Beliebteste HIPAA-konforme Cloud-Speicherdienste

Cloud-Computing bietet unbestreitbare Vorteile für die Speicherung und den Zugriff auf elektronische Gesundheitsakten. In der Cloud gespeicherte Dateien sind jederzeit und überall von jedem Gerät aus zugänglich, was das Teilen kritischer medizinischer Informationen zwischen Gesundheitsarbeitern erleichtert. Aber ist die Cloud-Speicherung sicher genug, um sensible persönliche und medizinische Informationen zu speichern, darauf zuzugreifen und sie zu übertragen?

Für Kliniken, Krankenhäuser und andere Gesundheitsorganisationen ist es nicht nur eine ethische, sondern auch eine rechtliche Verpflichtung, die Privatsphäre der medizinischen Informationen ihrer Patienten zu gewährleisten. Der Health Insurance Portability and Accountability Act (HIPAA) stellt klare Regeln für die Speicherung und Weitergabe medizinischer Daten bereit. Jede Organisation, die Gesundheitsakten bearbeitet, muss die Vorschriften einhalten.

Daher müssen Gesundheitsorganisationen, bevor sie gesundheitsbezogene Daten in Cloud-Speicher verschieben, sicherstellen, dass die Software, die sie zu verwenden planen, HIPAA compliant ist.

Der Artikel behandelt HIPAA-konforme Speicherlösungen und erklärt Ihre Verantwortung, um Ihren Cloud-Speicher konform zu gestalten:

• Was ist HIPAA?
• HIPAA-Compliance und Cloud-Speicherung
• Die beliebtesten Cloud-Speicherdienste, die HIPAA und HITECH unterstützen
• Wesentliche Sicherheitsfunktionen für die HIPAA-Konformität
• Wichtigste Erkenntnisse
• FAQ

Was ist HIPAA?

HIPAA ist ein Regelwerk, das die zulässigen Verwendungen und Offenlegungen von Gesundheits- und medizinischen Informationen festlegt. Es legt Beschränkungen fest, wer auf Gesundheitsinformationen zugreifen darf und wann, und setzt auch Standards zum Schutz von Gesundheitsdaten vor Personen, die kein Recht haben, diese einzusehen.

Die wesentlichen Bestimmungen von HIPAA umfassen:

• HIPAA-Datenschutzregeln — Regeln, wie die Gesundheitsinformationen einer Person offengelegt oder verwendet werden dürfen
• HIPAA-Sicherheitsregeln — Legen Sie Standards zum Schutz und zur Sicherung elektronisch erstellter, verarbeiteter, abgerufener oder gespeicherter Gesundheitsinformationen fest
• Die HIPAA Breach Notification Rule — Verpflichtet Organisationen dazu, Personen zu benachrichtigen, deren persönliche Gesundheitsinformationen offengelegt wurden und regelt den Benachrichtigungsprozess
• Die HIPAA Omnibus-Regel — präzisiert Definitionen, Verfahren und Richtlinien; bietet eine Checkliste für Geschäftspartner; und setzt die Anforderungen des Health Education Technology for Economic and Clinical Health (HITECH) Act um
• Die HIPAA Enforcement Rule — Regelt Untersuchungen nach einem Datenleck und legt die Strafen für die verantwortliche Partei fest

Gesundheitseinrichtungen müssen spezifische Schutzmaßnahmen, Verfahren und Richtlinien entwickeln, um diesen Vorschriften zu entsprechen.

Geschützte Informationstypen

HIPAA fordert den Schutz von „individuell identifizierbaren Gesundheitsinformationen,“ die wie folgt definiert sind: Informationen über:

• Die vergangene, gegenwärtige oder zukünftige physische oder psychische Gesundheit einer Person
• Die Bereitstellung von Gesundheitsversorgung für den Einzelnen
• Vergangene, gegenwärtige oder zukünftige Bezahlung für die Bereitstellung von Gesundheitsversorgung an die Person
• Die Identität der Person oder Daten, von denen vernünftigerweise angenommen werden kann, dass sie zur Identifizierung der Person verwendet werden könnten

Arten von Sicherheitsmaßnahmen

Die HIPAA-Sicherheitsregel umfasst drei Arten von Schutzmaßnahmen für geschützte Gesundheitsinformationen:

• Physische Schutzmaßnahmen — HIPAA fordert die Entwicklung von Richtlinien für die Nutzung und Platzierung von Arbeitsstationen und Verfahren für den Einsatz mobiler Geräte sowie die Implementierung von Zugangskontrollen für Einrichtungen, sofern zutreffend.
• Technische Schutzmaßnahmen — HIPAA fordert die Implementierung von Aktivitätsprotokollen und Kontrollen sowie ein Mittel zur Zugangskontrolle. Die Einhaltung kann Mechanismen zur Authentifizierung von Informationen und Werkzeuge zur Verschlüsselung erfordern.
• Administrative Schutzmaßnahmen — HIPAA fordert die Durchführung von Risikobewertungen, die Implementierung von Risikomanagementrichtlinien, die Entwicklung eines Notfallplans und die Einschränkung des Zugangs Dritter zu Informationen.

HIPAA Key Terms

Hier sind die wichtigsten Begriffe, die in HIPAA verwendet werden:

• PHI: Geschützte Gesundheitsinformationen
• ePHI: Geschützte Gesundheitsinformationen, die elektronisch gespeichert oder übermittelt werden
• Gedeckte Einheit — Ein Gesundheitsdienstleister, ein Gesundheitsplananbieter (wie eine Versicherung oder ein Arbeitgeber) oder eine Gesundheitsdatenverarbeitungsstelle
• Geschäftspartner — Eine Person oder ein Unternehmen, das einen Dienst erbringt oder eine bestimmte Funktion oder Tätigkeit für eine abgedeckte Entität ausführt
• Vereinbarung über Geschäftspartner — Ein rechtlicher Vertrag, der festlegt, auf welche PHI der Geschäftspartner zugreifen darf, wie die PHI verwendet werden soll und die Anforderungen für die Rückgabe oder Vernichtung der PHI, sobald die Aufgabe, für die sie benötigt wird, abgeschlossen ist. Eine abgedeckte Einheit muss eine Vereinbarung über Geschäftspartner einholen, bevor sie einem Geschäftspartner den Zugriff erlaubt

HIPAA-Compliance und Cloud-Speicherung

Kein Cloud-Server ist direkt ab Werk HIPAA-konform, aber es gibt Methoden, mit denen IT-Experten eingreifen und die Cloud den Anforderungen der betroffenen Einheiten entsprechend konform machen können.

Organisationen sollten bedenken, dass es keine offizielle HIPAA- oder HITECH-Zertifizierung gibt und keine Regierungs- oder Industrieinstanz HIPAA compliance für Cloud-Dienste zertifiziert. Das bedeutet, dass es in der Verantwortung der abgedeckten Einheit und des Cloud-Dienstanbieters liegt, die Einhaltung der gesetzlichen Anforderungen zu gewährleisten. Der Cloud-Dienst muss die HIPAA-Vorschriften überprüfen und möglicherweise seine Produkte, Richtlinien und Verfahren aktualisieren, um die HIPAA-Compliance-Ziele einer abgedeckten Einheit zu unterstützen.

Wie ist die HIPAA auf Cloud-Speicher anwendbar?

Wenn eine gedeckte Einrichtung PHI (geschützte Gesundheitsinformationen) in der Cloud speichert, gilt der Cloud-Speicherdienst gesetzlich als Geschäftspartner (Business Associate) der gedeckten Einrichtung. Um HIPAA-konform zu sein, muss daher eine Business Associate Agreement (BAA) vorliegen. Diese Vereinbarung muss festlegen, dass der Cloud-Dienstanbieter Folgendes tun muss:

• Sichern Sie die in die Cloud übertragenen Daten
• Speichern Sie die Daten sicher
• Stellen Sie ein System bereit, das eine sorgfältige Kontrolle des Datenzugriffs ermöglicht
• Protokollieren Sie alle Aktivitäten, einschließlich erfolgreicher und fehlgeschlagener Zugriffsversuche

Ein HIPAA-konformer Cloud-Speicher umfasst alle erforderlichen Kontrollen, um die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI zu gewährleisten. Die abgedeckte Einheit ist verantwortlich für die Entwicklung von Richtlinien und Verfahren, die die Verwendung von HIPAA-sicherem Cloud-Speicher für diese Informationen abdecken.

Welche Cloud-Dienste gelten nicht als HIPAA-konform?

Einige Cloud-Dienste können aus verschiedenen Gründen nicht HIPAA-konform gemacht werden. Apple und iCloud, zum Beispiel, können nicht HIPAA-konform sein, da sie keine BAA für abgedeckte Einheiten anbieten.

Andere Dienste bieten keine wesentlichen integrierten Sicherheitsfunktionen, wie Data Classification, und können daher nicht zur Speicherung von ePHI verwendet werden.

Warum ist die Datenklassifizierung unerlässlich?

Netwrix Data Classification ist erforderlich, um ePHI zu inventarisieren und nach Sensibilitätsstufe zu gruppieren, damit die Organisation die Vertraulichkeit, Integrität und Verfügbarkeit gemäß der HIPAA-Sicherheitsregel gewährleisten kann. Durch die Unterscheidung zwischen regulierten und nicht regulierten Daten ermöglicht die Klassifizierung Organisationen Folgendes:

• Priorisieren Sie Sicherheitskontrollen
• Schützen Sie kritische Vermögenswerte
• Verbessern risk management indem er dabei hilft, den Wert der Daten sowie die Auswirkungen von Datenverlust, Missbrauch oder einer Kompromittierung zu bewerten
• Vereinfachen Sie die rechtliche Ermittlung
• Steigern Sie die Produktivität der Benutzer

Daten, die durch HIPAA geschützt sind, folgen typischerweise einem dreistufigen Datenklassifizierungsschema:

• Eingeschränkte oder vertrauliche Daten— Informationen, deren Offenlegung, Veränderung oder Zerstörung erheblichen Schaden verursachen könnte. Diese Daten erfordern das höchste Sicherheitsniveau mit kontrolliertem Zugriff gemäß dem Prinzip der geringsten Berechtigung.
• Interne Daten — Informationen, deren Offenlegung, Veränderung oder Zerstörung moderaten oder geringfügigen Schaden verursachen kann. Diese Daten werden nicht an die Öffentlichkeit weitergegeben und erfordern angemessene security controls.
• Öffentliche Daten — Öffentliche Daten benötigen keinen Schutz vor unbefugtem Zugriff, erfordern jedoch Schutz vor unbefugter Veränderung oder Zerstörung.

Wie wirkt sich die HIPAA-Datenschutzregel auf Cloud-Dienste aus?

Die HIPAA-Datenschutzregel verlangt von abgedeckten Einrichtungen und Geschäftspartnern, die Integrität von ePHI sicherzustellen und es vor unbefugter Zerstörung oder Veränderung zu schützen. Organisationen müssen identifizieren, wo ePHI gespeichert, empfangen, aufrechterhalten und übertragen wird. Diese Aufgabe erfordert besondere Sorgfalt im Falle von Cloud-Speicherdiensten.

Die sicherste Option bei der Verwendung von Cloud-Speicher für ePHI ist die Nutzung eines Dienstes, der bekanntermaßen mit den HIPAA- und HITECH-Anforderungen kompatibel ist.

Die beliebtesten Cloud-Speicherdienste, die HIPAA und HITECH unterstützen

Es gibt eine Reihe beliebter Cloud-Speicherdienste, die HIPAA und den HITECH Act unterstützen.

Beachten Sie, dass nicht alle Versionen dieser Dienste konform sein werden – in der Regel unterstützt nur eine bestimmte Version oder Lizenz den HIPAA-konformen Gebrauch. Alle folgenden Plattformen haben jedoch mindestens eine Version mit den entsprechenden Sicherheitsfunktionen, um konform gemacht zu werden, und alle sind bereit, eine Business Associate Agreement zu unterzeichnen.

1. Dropbox Business

Dropbox Business bietet eine BAA für abgedeckte Einheiten und kann so konfiguriert werden, dass es HIPAA-konformen Cloud-Speicher bietet. Der Dienst stellt eine Vielzahl von administrativen Kontrollen zur Verfügung, einschließlich der Überprüfung des Benutzerzugriffs und Benutzeraktivitätsberichte. Es ermöglicht auch die Überprüfung und Entfernung verbundener Geräte und aktiviert die Zwei-Schritt-Authentifizierung für zusätzliche Sicherheit.

2. G Suite und Google Drive

Google bietet ein BAA als Zusatz zum Standard-G-Suite-Vertrag an. Obwohl nicht alle G-Suite-Produkte HIPAA-konform gemacht werden können, erfüllen mehrere nützliche Google-Apps die gesetzlichen Anforderungen für die Speicherung und gemeinsame Nutzung von ePHI.

Google Drive und zugehörige Anwendungen wie Docs, Sheets, Slide und Forms können alle für HIPAA-Konformität konfiguriert werden, ebenso wie Dienste wie Gmail und Calendar. Google Contacts sowie nicht zentrale Google-Seiten wie YouTube und Blogger können jedoch nicht HIPAA-konform gemacht werden und dürfen daher nicht in einem BAA enthalten sein.

3. Microsoft OneDrive und E5

Die Online Service Terms von Microsoft bieten automatisch eine Business Associate Agreement. Die Vereinbarung ist verfügbar für OneDrive for Business, Azure, Azure Government, Cloud App Security und Office 365, unter anderem. Zu den abgedeckten Diensten gehören E-Mail, Dateispeicherung und Kalender. Microsoft bietet auch data loss prevention Tools an.

Microsofts Enterprise E5-Lizenz bietet die umfangreichsten Sicherheitsfunktionen, die das Unternehmen anbietet. Das Paket beinhaltet auch erweitertes Sicherheitsmanagement zur Risikobewertung.

4. Box Enterprise und Elite

Box Enterprise- und Elite-Konten beinhalten Überwachung des Zugriffs, Berichterstattung und Audit-Trails für Benutzer und Inhalte. Der Dienst bietet auch granulare Berechtigungen oder Autorisierungen. Box kann Daten sicher über ein direktes Nachrichtenprotokoll teilen und ermöglicht das sichere Betrachten von DICOM-Dateien, einschließlich Röntgenaufnahmen, CT-Scans und Ultraschallbilder.

Wesentliche Sicherheitsfunktionen für die HIPAA-Konformität

HIPAA erfordert eine Reihe von Sicherheitsfunktionen von Diensten, die mit abgedeckten Einheiten arbeiten. Die erwähnten Cloud-Speicherdienste ermöglichen eine Kombination der folgenden Sicherheitskonfigurationen:

• Eine HIPAA-konforme Cloud-Speicherlösung muss Zwei-Faktor-Authentifizierung oder Single Sign-On sowie Verschlüsselung der übertragenen ePHI bieten.
• Alle Geräte, die zum Zugriff auf oder zum Senden von ePHI verwendet werden, müssen in der Lage sein, encrypt Nachrichten zu verschlüsseln, die außerhalb der Firewall gesendet werden, und decrypt die empfangenen Nachrichten zu entschlüsseln. Alle Verschlüsselungen müssen den NIST-Standards entsprechen.
• Konfiguration von Dateifreigabeberechtigungen ermöglicht es abgedeckten Einheiten, ein berechtigungsbasiertes System zu implementieren, das den Zugriff unberechtigter Benutzer einschränkt. Die Kontrollen müssen korrekt konfiguriert sein, um wirksam zu sein, einschließlich Zwei-Faktor-Authentifizierung, sichere Passwörter und sichere Dateifreigabeverfahren um Daten vor unbefugtem Zugriff zu schützen.
• Die Überwachung der Kontenaktivität erfordert, dass Sie regelmäßig Zugriffsprotokolle überprüfen, um unangemessene Aktivitäten rechtzeitig erkennen zu können. Lösungen wie Netwrix Auditor helfen Ihnen, Einblicke in Geschäftsaktivitäten in der Cloud zu gewinnen. Netwrix Auditor berichtet sowohl über Zugriffsereignisse als auch über Änderungen, einschließlich Änderungen an Inhalten, Sicherheitseinstellungen und Postfacheinstellungen.
• Die Klassifizierung von Daten ist wesentlich für die Gruppierung und den Schutz von Informationen basierend auf dem Sensibilitätsgrad. Netwrix Data Classification bietet vordefinierte Taxonomien, die einfach anzupassen sind, klassifiziert Daten präzise und automatisiert kritische Workflows zur Verbesserung der Data Security.
• Ein Cloud-Speicher kann nicht HIPAA-konform gemacht werden, es sei denn, Sie konfigurieren die Sicherheitskontrollen ordnungsgemäß und überwachen die Aktivitäten rund um die im System gespeicherten Daten. Um sicherzustellen, dass der Cloud-Speicherdienst Ihrer Organisation konform bleibt, sollten Sie regelmäßig perform risk assessments und strenge Cybersicherheitsrichtlinien und -verfahren entwickeln.

Wichtigste Erkenntnisse

Die Verwendung eines vertrauenswürdigen Cloud-Anbieters ist entscheidend, garantiert jedoch nicht zwangsläufig konformen Cloud-Speicher. Selbst wenn ein Cloud-Dienst eine Business Associate Agreement unterzeichnet und administrative Sicherheitskontrollen, Verschlüsselung und andere security tools anbietet, bedeutet das nicht automatisch, dass Ihre Organisation HIPAA-konform ist.

Um sicherzustellen, dass Ihre Cloud-Speicherdienste HIPAA-konform sind, stellen Sie sicher, dass Sie folgendes tun:

• Konfigurieren Sie die Einstellungen ordnungsgemäß
• Überprüfen Sie den Zugriff von Drittanbieter-Apps auf die Cloud
• Verwenden Sie spezialisierte Werkzeuge für Protokollaudits, um Dateisicherheit und Datenschutz zu gewährleisten

Gesundheitsorganisationen und Patienten verlassen sich gleichermaßen auf starke Cybersicherheitsprotokolle, um ePHI vor Beschädigung, Zerstörung, Veränderung und unbefugtem Zugriff zu schützen. Die Verwendung eines dieser Dienste kann dabei helfen, Ihre Daten sicher zu halten und Ihre Gesundheitsorganisation im Einklang mit dem Gesetz.

FAQ

Welche Sicherheitsfunktionen machen Cloud-Speicher HIPAA-konform?

HIPAA-konforme Cloud-Speicherdienste bieten alle:

• Data Classification
• Berechtigungseinschränkungen für Zugriff und Dateifreigabe
• Verschlüsselung und Entschlüsselung von Daten
• Zwei-Faktor-Authentifizierung oder Single Sign-On
• Aktivitätsprotokolle und Audit-Kontrollen, um Zugriffsversuche zu registrieren und aufzuzeichnen, was mit den Daten nach dem Zugriff geschieht

Was ist der Zweck einer Business Associate Agreement (BAA)?

Bevor eine abgedeckte Einheit einen Cloud-Speicherdienst nutzen kann, muss sie eine BAA-Vereinbarung mit dem Dienst unterzeichnen. Diese Vereinbarung:

• Gibt an, auf welche PHI der Geschäftspartner zugreifen kann
• Legt dar, wie die PHI verwendet werden darf
• Legt fest, wie die PHI zurückgegeben oder vernichtet wird, sobald die Aufgabe, für die sie benötigt wurde, abgeschlossen ist

Stellt das Vorhandensein eines BAA die Einhaltung der HIPAA- und HITECH-Gesetze durch meine Organisation sicher?

Nein. Es liegt an Ihnen, der Gesundheitseinrichtung, angemessene Konfigurationen zu erstellen, notwendige Richtlinien zu erstellen und die gebotene Sorgfalt anzuwenden, um die HIPAA compliance zu erreichen und aufrechtzuerhalten.