헬스 IT는 이미지를 클라우드로 이동할 수 없습니다. 온프레미스 시스템을 준수 상태로 유지하는 방법입니다.

왜 일부 시스템은 아무 데도 가지 않는가

모든 의료 시스템이 지금 클라우드를 주목하고 있습니다. 저장 비용은 저렴해지고, 확장도 쉬워졌으며, 공급업체들은 EMR이 아직 왜 도입되지 않았는지 계속 묻고 있습니다. 하지만 어떤 방사선과에 들어가 보면 답은 명확합니다: 그 영상 파일들은 방대하며, 임상의들은 빠르게 필요로 합니다. 대부분의 병원은 이미 영상 지연 시간을 줄이기 위해 각 사이트에 로컬 캐시를 운영하고 있습니다. 그 작업 부하는 사라지지 않을 것입니다.

EMR은 더 어려운 문제입니다. 일부 조직은 이를 클라우드로 이전했습니다. 많은 조직은 그렇지 않은데, 그 이유는 EMR 주변에 구축된 통합(실험실 시스템, 약국, 일정 관리, 장치 인터페이스)이 클라우드 호스팅 EMR이 실시간으로 데이터를 왕복해야 할 때 항상 보장할 수 없는 낮은 지연 시간에 의존하기 때문입니다. 통합을 제거하면 임상의가 실시간 환자 진료 중에 로딩 표시기를 바라보게 될 위험이 있습니다.

핵심 임상 시스템이 온프레미스에 있는 한, Active Directory 도 유지됩니다. 이것은 모든 다른 것이 인증하는 신원 계층입니다. 환경의 나머지가 준비되기 전에 이를 이동하는 것은 아무것도 제거하지 않고 위험만 추가합니다.

온프레미스에 머무르는 것은 정체되어 있는 것이 선택지가 아님을 의미합니다. 클라우드 공급자가 조용히 운영 체제를 패치하거나 구성을 강화 하는 작업을 백그라운드에서 수행하지 않습니다. 병원이 시스템을 자체적으로 유지한다면, 그 시스템을 최신 상태로 안전하게 유지하는 전체 수명 주기도 내부에서 관리되며, 실제로 그것이 이루어지고 있음을 증명하는 것은 공급업체가 아닌 조직의 책임이 됩니다.

많은 의료 IT 팀에게 현실적인 상황은 다음과 같습니다: 클라우드 마이그레이션 이야기는 사실이지만 부분적입니다. 방사선 서버, EMR 통합 지점, AD는 당분간 온프레미스에 남아 있습니다. 그리고 이러한 시스템들은 여전히 다른 모든 것과 동일한 규정 준수 기준을 충족해야 합니다.

문제가 발생했을 때 HIPAA가 기대하는 것

HIPAA 위반 통지 규칙은 기본적으로 최악의 상황을 가정합니다. 보호된 건강 정보가 HIPAA에서 허용하지 않는 방식으로 사용되거나 공개되는 경우, 조직이 실제로 PHI가 손상되었을 가능성이 낮다는 위험 평가를 문서화하지 않는 한 법은 이를 위반으로 간주합니다. 해당 평가는 어떤 유형의 PHI가 관련되었는지, 누가 접근했는지, 실제로 열람되거나 획득되었는지, 위험이 완화되었는지 등을 고려해야 합니다.

위반이 확인되면 시간이 시작됩니다. 영향을 받은 개인은 부당한 지연 없이 발견 후 60일 이내에 통지를 받아야 합니다. 500명 이상의 사람들에게 영향을 미치는 위반은 60일 이내에 HHS에 통지해야 하며, 경우에 따라 언론 통지도 필요합니다. 소규모 위반은 연례 보고서에 포함됩니다.

온프레미스 방사선 서버나 EMR 통합 박스에서 가장 중요한 부분은 조직이 무슨 일이 있었는지 재구성할 수 있어야 한다는 것입니다. 누가 파일을 만졌는지. 언제. 변경이 예상되었는지 여부. 이것이 없으면 위험 평가가 "모르겠다"로 기본 설정되고, "모르겠다"는 보고 가능한 위반으로 기본 설정됩니다.

로그만으로는 감사를 통과할 수 없습니다

온프레미스 시스템은 끊임없이 변경됩니다: 패치, 구성 편집, 새 계정, 공급업체 엔지니어가 새벽 2시에 PACS 인터페이스에 원격 접속하여 인쇄 대기열을 수정하는 경우 등. 대부분은 문제가 없습니다. 일부는 전혀 허가되지 않았으며, 운영 체제의 기본 로그는 어떤 것이 어떤 것인지 알려주지 않습니다. 레지스트리 키가 변경되었다고만 알려줄 뿐, 그 변경이 승인된 티켓에 따른 것인지 아니면 접근 권한이 없어야 할 사람이 한 것인지 알려주지 않습니다.

그래서 OCR이나 감사관이 특정 EMR 인터페이스 서버가 지난 분기에 변경되었는지 묻는다면, 많은 팀의 솔직한 대답은 "확인해 봐야 한다"입니다. 위반 여부를 판단하는 시간이 이미 흐르고 있을 때 이런 상황은 좋은 위치가 아닙니다.

인력 추가 없이 감사 증거 구축

Netwrix Change Tracker 헬스 IT가 온프레미스에 남아 있어야 하는 시스템, 예를 들어 방사선 서버, EMR 통합 지점, 그리고 어디로도 이동하지 않는 Active Directory 인프라의 무결성을 유지할 수 있는 방법을 제공합니다.

이 시스템들에 대해 알려진 정상 기준선을 구축한 후, Windows, Linux 및 네트워크 장치 간의 파일 무결성과 구성 상태를 실시간으로 감시합니다. 레지스트리 키, 구성 파일 또는 로컬 계정 등 무언가 변경되면 Change Tracker가 승인된 계획 변경 사항과 대조합니다. 승인된 변경 창과 일치하면 예상된 활동으로 기록됩니다. 일치하지 않으면 즉시 표시되어 IT 부서가 감사나 사고 검토 중에 발견하는 대신 몇 분 내에 알 수 있습니다.

"확인하러 가야 한다"가 "여기 있다"로 바뀐다는 뜻입니다. 기록에는 이미 무엇이 언제 변경되었고 승인되었는지가 표시되어 있으며, 이것이 방어 가능한 4요소 위험 평가의 대부분 작업입니다.

변경 추적기는 또한 HIPAA, HIPAA, NIST, 및 PCI DSS와 같은 프레임워크에 매핑된 250개 이상의 사전 구축된 컴플라이언스 보고서를 제공합니다. 따라서 제어가 적용되었다는 것을 증명하는 것이 매 감사 주기마다 보고서를 처음부터 작성하는 것을 의미하지는 않습니다. 증거는 감사자가 기대하는 방식으로 이미 구조화되어 있습니다.

헬스 IT에서 클라우드에 대한 논의는 끝나지 않았으며, 끝나서는 안 됩니다. 그러나 온프레미스에 남아 있는 시스템은 여전히 관리되고 있음을 입증해야 합니다. Change Tracker는 IT 및 컴플라이언스 팀이 나머지 인프라가 따라올 때까지 기다리지 않고 이를 수행할 수 있는 방법을 제공합니다.