HIPAA Passwortanforderungen

Die Gesundheitsbranche sieht sich einer Vielzahl schwerwiegender Cybersecurity-Risiken gegenüber. Tatsächlich gab es im Jahr 2021 eine Rekordzahl an schwerwiegenden Datenschutzverletzungen im Gesundheitswesen in den USA — das Portal zur Benachrichtigung über Datenschutzverletzungen des US-amerikanischen Ministeriums für Gesundheit und Soziale Dienste listet mindestens 713 Vorfälle auf, die 45,7 Millionen Personen betreffen.

Der Health Insurance Portability and Accountability Act (HIPAA) soll Gesundheitsorganisationen dabei helfen, Risiken für die Sicherheit und Privatsphäre elektronischer persönlicher Gesundheitsinformationen (ePHI) zu verringern. Insbesondere enthält die HIPAA-Sicherheitsregel Passwortanforderungen, um Organisationen dabei zu unterstützen, das Risiko von data breachen zu minimieren. Dieser Artikel erklärt diese Passwortanforderungen und bietet Best Practices für deren Implementierung.

Wer muss sich an HIPAA halten?

HIPAA gilt für beide der folgenden Arten von Organisationen:

• Abgedeckte Einrichtungen — Diese Gruppe umfasst Gesundheitsdienstleister, Gesundheitspläne, Gesundheitsabrechnungsstellen und Arbeitgeber, die Zugang zu Gesundheitsinformationen für Versicherungszwecke haben
• Geschäftspartner — Diese Gruppe umfasst Organisationen, die physische Patientenakten oder ePHI handhaben oder speichern, zum Beispiel medizinische Versicherungs- und Abrechnungsunternehmen, Anwaltskanzleien, die medizinische Fälle bearbeiten, Hersteller von medizinischen Geräten und medizinische Kurierdienste. Sie schließt auch Anbieter von Software und Cloud-Diensten ein, die mit ePHI umgehen.

Zu identifizieren, ob Ihre Organisation der HIPAA unterliegt, ist sehr wichtig, da die Strafen für die Nichteinhaltung der Vorschriften von 100 $ bis 50.000 $ pro Verstoß oder Datensatz reichen können, bis zu einer maximalen Strafe von 1,5 Millionen $ pro Jahr für jeden Verstoß. Darüber hinaus können absichtliche Verstöße gegen die HIPAA-Vorschriften bis zu 10 Jahre Gefängnis nach sich ziehen.

Warum enthält HIPAA Passwortanforderungen?

HIPAA enthält aus gutem Grund Anforderungen an Passwörter: Passwörter sind die Schlüssel zu Ihrem ePHI, und eine Passwortrichtlinie gemäß HIPAA kann Ihnen helfen, unbefugte Anmeldungen und den Zugriff auf Daten zu verhindern. Tatsächlich haben Angreifer eine Vielzahl von Techniken entwickelt, um Passwörter zu stehlen oder zu knacken, darunter:

• Brute-Force-Angriffe— Hacker führen Programme aus, die verschiedene potenzielle Benutzer-ID/Passwort-Kombinationen ausprobieren, bis sie die richtige finden.
• Wörterbuchangriffe— Dies ist eine Form des Brute-Force-Angriffs, die Wörter aus einem Wörterbuch als mögliche Passwörter verwendet.
• Passwort-Spraying-Angriffe — Dies ist eine weitere Art von Brute-Force-Angriff, der sich auf ein einzelnes Konto konzentriert und mehrere Passwörter testet, um Zugriff zu erhalten.
• Credential-Stuffing-Angriffe — Diese Angriffe richten sich gegen Personen, die dieselben Passwörter in verschiedenen Systemen und Websites verwenden.
• Spidering — Hacker sammeln Informationen über eine Person und versuchen dann, Passwörter zu verwenden, die mit diesen Daten erstellt wurden.

Was sind die Anforderungen an HIPAA-Passwörter?

Passwörter sind in den administrativen Sicherheitsvorkehrungen der HIPAA-Sicherheitsregel enthalten. Genauer gesagt, §164.308(5D) besagt, dass Organisationen „Verfahren zur Erstellung, Änderung und Sicherung von Passwörtern“ implementieren müssen. Eine verwandte technische Sicherheitsvorkehrung (§164.312(d)) legt fest, dass die betroffenen Stellen Prozesse haben müssen, um die Identität einer Person zu überprüfen, die Zugang zu elektronischen Gesundheitsinformationen beantragt.

Diese Unklarheit über die Passwortanforderungen ist absichtlich – HIPAA ist so konzipiert, dass sie technologie-neutral ist und anerkennt, dass sich die besten Sicherheitspraktiken im Laufe der Zeit weiterentwickeln, um die Widerstandsfähigkeit gegen bekannte Angriffstechniken zu verbessern.

Wie kann meine Organisation also konform sein?

Der beste Weg, um die Einhaltung der HIPAA-Passwortrichtlinien sicherzustellen, besteht darin, Ihre Passwortrichtlinie und -verfahren mithilfe eines geeigneten und anerkannten Rahmens zu erstellen. Eine großartige Option ist Sonderveröffentlichung 800-63B vom National Institute of Standards and Technology (NIST). Die bereitgestellten Richtlinien sind hilfreich für jedes Unternehmen, das die Cybersicherheit verbessern möchte – einschließlich HIPAA-geschützter Einrichtungen und Geschäftspartner.

Die grundlegenden NIST-Richtlinien für Passwörter decken Folgendes ab:

• Länge — Passwörter sollten zwischen 8 und 64 Zeichen lang sein.
• Bau — Lange Passwörter werden empfohlen, sollten jedoch nicht mit Wörterbuchwörtern übereinstimmen.
• Zeichentypen — Organisationen können Groß- und Kleinbuchstaben, Zahlen, einzigartige Symbole und sogar Emoticons zulassen, sollten jedoch NICHT eine Mischung verschiedener Zeichentypen verlangen.
• Mehrfaktor-Authentifizierung — Der Zugriff auf persönliche Informationen wie ePHI sollte eine Mehrfaktor-Authentifizierung erfordern, wie ein Passwort plus einen Fingerabdruck oder eine PIN von einem externen Gerät.
• Zurücksetzen — Ein Passwort sollte nur zurückgesetzt werden, wenn es kompromittiert oder vergessen wurde.

Welche Best Practices helfen, Passwörter sicher zu halten?

Hier sind fünf Strategien, die einen messbaren Unterschied in der Sicherheit Ihrer Passwörter machen können:

• Erhöhen Sie die Länge Ihrer Passwörter. Kurze Passwörter sind äußerst leicht zu knacken, während extrem lange Passwörter schwer zu merken sind. Der ideale Bereich liegt laut NIST zwischen 8 und 64 Zeichen.
• Erlauben Sie Benutzern, ihre Passwörter aus verschlüsselten Passwortverwaltungsdiensten zu kopieren und einzufügen. So können sie stärkere lange Passwörter wählen, ohne sich mit dem Tippen herumschlagen zu müssen oder sich Sorgen zu machen, sie zu vergessen. Diese bewährte Methode hilft auch, Sicherheitslücken zu verhindern, die durch Mitarbeiter entstehen, die Passwörter wiederverwenden oder sie dort aufschreiben, wo andere sie sehen könnten.
• Erlauben Sie keine Passwort-Hinweise. Hinweise machen es oft bemerkenswert einfach, das Passwort des Benutzers herauszufinden – in einigen Fällen verwenden Mitarbeiter tatsächlich das Passwort selbst als Hinweis!
• Erlauben Sie Passwörtern, Leerzeichen, andere Sonderzeichen und sogar Emojis zu enthalten. Dies fügt eine weitere Komplexitätsebene hinzu, die hilft, gängige Passwortangriffe zu überwinden.
• Überprüfen Sie die vorgeschlagenen Passwörter mithilfe von Listen gängiger und zuvor kompromittierter Passwörter. Sie können diese Aufgabe an die Sicherheit auslagern

Wie kann Netwrix helfen?

Netwrix bietet mehrere Lösungen an, die speziell entwickelt wurden, um das Passwortmanagement zu optimieren und zu stärken:

• Netwrix Password Policy Enforcer erleichtert die Erstellung starker, aber flexibler Passwortrichtlinien, die die Sicherheit erhöhen, ohne die Produktivität der Benutzer zu beeinträchtigen oder die Helpdesk- und IT-Teams zu belasten.
• Netwrix Password Reset ermöglicht es Benutzern, ihre eigenen Konten sicher zu entsperren und ihre eigenen Passwörter direkt über ihren Webbrowser zurückzusetzen oder zu ändern. Diese Self-Service-Funktionalität reduziert die Frustration der Benutzer und Produktivitätsverluste erheblich, während sie das Anrufvolumen beim Helpdesk senkt.

Netwrix bietet auch umfassendere Lösungen für die Einhaltung von HIPAA. Sie ermöglichen Ihnen:

• Führen Sie regelmäßige IT-Risikoanalysen durch, um Ihre Angriffsfläche zu reduzieren.
• Verstehen Sie genau, wo sich Ihre sensiblen Daten befinden, damit Sie Ihre Schutzmaßnahmen priorisieren können.
• Überwachen Sie die Aktivitäten in Ihren lokalen und cloudbasierten Systemen und erkennen und untersuchen Sie Bedrohungen rechtzeitig, um Datenverletzungen zu verhindernes.
• Reduzieren Sie die Zeit und den Aufwand, die erforderlich sind, um sich auf die HIPAA-Compliance vorzubereiten und beantworten Sie Fragen von Prüfern direkt vor Ort.

FAQ

Was sind die minimalen Passwortanforderungen nach HIPAA?

Die HIPAA password requirements besagen, dass betroffene Organisationen „Verfahren zum Erstellen, Ändern und Schützen von Passwörtern“ implementieren müssen. Es gibt keine spezifischen Anforderungen bezüglich der Passwortlänge, Komplexität oder Verschlüsselung. Um die Einhaltung zu gewährleisten, sollten Sie eine starke Passwortrichtlinie unter Verwendung eines etablierten Sicherheitsrahmens wie NIST erstellen.

Was sind die besten Empfehlungen für HIPAA-Passwörter?

Aktuelle Best Practices für Passwörter sind im Detail beschrieben in NIST Special Publication 800-63B. Diese kostenlose Veröffentlichung enthält Richtlinien zur Passwortlänge, Zusammensetzung, Zeichentypen, Zurücksetzanforderungen und zur Multifaktorauthentifizierung.

Wie oft müssen Passwörter gemäß HIPAA geändert werden?

Es gibt keine spezifischen HIPAA-Anforderungen für das Ändern von Passwörtern. NIST-Richtlinien empfehlen, Passwörter nur zu ändern, wenn sie kompromittiert wurden. Heute erkennen Experten, dass das Erfordern häufiger Passwortänderungen oft tatsächlich Sicherheitsprobleme erhöht, da Benutzer zu Strategien wie dem Aufschreiben ihrer Passwörter greifen oder einfach eine Zahl am Ende des Passworts erhöhen, was ihr Konto für Cyberangriffe anfällig macht.

Ist eine Multifaktor-Authentifizierung (MFA) nach HIPAA erforderlich?

HIPAA bietet nicht dieses Detailniveau. Jedoch empfehlen Rahmenwerke für bewährte Verfahren wie NIST die Multifaktor-Authentifizierung, um sensible und regulierte Daten in E-Mails, Datenbanken und anderen Systemen zu schützen. Die Implementierung von MFA, wie von NIST dargelegt, kann das Risiko von Strafen für eine Organisation wegen Nichteinhaltung von HIPAA erheblich reduzieren.

Gibt es Anforderungen zur Kontosperrung in HIPAA?

HIPAA bietet nicht dieses Maß an Detail. Eine HIPAA-konforme Passwortrichtlinie würde jedoch eine Sperre nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche beinhalten, um Passwortrateverfahren zu vereiteln. Den Benutzern zu ermöglichen, ihre eigenen Konten mit einer sicheren self-service password management solution zu entsperren, kann Ihnen erlauben, eine niedrige Schwelle für fehlgeschlagene Anmeldeversuche festzulegen, um die Sicherheit zu erhöhen, ohne das Volumen der Helpdesk-Anrufe zu steigern.