Principali requisiti e standard di Data Security Posture Management di HIPAA

Ogni organizzazione, indipendentemente dal settore di mercato o dalle dimensioni aziendali, deve proteggere i propri dati per minimizzare la data leakage e altri incidenti di sicurezza. L'importanza della data security nel settore sanitario è amplificata dalla necessità di conformarsi al Health Insurance Portability and Accountability Act (HIPAA). Questo articolo descrive strategie e tattiche di protezione dei dati che le organizzazioni sanitarie possono utilizzare per comply with the key provisions of HIPAA, ed esplora le minacce più comuni alla data security nel settore sanitario.

Regole sulla privacy e sicurezza dei dati HIPAA

Sfondo

I professionisti tecnici nelle organizzazioni sanitarie sono responsabili della protezione delle informazioni sanitarie contro minacce alla sicurezza e rischi di sicurezza. Sia gli hacker esterni che gli insider malintenzionati tentano costantemente di ottenere accesso alle informazioni sanitarie protette elettroniche (e-PHI), solitamente per trarre guadagno finanziario dalla vendita delle informazioni, furto d'identità o ricatto. Le informazioni sanitarie protette comprendono tutte le informazioni che si riferiscono alla salute passata, presente o futura di una persona o alla sua condizione (mentale o fisica). Questo include dati sui servizi medici erogati, pagamenti per l'assistenza sanitaria e benefici dell'assicurazione sanitaria.

HIPAA è stata promulgata nel 1996 per costringere le organizzazioni sanitarie a migliorare la loro sicurezza dei dati. Include molteplici requisiti che regolano il modo in cui le organizzazioni sanitarie devono lavorare con le informazioni sanitarie. Ad esempio, devono proteggere la privacy delle informazioni sanitarie personali limitando l'uso o la divulgazione di tali informazioni senza l'autorizzazione del paziente.

HIPAA include due componenti chiave: la Norma sulla Privacy e la Norma sulla Sicurezza.

Regola sulla Privacy

La normativa sulla privacy HIPAA regola chi può avere accesso alle PHI e come queste possono essere utilizzate e divulgate. I requisiti principali sono i seguenti:

• È necessario implementare politiche e procedure che limitino l'accesso e l'uso delle informazioni sanitarie protette in base ai ruoli dei dipendenti. Le informazioni sanitarie protette non dovrebbero essere accessibili a nessun dipendente che non ne abbia bisogno, come un responsabile dell'ufficio o un addetto alla sicurezza
• È necessario implementare politiche e procedure che limitino l'uso e la divulgazione delle PHI al minimo necessario. Ad esempio, se una compagnia di assicurazioni necessita del nome di una persona, del numero di previdenza sociale e dei dettagli della sua più recente procedura medica, la normativa sulla privacy richiede di non inviare l'intero fascicolo medico della persona.
• È necessario ottenere l'autorizzazione scritta di una persona prima di divulgare le sue informazioni sanitarie protette. Ad esempio, se si prevede di inviare informazioni sanitarie personali a un'azienda farmaceutica, è necessario ottenere prima l'autorizzazione scritta della persona.

Esistono potenziali sanzioni civili e penali per il mancato rispetto della Normativa sulla Privacy HIPAA. Sebbene alcuni stati abbiano le proprie regole, HIPAA è un requisito federale che prevale sulle norme statali in conflitto. Le entità coperte da HIPAA includono non solo i fornitori di assistenza sanitaria come ospedali e case di cura, ma anche piani sanitari (compagnie di assicurazione sanitaria, HMO, ecc.) e case di compensazione per l'assistenza sanitaria (entità che elaborano informazioni sanitarie ricevute da altre entità).

Regola sulla sicurezza HIPAA

La normativa HIPAA Security Rule richiede alle organizzazioni sanitarie di proteggere l'ePHI utilizzando adeguate misure di sicurezza amministrative, fisiche e tecniche. In particolare, la Security Rule impone alle entità coperte di fare quanto segue:

• Assicurare la riservatezza, l'integrità e la disponibilità di tutte le e-PHI che creano, ricevono, mantengono o trasmettono. Questa regola richiede di garantire la riservatezza, l'integrità e la disponibilità dei dati (CIA, o il “CIA triad”). Esaminiamo singolarmente i componenti della regola:
  • Riservatezza. Puoi garantire la riservatezza implementando controlli di sicurezza come le liste di controllo degli accessi (ACL) e la crittografia. La crittografia offre una sicurezza e riservatezza maggiori rispetto alle ACL. Altri controlli di sicurezza o software sono spesso sovrapposti alle ACL e alla crittografia; questi possono includere software di gestione della configurazione, software di monitoraggio e allerta, e software di auditing.
  • Integrità. L'integrità dei dati significa che i dati non sono stati alterati. Ad esempio, se un attacco man-in-the-middle intercetta e modifica i dati prima di inviarli alla loro destinazione originale, i dati non hanno integrità. Un modo per garantire l'integrità è utilizzare una firma digitale o un hash. Per i dati memorizzati nei database, è necessario garantire l'integrità dell'entità, l'integrità referenziale e il dominio
  • Disponibilità. A volte le persone dimenticano che la disponibilità è un elemento fondamentale della sicurezza dei dati. Per garantire che le persone possano accedere ai dati di cui hanno bisogno, le organizzazioni possono implementare varie soluzioni, come la replica dal data center primario a un data center secondario. Bilanciatori di carico, hardware ridondante e altre strategie possono anche contribuire a garantire un'elevata disponibilità.

• Identificare e proteggere contro minacce ragionevolmente prevedibili alla sicurezza o all'integrità delle informazioni protette. Questa regola richiede una certa interpretazione. Molte organizzazioni preferiscono errare per eccesso di cautela e includere il maggior numero possibile di minacce, arrivando persino a includere l'intera catena di approvvigionamento o a limitare l'uso di dispositivi mobili in determinate aree dei loro impianti. Questa interpretazione rigorosa aiuta a garantire che soddisfino i requisiti della regola sulla sicurezza. In ogni caso, le minacce ragionevoli includono certamente la modifica impropria dei dati, l'accesso non autorizzato ai dati e i dati Queste e altre minacce vengono discusse più in dettaglio più avanti in questo articolo.
• Proteggersi contro utilizzi o divulgazioni non consentite prevedibili. Questa regola è anche soggetta a interpretazione. È ragionevole prevedere che un impiegato possa rivelare informazioni sanitarie protette all'amico di un paziente? Potrebbe un medico riferire alcuni record del paziente o dettagli sulla salute del paziente ai media se viene trattata una celebrità? Questa regola potrebbe richiedere di considerare tali casi.
• Assicurati che il personale rispetti la conformità. Questa regola copre alcune delle salvaguardie amministrative necessarie per aderire alla Security Rule. Per garantire la conformità, è necessario educare il personale. Devono comprendere ad alto livello cosa sia HIPAA e il ruolo che svolgono nella conformità, così come le politiche e le procedure di sicurezza della tua organizzazione. È necessaria una formazione ripetuta durante l'anno per assicurarsi che i dipendenti apprendano i nuovi requisiti o metodi. Assicurati anche di implementare test regolari e di fornire ulteriore formazione agli individui che ne hanno bisogno.

Regola sull'applicazione dell'HIPAA

Oltre alla Privacy Rule e alla Security Rule, dovresti anche conoscere la HIPAA Enforcement Rule, che riguarda la conformità, le indagini e le sanzioni.

HITECH Act

La legge Health Information Technology for Economic and Clinical Health (HITECH) amplia l'ambito di applicazione dell'HIPAA. Promuove l'uso di registri sanitari elettronici, aumenta la responsabilità in caso di non conformità, regola la notifica di violazione e richiede che alcuni associati commerciali delle organizzazioni coperte da HIPAA rispettino le normative HIPAA.

Strategie per la conformità HIPAA

È evidente che la conformità a HIPAA compliance è un'impresa complessa e i rischi di fallimento sono elevati. Ci sono molteplici risorse che possono aiutarti a raggiungere e mantenere un ambiente IT conforme a HIPAA, come il HIPAA Software.

L'Istituto Nazionale di Standard e Tecnologia (NIST) stabilisce standard nazionali e offre risorse gratuite per la sicurezza informatica, come framework come il NIST Cybersecurity Framework. La loro guida introduttiva può aiutare la tua organizzazione a conformarsi alla Normativa sulla Sicurezza HIPAA.

L'Health Information Trust Alliance (HITRUST) è un'organizzazione no-profit la cui missione è aiutare le organizzazioni a proteggere i loro dati sensibili. Il loro Common Security Framework (CSF) è un quadro che facilita alle organizzazioni il rispetto di HIPAA e altre leggi, e offre una buona interoperabilità con altri quadri normativi e standard. Anche se HIPAA non è uno standard certificabile, le organizzazioni sanitarie possono ottenere la certificazione HITRUST.

Le più grandi minacce alla sicurezza dei dati sanitari

L'industria sanitaria affronta molte delle stesse minacce alla sicurezza dei dati come altri settori. La differenza principale è che per le organizzazioni sanitarie, i dati sanitari sono solitamente l'obiettivo finale, piuttosto che i segreti commerciali o i registri finanziari. Ecco le principali minacce e potenziali incidenti di sicurezza:

• Violazione dei dati. In generale, quando qualcuno accede a informazioni senza autorizzazione, si tratta di una data breach, sia che la persona sia un insider con intenti malevoli, un hacker o semplicemente un dipendente eccessivamente curioso. Tuttavia, i seguenti casi di divulgazione di PHI non sono considerati data breaches secondo l'HIPAA:
  • Una persona accede o utilizza accidentalmente le PHI “in buona fede e nell'ambito della propria autorità” e non divulga ulteriormente le PHI in modo non consentito dalla HIPAA Privacy Rule.
  • Una persona autorizzata rivela accidentalmente le PHI a un'altra persona autorizzata nella stessa organizzazione e non divulga ulteriormente le PHI in modo non conforme alla Privacy Rule.
  • Una persona autorizzata ha divulgato dati a qualcuno in modo improprio ma crede in buona fede che non saranno in grado di trattenere i dati.

Quando le organizzazioni scoprono una violazione dei dati, devono fornire la notifica di violazione come specificato dalla HIPAA Breach Notification Rule.

• Estrazione di dati. L'estrazione di dati è la copia di informazioni in una posizione non autorizzata. La maggior parte dei casi di estrazione di dati implica la copia di dati in una posizione non autorizzata al di fuori dell'organizzazione. Altri termini comuni per questo sono perdita di dati e estrazione di dati. La regola di notifica di violazione dei dati si applica all'estrazione di dati così come alla violazione dei dati.
• Attacchi di ransomware. Il ransomware è un tipo di software maligno che nega l'accesso a un computer o ai dati su quel computer criptando i dati. Per riavere i tuoi dati, devi pagare un riscatto o ripristinare da un backup. I pagamenti del riscatto sono spesso organizzati tramite valute digitali non rintracciabili, come Bitcoin. Secondo la ricerca di Coveware, il settore sanitario si è classificato al terzo posto tra le industrie prese di mira dagli attacchi di ransomware nel 2019. Questa situazione è improbabile che cambi in meglio, perché gli aggressori capiscono che l'urgenza di ripristinare i dati necessari per il trattamento medico significa che è più probabile che vengano pagati. Tuttavia, pagare il riscatto non garantisce che otterrai effettivamente una chiave di decrittazione; quindi, la migliore strategia per assicurarti di poter recuperare da attacchi di ransomware è avere backup offline.

• Altre minacce informatiche. Una varietà di altre minacce informatiche mette a rischio le organizzazioni sanitarie. Mentre molti attacchi mirano a rubare dati sanitari elettronici, altri cercano di prendere il controllo di dispositivi, sistemi o servizi. Le organizzazioni sanitarie sono bersagli principali per tutti i tipi di attacchi informatici, poiché, come notato in precedenza, la mancanza di disponibilità di sistemi o dati cruciali può portare non solo a multe e danni alla reputazione, ma anche a risultati sanitari scadenti e persino alla perdita di vite umane. L'adozione di nuove tecnologie amplia la superficie di attacco; in particolare, la sicurezza del cloud è una preoccupazione sempre più importante per il settore sanitario.

Conclusione

Alcune organizzazioni sanitarie si affidano ai team IT interni per gestire la maggior parte delle loro esigenze tecniche, mentre altre si affidano a fornitori di servizi o produttori di prodotti per implementare o supportare le loro iniziative di gestione della sicurezza. Indipendentemente dalla strategia che scegli, per proteggere adeguatamente le PHI e comply with HIPAA, devi assicurarti che tu e tutti i tuoi associati commerciali stiate adottando le misure necessarie per minimizzare il rischio che le informazioni sanitarie vengano divulgate, rubate o criptate in modo improprio.