ヘルスITは画像をクラウドに移動できません。オンプレミスシステムを準拠させ続ける方法をご紹介します。

なぜ一部のシステムは進展しないのか

現在、すべての医療システムがクラウドに注目しています。ストレージコストは低く、スケーリングは容易で、ベンダーはなぜEMRがまだ導入されていないのかと問い続けています。しかし、どの放射線科に入っても答えは明らかです：これらの画像ファイルは巨大で、臨床医はそれらを迅速に必要としています。ほとんどの病院はすでに画像の遅延を抑えるために各サイトでローカルキャッシュを運用しています。その作業負荷はなくなりません。

EMRはより難しい判断です。一部の組織はクラウドに移行していますが、多くはそうしていません。なぜなら、それを取り巻く統合（検査システム、薬局、スケジューリング、デバイスインターフェース）は、リアルタイムでデータが往復しなければならない場合にクラウドホストのEMRが常に保証できるとは限らない低遅延に依存しているからです。統合を取り除くと、臨床医がライブの患者対応中に読み込み中の表示を見つめるリスクがあります。

主要な臨床システムがオンプレミスにある限り、Active Directory も維持されます。これは他のすべてが認証するアイデンティティ層です。環境の残りが準備できる前にこれを移動すると、何も取り除かずにリスクだけが増えます。

オンプレミスにとどまることは、静的なままでいることが選択肢ではないことも意味します。クラウドベンダーが静かにOSをパッチしたり、設定を強化 することはありません。病院がシステムを社内に保持する場合、そのシステムを最新かつ安全に保つライフサイクル全体も社内に留まり、それが実際に行われていることを証明するのはベンダーではなく組織の仕事になります。

多くの医療ITチームにとっての現実はこうです：クラウド移行の話は現実ですが、部分的です。放射線サーバー、EMR統合ポイント、およびADは、当面の間オンプレミスに残ります。そして、それらのシステムは他のすべてと同じコンプライアンス基準を満たす必要があります。

問題が発生したときにHIPAAが期待すること

HIPAA違反通知規則は、デフォルトで最悪の事態を想定しています。保護された健康情報がHIPAAで許可されていない方法で使用または開示された場合、組織がPHIが実際に侵害された可能性が低いことを示すリスク評価を文書化できない限り、法律はそれを違反とみなします。その評価では、どの種類のPHIが関与していたか、誰がアクセスしたか、実際に閲覧または取得されたか、リスクが軽減されたかどうかなどを考慮する必要があります。

違反が確認されると、時計が動き始めます。影響を受けた個人には、不合理な遅延なく、発見から60日以内に通知する必要があります。500人以上に影響を与える違反は、60日以内にHHSへの通知が必要であり、場合によってはメディアへの通知も必要です。小規模な違反は年次報告書にまとめられます。

オンプレミスの放射線サーバーやEMR統合ボックスで最も重要な部分は、組織が何が起こったかを再構築できることです。誰がファイルに触れたか。いつ。変更が予期されていたかどうか。それがなければ、リスク評価は「わからない」がデフォルトとなり、「わからない」は報告可能な違反となります。

ログだけでは監査に耐えられません

オンプレミスシステムは常に変化しています：パッチ、設定の編集、新しいアカウント、ベンダーのエンジニアが午前2時にPACSインターフェースにリモートアクセスして印刷キューを修正するなど。そのほとんどは問題ありません。一部はまったく許可されておらず、ネイティブOSのログはどれがどれかを教えてくれません。レジストリキーが変更されたことは示しますが、その変更が承認されたチケットに対応しているのか、アクセス権のない誰かによるものかは教えてくれません。

そのため、OCRや監査人が特定のEMRインターフェースサーバーが前四半期に操作されたかどうかを尋ねた場合、多くのチームの正直な答えは「確認しなければならない」というものです。違反の判定がすでに始まっている時に、そのような状況に立っているのは良いことではありません。

人員を増やさずに監査証拠を構築する

Netwrix Change Tracker ヘルスITに対して、放射線サーバー、EMR統合ポイント、およびどこにも移動しないActive Directoryインフラストラクチャを含む、オンプレミスに留まる必要があるシステムの整合性を維持する方法を提供します。

これらのシステムの既知の正常なベースラインを構築し、その後、Windows、Linux、およびネットワーク機器 間でファイルの整合性と構成状態をリアルタイムで監視します。レジストリキー、設定ファイル、ローカルアカウントなど何かが変更されると、Change Trackerは承認された計画変更と照合します。承認された変更ウィンドウに一致すれば、予期された活動として記録されます。一致しなければ即座にフラグが立てられ、ITは監査やインシデントレビューで発見するのではなく、数分で知ることができます。

「確認しに行かなければならない」が「ここにある」に変わるということです。記録には何がいつ変更されたか、そしてそれが許可されたかどうかがすでに表示されており、それが防御可能な4要素リスク評価のほとんどの作業です。

チェンジトラッカー は、HIPAA、HIPAA、NIST、および PCI DSS のようなフレームワークにマッピングされた250以上の事前構築済みコンプライアンスレポートも提供します。したがって、コントロールが適用されていることを証明することは、監査サイクルごとにゼロからレポートを作成することを意味しません。証拠は監査人が期待する方法で既に構造化されています。

ヘルスITにおけるクラウドの議論はまだ終わっておらず、終わるべきではありません。しかし、オンプレミスに残るシステムは依然として管理下にあることを証明する必要があります。Change Trackerは、ITおよびコンプライアンスチームがインフラの他の部分が追いつくのを待つことなく、それを実現する方法を提供します。