HIPAA-Risikobewertungsvorlage

Was ist eine HIPAA-Risikobewertung?

Eine HIPAA-Risikobewertung hilft Organisationen dabei, Bedrohungen für die Sicherheit elektronisch geschützter Gesundheitsinformationen (ePHI) zu ermitteln und zu bewerten, einschließlich des Potenzials für unbefugte Offenlegung, wie es die Datenschutz-Grundverordnung vorschreibt.

Wenn Ihre Organisation ePHI erstellt, empfängt, verwaltet oder überträgt, selbst unter Verwendung eines zertifizierten elektronischen Gesundheitsakten (EHR)-Systems, müssen Sie Ihre Sicherheitsrisiken bewerten, um sicherzustellen, dass Sie die bestmöglichen Schritte zum Schutz Ihres ePHI unternommen haben. Sobald Sie diese Risiken identifiziert haben, müssen Sie administrative, physische und technische Schutzmaßnahmen umsetzen, um die Einhaltung der HIPAA-Sicherheitsregel zu gewährleisten.

Während Gesundheitseinrichtungen daran arbeiten, die Einhaltung von HIPAA zu erreichen, können Risikoanalyse- und Risikomanagement-Tools von unschätzbarem Wert sein; sie ermöglichen es Ihnen oft, die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer ePHI effektiver und effizienter zu schützen, als Sie es mit manuellen Prozessen könnten.

Anpassung einer Risikobewertung an Ihre Organisation

HIPAA-Risikobewertungsanforderungen ermöglichen es Ihnen, die Bewertung an die Umgebung und die Umstände Ihrer Organisation anzupassen, einschließlich:

• Die Größe, Komplexität und Fähigkeiten Ihrer Organisation
• Die technische Infrastruktur, Hardware und Sicherheitsfähigkeiten Ihrer Organisation
• Die Wahrscheinlichkeit und Kritikalität der potenziellen Risiken für ePHI
• Die Kosten für die Sicherheitsmaßnahmen

Implementierungsspezifikationen: erforderlich versus anpassbar

Eine HIPAA-Risikobewertung enthält viele Implementierungsspezifikationen, die detaillierte Anweisungen sind, um einen bestimmten Standard zu erfüllen. Einige sind verpflichtend, während andere anpassbar sind:

• Erforderliche Spezifikationsdokumente legen Richtlinien oder Verfahren fest, die jede abgedeckte Einheit und ihre Geschäftspartner implementieren müssen. Ein Beispiel ist die Risikoanalyse.
• Adressierbare Spezifikationen sind nicht optional, aber Organisationen haben die Flexibilität, geeignete Prozesse oder Kontrollen zu wählen, um sie zu erfüllen. Zum Beispiel ist Passwortmanagement adressierbar, da es mehrere Möglichkeiten gibt, sicherzustellen, dass nur vertrauenswürdige Personen auf Ihre Systeme zugreifen können. Eine Methode ist die Verwendung von Multifaktor-Authentifizierung.

Sie können die Einführung einer Implementierungsspezifikation nicht allein aus Kostengründen ablehnen.

Schlüsselbegriffe

Hier sind Definitionen für Begriffe, die im HIPAA üblich sind, angepasst von NIST 800-30:

• ePHI (elektronisch geschützte Gesundheitsinformationen) — Daten über die Gesundheit, Behandlung oder Abrechnung eines Patienten, die diesen Patienten identifizieren könnten. ePHI ist PHI in elektronischer Form; es unterliegt den gleichen Vertraulichkeitsanforderungen wie alle PHI, aber die einfache Kopier- und Übertragungsmöglichkeit von ePHI erfordert spezielle Schutzmaßnahmen, um Verstöße zu verhindern.
• Schwachstelle — Ein Fehler oder eine Schwäche in den Verfahren, dem Design, der Implementierung von internen Kontrollen eines Sicherheitssystems, die versehentlich ausgelöst oder absichtlich ausgenutzt werden könnte, was zu einem Sicherheitsbruch oder einer Verletzung der Sicherheitsrichtlinien führen kann.
• Bedrohung — Das Potenzial einer Bedrohungsquelle, eine bestimmte Schwachstelle zufällig auszulösen oder absichtlich auszunutzen.
• Risiko — Bezieht sich auf IT-bezogenes Risiko. Risiko beschreibt die netto Geschäftsauswirkungen basierend auf der Wahrscheinlichkeit, dass eine spezifische Bedrohung eine bestimmte Schwachstelle auslöst. Es beinhaltet Faktoren wie rechtliche Haftung und Verlust der Mission.
• Risikoanalyse (oder Risikobewertung) – Der Prozess der Identifizierung aller Risiken für die Sicherheit des Systems, der Wahrscheinlichkeit, dass sie zu Schäden führen, und der Schutzmaßnahmen, die diesen Schaden mindern können. Es ist ein Teil des Risikomanagements.
• Risikomanagement — Der Prozess der Implementierung von Sicherheitsmaßnahmen und -praktiken, um Risiken und Schwachstellen für die Compliance angemessen zu reduzieren.

Schritte bei der Risikoanalyse

NIST 800-30 beschreibt die folgenden Schritte für eine HIPAA-konforme Risikobewertung:

Schritt 1. Bestimmen Sie den Umfang der Analyse.

Eine Risikoanalyse berücksichtigt alle elektronisch geschützten Gesundheitsinformationen (ePHI), unabhängig vom elektronischen Medium, das zur Erstellung, zum Empfang, zur Speicherung oder Übertragung der Daten verwendet wird, oder vom Standort der Daten. Sie umfasst alle vernünftigen Risiken und Schwachstellen für die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer ePHI.

Schritt 2. Sammeln Sie vollständige und genaue Informationen über die Nutzung und Offenlegung von ePHI.

Dieser Prozess beinhaltet:

• Überprüfung vergangener und bestehender Projekte
• Durchführung von Interviews
• Dokumentation überprüfen
• Einsatz weiterer Datenerfassungstechniken nach Bedarf
• Dokumentation aller gesammelten Daten

Es kann sein, dass Sie diesen Schritt bereits zur Einhaltung der HIPAA-Datenschutzregel abgeschlossen haben, auch wenn er nicht direkt erforderlich war.

Schritt 3. Identifizieren Sie potenzielle Bedrohungen und Schwachstellen.

Betrachten Sie die gesammelten Daten und überlegen Sie, welche Arten von Bedrohungen und Schwachstellen für jede Informationseinheit existieren.

Schritt 4. Bewerten Sie Ihre aktuellen Sicherheitsmaßnahmen.

Dokumentieren Sie die Maßnahmen, die Sie bereits umgesetzt haben, um Risiken für Ihre ePHI zu mindern. Diese Maßnahmen können technischer oder nicht-technischer Natur sein:

• Technische Maßnahmen umfassen Hardware und Software von Informationssystemen, wie Zugangskontrollen, Authentifizierung, Verschlüsselung, automatische Abmeldung und Audit-Kontrollen.
• Nicht-technische Maßnahmen umfassen betriebliche und administrative Kontrollen wie Richtlinien, Verfahren sowie physische oder umweltbezogene Sicherheitsvorkehrungen.

Analysieren Sie dann, ob die Konfiguration und Verwendung dieser Sicherheitsmaßnahmen angemessen sind.

Schritt 5. Bestimmen Sie die Wahrscheinlichkeit des Auftretens von Bedrohungen.

Bewerten Sie die Wahrscheinlichkeit, dass eine Bedrohung eine bestimmte Schwachstelle auslöst oder ausnutzt. Berücksichtigen Sie jede mögliche Bedrohungs- und Schwachstellenkombination und bewerten Sie diese nach der Wahrscheinlichkeit eines Vorfalls. Gängige Bewertungsmethoden umfassen die Einstufung jedes Risikos als Hoch, Mittel und Niedrig oder die Angabe eines numerischen Gewichts, das die Eintrittswahrscheinlichkeit ausdrückt.

Schritt 6. Bestimmen Sie die potenzielle Auswirkung des Auftretens von Bedrohungen.

Betrachten Sie die möglichen Ergebnisse jeder Datenbedrohung, wie zum Beispiel:

• Unbefugter Zugriff oder Offenlegung
• Permanenter Verlust oder Beschädigung
• Vorübergehender Verlust oder Nichtverfügbarkeit
• Verlust des finanziellen Cashflows
• Verlust von physischen Vermögenswerten

Schätzen Sie die Auswirkungen jedes Ergebnisses ab. Maßnahmen können qualitativ oder quantitativ sein. Dokumentieren Sie alle vernünftigen Auswirkungen und die damit verbundenen Bewertungen für jedes Ergebnis.

Schritt 7. Bestimmen Sie das Risikoniveau.

Analysieren Sie die den einzelnen Bedrohungen zugewiesenen Wahrscheinlichkeitswerte und die Auswirkungen. Weisen Sie das Risikoniveau basierend auf dem Durchschnitt der zugewiesenen Wahrscheinlichkeiten und Auswirkungsstufen zu.

Schritt 8. Identifizieren Sie geeignete Sicherheitsmaßnahmen und schließen Sie die Dokumentation ab.

Ermitteln Sie die möglichen Sicherheitsmaßnahmen, die Sie ergreifen könnten, um jedes Risiko auf ein akzeptables Maß zu reduzieren. Berücksichtigen Sie für jede Maßnahme:

• Die Wirksamkeit der Maßnahme
• Gesetzliche oder regulatorische Anforderungen für die Implementierung
• Anforderungen an Organisationsrichtlinien und -verfahren

Dokumentieren Sie alle Ergebnisse, um Ihre Risikobewertung abzuschließen.

HIPAA-Risikobewertungsvorlage

Im Folgenden finden Sie eine HIPAA-Risikobewertungsvorlage mit einer Beschreibung und einem Beispiel für jeden Abschnitt. Dies ist eine allgemeine Vorlage, die Sie an die spezifischen Bedürfnisse Ihrer Organisation anpassen müssen. Alle Firmen- und Personennamen in dieser Vorlage sind fiktiv und dienen ausschließlich als Beispiele.

1. Einleitung

Erläutern Sie den Grund für das Dokument.

Dieses Dokument umreißt den Umfang und die Vorgehensweise der Risikobewertung für Allied Health 4 U, Inc. (im Folgenden als Allied Health 4 U bezeichnet). Es beinhaltet das Dateninventar der Organisation, die Bestimmung von Bedrohungen und Schwachstellen, Sicherheitsmaßnahmen und die Ergebnisse der Risikobewertung.

1.1 Zweck

Erläutern Sie, warum Sie eine Risikobewertung benötigen.

Der Zweck der Risikobewertung besteht darin, potenzielle Risikobereiche zu identifizieren, Verantwortlichkeiten zuzuweisen, die Risikominderungsaktivitäten und -systeme zu charakterisieren und korrigierende Maßnahmen zur Einhaltung des HIPAA-Sicherheitsstandards zu leiten.

1.2 Umfang

Dokumentieren Sie den Fluss von Patientendaten innerhalb Ihrer Organisation. Beschreiben Sie alle Systemkomponenten, Elemente, Standorte der Außenstellen, Benutzer (einschließlich der Nutzung einer entfernten Belegschaft) und alle zusätzlichen Details über das EHR-System.

Dokumentieren und definieren Sie Ihre IT-Systeme, Komponenten und Informationen, einschließlich Wechselmedien und tragbarer Computergeräte.

Der Geltungsbereich dieses Dokuments umfasst die technischen, physischen und administrativen Prozesse, die alle von Allied Health 4 U empfangenen, erstellten, verwalteten oder übertragenen ePHI regeln.

Das Ziel ist es, den Einsatz von Ressourcen und Kontrollen zu bewerten und zu analysieren, sowohl geplante als auch implementierte, um die Ausnutzung von Schwachstellen durch interne und externe Bedrohungen für das elektronische Gesundheitsakten-System (EHR) zu eliminieren, zu mildern oder zu verwalten.

Allied Health 4 U dient den Bedürfnissen von Patienten und Praktikern in Medical City in Regency Park, IL. Das zugehörige medizinische Zentrum stellt die primäre Internet-Firewall und die grundlegende physische Sicherheit für die Einrichtung bereit. Die Organisation erfüllt alle weiteren Technologie- und Sicherheitsanforderungen für Allied Health 4 U, Inc.

Allied Health 4 U verwendet Laptops, Tablets und Desktop-PCs, um auf die elektronischen Patientenakten (ePHI) zuzugreifen. Der Fernzugriff von außerhalb von Allied Health 4 U ist strengstens untersagt. Drei Server befinden sich in einem abgeschlossenen Serverraum mit aktivierter Videoüberwachung.

2. Ansatz zur Risikobewertung

Definieren Sie die Methoden, die Sie zur Durchführung der Risikobewertung verwenden.

Allied Health 4 U führt die Risikobewertung durch, indem alle physischen Geräte und elektronischen Daten inventarisiert werden, die von der Organisation erstellt, empfangen, aufrechterhalten oder übertragen werden; Nutzer und Administratoren des EHR-Systems werden interviewt; und Systemdaten werden analysiert, um potenzielle Schwachstellen und Bedrohungen für das System zu ermitteln.

2.1 Teilnehmer

Identifizieren Sie die Teilnehmer, wie das gesamte IT-Personal und das Management, die für das EHR verantwortlich sind oder damit interagieren. Fügen Sie eine Liste der Namen und Rollen der Teilnehmer hinzu, wie zum Beispiel Chief Information Officer oder Asset Owner.

Der ePHI-Sicherheitsbeauftragte und das Risikomanagement-Team sind verantwortlich für die Aufrechterhaltung und Durchführung der ePHI-Sicherheitsrisikoanalyse und des Risikomanagementprozesses für Allied Health 4 U.

1. Chief Information Officer: Bradley Gray, MD
2. Compliance-Beauftragter: Jean Parker, MD
3. Risikobewertungsteam: William Brown, Takisha Lutrelle und Lili Obrador

2.2 Techniken zur Informationsbeschaffung

Listen Sie die Methoden auf, die verwendet werden, um ePHI-Daten, physische Geräte, Prozesse und Verfahren zu identifizieren und zu inventarisieren.

Folgende Techniken werden zur Sammlung von Informationen für die Risikobewertung verwendet:

• Interviews mit dem Chief Information Officer, dem Risikomanagement-Team, Benutzern
• Dokumentationsprüfung — IT-Richtlinien und -Prozesse, Bedrohungs- und Schwachstellenberichte, Vorfallsberichte, Dokumente zur Informationsklassifizierung.
• Website-Besuche — Standort Regency Park, alle zukünftigen Standorte

2.3 Entwicklung und Beschreibung der Risikoskala

Beschreiben Sie, wann Risikobewertungen durchgeführt werden, die verwendete Risikomatrix, wie Risiken ermittelt werden und eine Risikoklassifizierung mit mindestens drei Stufen.

Allied Health 4 U führt Risikobewertungen zu folgenden Zeiten durch:

• Nach Softwareaktualisierungen des EHR
• Nach der Implementierung neuer Hardware, Software oder Firmware
• Nach einem Bericht über eine Datenpanne

Verwenden Sie die folgende Risikomatrix, um das Ausmaß des Risikos zu bestimmen:

Risikoskala:

• HOCH: >25 bis 50
• MITTEL: >5 bis 25
• NIEDRIG: >0,5 bis 5

3. Systemcharakterisierung

Identifizieren Sie die Grenzen des betrachteten IT-Systems sowie die Ressourcen und Informationen, die das System ausmachen. Die Charakterisierung legt den Umfang der Risikobewertung fest, zeigt den Weg zur Autorisierung oder Akkreditierung und liefert Informationen über Konnektivität, Verantwortlichkeit und Unterstützung.

Das Allied Health 4 U EHR-System besteht aus allen Laptops, Desktops, Tablets, Servern und darin enthaltenen ePHI.

3.1 Systembezogene Informationen

Geben Sie verwandte Informationen und eine kurze Beschreibung der Verarbeitungsumgebung an.

3.2 Systembenutzer

Beschreiben Sie, wer das System verwendet, einschließlich Details zum Standort des Benutzers und zum Zugriffslevel.

4. Bedrohungen und Schwachstellen

Listen Sie alle glaubwürdigen Bedrohungen und Schwachstellen für das zu bewertende System auf. Oft können Sie hier eine kurze Beschreibung geben und die detaillierten Ergebnisse in einem Anhang oder einer separaten Tabelle bereitstellen.

4.1 Bedrohungsidentifizierung

Erstellen Sie einen Katalog von vernünftigerweise zu erwartenden Bedrohungen. Ihre größte Sorge sind menschliche Bedrohungen durch ehemalige Mitarbeiter, Kriminelle, Lieferanten, Patienten oder jede andere Person mit Motivation, Zugang und Kenntnis des Systems.

4.2 Identifizierung von Schwachstellen

Listen Sie alle technischen und nicht-technischen Systemanfälligkeiten auf, die potenzielle Bedrohungen auslösen oder ausnutzen könnten. Schließen Sie unvollständige oder widersprüchliche Richtlinien und Verfahren, unzureichende Schutzmaßnahmen (sowohl physisch als auch elektronisch) und andere Mängel oder Schwächen in einem Teil des Systems ein.

Allied Health 4 U identifiziert die folgenden Schwachstellen:

4.3 Sicherheitsmaßnahmen

Dokumentieren und bewerten Sie die Wirksamkeit aller technischen und nicht-technischen Kontrollen, die aktuell oder zukünftig implementiert werden, um Risiken zu mindern.

5. Ergebnisse der Risikobewertung

Beschreiben Sie die Beobachtungen (die Schwachstellen und die Bedrohungen, die sie auslösen können), bewerten Sie jedes Risiko und geben Sie Empfehlungen für die Umsetzung von Kontrollen oder Korrekturmaßnahmen. Die detaillierten Ergebnisse werden häufig besser in einem Anhang oder in einer separaten Tabelle dargestellt.

6. Versionsverlauf

Verfolgen Sie alle Änderungen an Ihrer HIPAA-Risikobewertung.