Requisitos de Contraseña HIPAA

La industria de la salud enfrenta una plétora de graves riesgos de ciberseguridad. De hecho, 2021 vio un número récord de violaciones de datos de salud importantes en los EE. UU. — el portal de notificación de violaciones del Departamento de Salud y Servicios Humanos de EE. UU. enumera al menos 713 incidentes que afectan a 45.7 millones de individuos.

La Ley de Portabilidad y Responsabilidad de Seguro de Salud (HIPAA) está diseñada para ayudar a las organizaciones de atención médica a reducir los riesgos para la seguridad y la privacidad de la información de salud personal electrónica (ePHI). En particular, la Regla de Seguridad de HIPAA incluye requisitos de contraseña para ayudar a las organizaciones a minimizar el riesgo de violación de datos. Este artículo explica esos requisitos de contraseña y proporciona las mejores prácticas para implementarlos.

¿Quién necesita cumplir con HIPAA?

HIPAA se aplica a ambos de los siguientes tipos de organizaciones:

• Entidades cubiertas — Este grupo incluye proveedores de atención médica, planes de salud, casas de compensación de atención médica y empleadores que tienen acceso a información de salud para fines de seguros
• Asociados comerciales — Este grupo incluye organizaciones que manejan o almacenan registros físicos de pacientes o ePHI, por ejemplo, compañías de seguros médicos y facturación, oficinas de abogados que manejan casos médicos, fabricantes de dispositivos médicos y mensajeros médicos. También incluye proveedores de software y servicios en la nube que tratan con ePHI.

Identificar si su organización está sujeta a HIPAA es muy importante porque las sanciones por no cumplir con la regulación pueden variar de $100 a $50,000 por violación o registro, hasta un máximo de $1.5 millones por año por cada violación. Además, las violaciones intencionales de los requisitos regulatorios de HIPAA pueden llevar hasta 10 años de prisión.

¿Por qué HIPAA incluye requisitos de contraseña?

HIPAA incluye requisitos sobre contraseñas por una buena razón: Las contraseñas son las llaves de tu ePHI, y una política de contraseñas conforme a HIPAA puede ayudarte a prevenir inicios de sesión no autorizados y acceso a datos. De hecho, los atacantes han desarrollado una amplia variedad de técnicas para robar o descifrar contraseñas, incluyendo:

• Ataques de fuerza bruta— Los hackers ejecutan programas que prueban varias combinaciones potenciales de ID de usuario/contraseña hasta que encuentran la correcta.
• Ataques de diccionario— Esta es una forma de ataque de fuerza bruta que utiliza palabras encontradas en un diccionario como posibles contraseñas.
• Ataques de pulverización de contraseñas — Este es otro tipo de ataque de fuerza bruta que apunta a una sola cuenta, probando múltiples contraseñas para intentar obtener acceso.
• Ataques de relleno de credenciales — Estos ataques tienen como objetivo a las personas que utilizan las mismas contraseñas en diferentes sistemas y sitios web.
• Spidering — Los hackers recopilan información sobre un individuo y luego prueban contraseñas creadas con esos datos.

¿Cuáles son los requisitos de contraseña de HIPAA?

Las contraseñas están cubiertas por las salvaguardas administrativas de la Regla de Seguridad HIPAA. Específicamente, §164.308(5D) establece que las organizaciones deben implementar “procedimientos para crear, cambiar y proteger contraseñas.” Una salvaguarda técnica relacionada (§164.312(d)) estipula que las entidades cubiertas deben tener procesos para verificar la identidad de una persona que busca acceso a información de salud electrónica.

Esta vaguedad sobre los requisitos de contraseña es intencional: HIPAA está diseñada para ser neutral en tecnología y para reconocer que las mejores prácticas de seguridad evolucionan con el tiempo para mejorar la resiliencia contra técnicas de ataque conocidas.

Entonces, ¿cómo puede mi organización cumplir con las normativas?

La mejor manera de ayudar a garantizar el cumplimiento de las contraseñas de HIPAA es construir su política y procedimientos de contraseñas utilizando un marco apropiado y respetado. Una gran opción es Publicación Especial 800-63B del Instituto Nacional de Estándares y Tecnología (NIST). Las pautas que proporciona son útiles para cualquier empresa que busque mejorar la ciberseguridad, incluidas las entidades cubiertas por HIPAA y los asociados comerciales.

Las pautas básicas de NIST para contraseñas cubren lo siguiente:

• Longitud — Las contraseñas deben tener entre 8 y 64 caracteres.
• Construcción — Se recomiendan frases largas, pero no deben coincidir con palabras del diccionario.
• Tipos de caracteres — Las organizaciones pueden permitir letras mayúsculas y minúsculas, números, símbolos únicos e incluso emoticonos, pero NO deben requerir una mezcla de diferentes tipos de caracteres.
• Autenticación multifactor — El acceso a información personal como ePHI debe requerir autenticación multifactor, como una contraseña más una huella digital o un PIN de un dispositivo externo.
• Restablecer — Se debe requerir una contraseña para restablecerla solo si ha sido comprometida o olvidada.

¿Cuáles son las mejores prácticas para mantener seguras las contraseñas?

Aquí hay cinco estrategias que pueden hacer una diferencia medible en la seguridad de tus contraseñas:

• Aumenta la longitud de tus contraseñas. Las contraseñas cortas son extremadamente fáciles de romper, pero las contraseñas extremadamente largas son difíciles de recordar. El punto óptimo, según NIST, está entre 8 y 64 caracteres.
• Permitir a los usuarios copiar y pegar sus contraseñas de servicios de gestión de contraseñas encriptadas. De esta manera, pueden elegir contraseñas largas más seguras sin la molestia de tener que escribirlas o la preocupación de olvidarlas. Esta mejor práctica también ayuda a prevenir brechas de seguridad causadas por empleados que reutilizan contraseñas o las escriben donde otros puedan verlas.
• No permitas pistas de contraseña. Las pistas a menudo hacen que sea notablemente fácil averiguar la contraseña del usuario; en algunos casos, los empleados realmente usarán la contraseña misma como pista.
• Permitir que las contraseñas contengan espacios, otros caracteres especiales e incluso emojis. Esto añade otra capa de complejidad que ayuda a derrotar los ataques comunes de contraseñas.
• Examine las contraseñas propuestas utilizando listas de contraseñas comunes y previamente comprometidas. Puede externalizar esta tarea a la seguridad

¿Cómo puede ayudar Netwrix?

Netwrix ofrece varias soluciones diseñadas específicamente para optimizar y fortalecer la gestión de contraseñas:

• Netwrix Password Policy Enforcer facilita la creación de políticas de contraseña fuertes pero flexibles que mejoran la seguridad sin perjudicar la productividad del usuario ni sobrecargar a los equipos de soporte técnico y TI.
• Netwrix Password Reset permite a los usuarios desbloquear de forma segura sus propias cuentas y restablecer o cambiar sus propias contraseñas, directamente desde su navegador web. Esta funcionalidad de autoservicio reduce drásticamente la frustración del usuario y las pérdidas de productividad, al tiempo que reduce el volumen de llamadas al servicio de asistencia.

Netwrix también proporciona soluciones más completas para el cumplimiento de HIPAA. Te empoderan para:

• Realice evaluaciones de riesgo de TI de forma regular para reducir su área de superficie de ataque.
• Entienda exactamente dónde se encuentra su información sensible para que pueda priorizar sus esfuerzos de protección.
• Audite la actividad en sus sistemas locales y basados en la nube, y detecte e investigue amenazas a tiempo para prevenir violaciones de datoses.
• Reduce el tiempo y el esfuerzo requeridos para prepararse para el cumplimiento de HIPAA y responde fácilmente a las preguntas de los auditores en el acto.

FAQ

¿Cuáles son los requisitos mínimos de contraseña de HIPAA?

Los HIPAA password requirements establecen que las organizaciones cubiertas deben implementar “procedimientos para crear, cambiar y proteger contraseñas”. No existen requisitos específicos sobre la longitud, complejidad o cifrado de las contraseñas. Para garantizar el cumplimiento, considera crear una política de contraseñas seguras utilizando un marco de seguridad reconocido como NIST.

¿Cuáles son las mejores recomendaciones para contraseñas de HIPAA?

Las mejores prácticas actuales de contraseñas se detallan en NIST Special Publication 800-63B. Esta publicación gratuita incluye orientación sobre la longitud de la contraseña, composición, tipos de caracteres, requisitos de restablecimiento y autenticación multifactor.

¿Con qué frecuencia exige HIPAA que se cambien las contraseñas?

No existen requisitos específicos de cambio de contraseña de HIPAA. Las pautas de NIST recomiendan exigir que las contraseñas se cambien solo si están comprometidas. Hoy en día, los expertos reconocen que exigir cambios frecuentes de contraseña a menudo en realidad aumenta los problemas de seguridad porque los usuarios recurren a estrategias como anotar sus contraseñas o simplemente incrementar un número al final de la contraseña, dejando su cuenta vulnerable a ciberataques.

¿HIPAA requiere autenticación multifactor (MFA)?

HIPAA no proporciona ese nivel de detalle. Sin embargo, marcos de mejores prácticas como NIST recomiendan la autenticación multifactor para proteger datos sensibles y regulados en correos electrónicos, bases de datos y otros sistemas. Implementar MFA según lo descrito por NIST puede reducir drásticamente el riesgo de multas a una organización por incumplimiento de HIPAA.

¿Existen requisitos de bloqueo de cuenta en HIPAA?

HIPAA no proporciona ese nivel de detalle. Sin embargo, una política de contraseñas conforme a HIPAA implicaría el bloqueo después de cierto número de intentos fallidos de inicio de sesión para contrarrestar los ataques de adivinación de contraseñas. Permitir que los usuarios desbloqueen sus propias cuentas mediante una self-service password management solution segura puede permitirte establecer un umbral bajo para intentos fallidos de inicio de sesión para fortalecer la seguridad sin aumentar el volumen de llamadas al servicio de asistencia.