vom Schlimmsten aus. Wenn geschützte Gesundheitsinformationen auf eine Weise verwendet oder offengelegt werden, die HIPAA nicht erlaubt, geht das Gesetz davon aus, dass es sich um eine Verletzung handelt, es sei denn, die Organisation kann eine Risikobewertung vorlegen, die eine geringe Wahrscheinlichkeit dafür zeigt, dass die PHI tatsächlich kompromittiert wurde. Diese Bewertung muss Faktoren berücksichtigen wie die Art der betroffenen PHI, wer darauf zugegriffen hat, ob sie tatsächlich eingesehen oder erworben wurde und ob das Risiko gemindert wurde.

Sobald eine Verletzung bestätigt ist, beginnt die Frist. Betroffene Personen müssen unverzüglich und spätestens 60 Tage nach Entdeckung benachrichtigt werden. Verletzungen, die 500 oder mehr Personen betreffen, erfordern außerdem eine Benachrichtigung an das HHS innerhalb von 60 Tagen sowie in einigen Fällen eine Medienbenachrichtigung. Kleinere Verletzungen werden in einen Jahresbericht an das HHS aufgenommen.

Hier ist der wichtigste Teil für einen On-Prem-Radiologieserver oder eine EMR-Integrationsbox: Die Organisation muss in der Lage sein, zu rekonstruieren, was passiert ist. Wer die Datei berührt hat. Wann. Ob die Änderung erwartet wurde. Ohne das lautet die Risikobewertung standardmäßig „wir wissen es nicht“, und „wir wissen es nicht“ führt standardmäßig zu einer meldepflichtigen Verletzung.

Protokolle allein halten einer Prüfung nicht stand

On-Premise-Systeme ändern sich ständig: Patches, Konfigurationsänderungen, neue Konten, ein Techniker eines Anbieters, der sich um 2 Uhr morgens in eine PACS-Schnittstelle einwählt, um eine Druckwarteschlange zu reparieren. Das meiste davon ist in Ordnung. Ein Teil davon ist überhaupt nicht autorisiert, und native Betriebssystemprotokolle sagen Ihnen nicht, welches welches ist. Sie zeigen an, dass sich ein Registrierungsschlüssel geändert hat. Sie sagen nicht, ob diese Änderung mit einem genehmigten Ticket übereinstimmte oder von jemandem stammte, der keinen Zugriff haben sollte.

Wenn OCR oder ein Prüfer also fragt, ob im letzten Quartal ein bestimmter EMR-Schnittstellenserver berührt wurde, lautet die ehrliche Antwort für viele Teams: „Wir müssten nachsehen.“ Das ist kein guter Ort, an dem man stehen sollte, wenn die Uhr für die Feststellung eines Verstoßes bereits läuft.

Auditnachweise erstellen, ohne die Mitarbeiterzahl zu erhöhen

Netwrix Change Tracker bietet der Gesundheits-IT eine Möglichkeit, die Integrität von Systemen zu gewährleisten, die vor Ort bleiben müssen, einschließlich der Radiologieserver, EMR-Integrationspunkte und der Active Directory-Infrastruktur, die nicht weggehen.

Es erstellt eine bekannte, zuverlässige Basislinie für diese Systeme und überwacht dann in Echtzeit die Dateiintegrität und den Konfigurationsstatus auf Windows-, Linux- und Netzwerkgeräten dazwischen. Wenn sich etwas ändert, sei es ein Registrierungsschlüssel, eine Konfigurationsdatei oder ein lokales Konto, überprüft Change Tracker dies gegen genehmigte geplante Änderungen. Wenn es mit einem genehmigten Änderungsfenster übereinstimmt, wird es als erwartete Aktivität abgelegt. Wenn nicht, wird es sofort markiert, und die IT erfährt es innerhalb von Minuten, anstatt es während einer Prüfung oder einer Vorfallbewertung zu entdecken.

Das bedeutet, dass aus „wir müssten nachsehen“ ein „hier ist es“ wird. Der Datensatz zeigt bereits, was sich geändert hat, wann und ob es autorisiert war, und das ist der Großteil der Arbeit hinter einer verteidigungsfähigen Vier-Faktoren-Risikoanalyse.

Change Tracker wird auch mit mehr als 250 vorgefertigten Compliance-Berichten geliefert, die auf Frameworks wie HIPAA, NIST und PCI DSS, geliefert, sodass der Nachweis, dass die Kontrolle vorhanden war, nicht bedeutet, bei jedem Audit-Zyklus einen Bericht von Grund auf neu zu erstellen. Die Beweise sind bereits so strukturiert, wie ein Prüfer sie erwartet.

Das Gespräch über Cloud im Gesundheits-IT-Bereich ist noch nicht beendet und sollte es auch nicht sein. Aber die Systeme, die vor Ort bleiben, müssen weiterhin nachweisen, dass sie unter Kontrolle sind. Change Tracker bietet IT- und Compliance-Teams eine Möglichkeit, dies zu tun, ohne auf den Rest der Infrastruktur warten zu müssen.