Zabezpieczenia techniczne HIPAA: Jak chronić wrażliwe dane
Published: 2024-03-21 07:50:42

Technologia ewoluowała, stając się kluczowym narzędziem w zarządzaniu danymi. Dawno minęły czasy, gdy firmy zarządzały fizycznymi plikami zawierającymi poufne informacje. Obecnie, wraz z postępem technologicznym, [organizacje opieki](https://www.pubnub.com/solutions/digital-health/) zdrowotnej przyjęły elektroniczną dokumentację medyczną (EHR), umożliwiając osobom fizycznym i świadczeniodawcom zdalny dostęp do informacji. Ta cyfrowa transformacja wprowadza jednak nowe luki w zabezpieczeniach. Aby przeciwdziałać takim zagrożeniom i zapewnić bezpieczne zarządzanie elektronicznymi chronionymi informacjami zdrowotnymi (ePHI), opracowano zabezpieczenia techniczne HIPAA..

Czym są PHI w rozumieniu HIPAA?
-------------------------------

PHI (Protected Health Information) oznacza wszelkie możliwe do zidentyfikowania informacje zdrowotne wykorzystywane przez podmiot objęty HIPAA lub podmiot powiązany biznesowo. Istnieje [18 rodzajów](https://www.pubnub.com/learn/glossary/what-is-phi-protected-health-information/) danych HIPAA, które są uważane za chronione informacje zdrowotne, a niektóre przykłady PHI obejmują imię i nazwisko, adres lub dokumentację medyczną.

### PII a PHI: Jaka jest różnica

Informacje umożliwiające identyfikację osoby (PII) idą w parze z PHI. Definiuje się je jako wszelkie dane pacjenta, które można wykorzystać do zidentyfikowania konkretnej osoby. Może to obejmować identyfikator, taki jak numer ubezpieczenia społecznego lub numer identyfikacyjny pacjenta. Krótko mówiąc, PII służy do rozróżniania lub śledzenia czyjejś tożsamości. Zasadniczo różnica między nimi polega na tym, że PHI odnosi się do podmiotów objętych HIPAA, które posiadają te możliwe do zidentyfikowania informacje zdrowotne.

Pięć zabezpieczeń technicznych HIPAA
------------------------------------

Zgodnie z definicją zawartą w tekście rozporządzenia w sprawie uproszczeń administracyjnych HIPAA, zabezpieczenia techniczne to "technologia oraz zasady i procedury jej stosowania, które chronią elektroniczne chronione informacje zdrowotne i kontrolują dostęp do nich". Aby przestrzegać tego zabezpieczenia, podmioty objęte muszą przestrzegać następujących zabezpieczeń technicznych w celu zapewnienia [zgodności](https://www.pubnub.com/blog/what-is-hipaa-understanding-business-compliance-requirements/) z HIPAA.

### Zabezpieczenia techniczne HIPAA: Kontrola dostępu

Kontrola dostępu, jako część zabezpieczeń technicznych, odgrywa znaczącą rolę w zapobieganiu naruszeniom danych. Ogranicza ona nieautoryzowany dostęp do ePHI i zmniejsza ryzyko naruszenia bezpieczeństwa danych. Zgodnie z zasadami bezpieczeństwa HIPAA, firmy wdrażają procedury kontrolujące dostęp do informacji zdrowotnych. Wraz z pojawieniem się zaawansowanych technologii, firmy mogą teraz wykorzystywać systemy takie jak biometryczne lub oparte na sztucznej inteligencji systemy kontroli dostępu, oferujące wyższy poziom bezpieczeństwa. Wdrożenie zasad, takich jak wymaganie unikalnej nazwy i unikalnej identyfikacji użytkownika, a także automatyczne wylogowywanie się ze stacji roboczych i systemów informatycznych, a także fizyczne zabezpieczenia tych systemów.

### **Zabezpieczenia techniczne HIPAA: Kontrola audytu**

Podczas gdy kontrola dostępu zapewnia pozostawienie okruchów chleba, kontrole audytu stają się odpowiedzialne za ich śledzenie. Można to osiągnąć na kilka sposobów. Jednym z najczęstszych jest rejestrowanie działań związanych z dostępem i korzystaniem z plików zawierających elektroniczne PHI. Ważne jest, aby nie czekać na pojawienie się skargi, aby zbadać te informacje. Proaktywne organizacje przydzielają zadanie audytu działań sesji swoim zespołom IT, menedżerom, kierownikom zespołów, a nawet audytorom specjalizującym się w tym obszarze.

Dobre mechanizmy kontroli audytu obejmują więcej niż tylko zbieranie danych. Powinna również istnieć możliwość generowania raportów na żądanie. Dane te mogą obejmować, ile osób uzyskało dostęp do określonego pliku i kiedy. Może to również obejmować aktywność sesji jednego konkretnego pracownika, który może być podejrzany o niezgodność z przepisami. Gdy niezgodność jest zamierzona, raporty z audytu pomagają chronić organizacje, wykazując, że naruszenia były działaniem jednego pracownika, a nie kwestią ogólnofirmową lub niedbałą polityką.

Kontrole audytowe mogą pomóc podmiotom objętym ubezpieczeniem i śledczym odkryć wzorce, które prowadzą ich do słabych punktów. Czasami jest to niezamierzone. Na przykład nowy pracownik może nie w pełni rozumieć lub nie przestrzegać wszystkich zaleceń technicznych zawartych w polityce firmy.

### **Zabezpieczenia techniczne HIPAA: PHI i integralność danych**

HHS definiuje integralność danych jako cechę danych, które nie uległy["niewłaściwej zmianie lub zniszczeniu](https://www.hhs.gov/sites/default/files/ocr/privacy/hipaa/administrative/combined/hipaa-simplification-201303.pdf)". HHS określa kwestie bezpieczeństwa pacjentów jako jedną z głównych obaw w takich przypadkach. Brakujące lub zmienione informacje mogą spowodować, że ktoś otrzyma nieprawidłową diagnozę, leczenie lub leki.

Specjaliści najprawdopodobniej podejrzewają złośliwe zachowanie kogoś innego, na przykład hakera lub członka personelu medycznego. Dane mogą jednak ulec uszkodzeniu samoistnie. Usterka w systemie lub błąd podczas zapisywania pliku może spowodować nieautoryzowane i niezamierzone zmiany.

Jednym z najlepszych sposobów na zachowanie integralności danych jest przechowywanie wszystkich danych PHI poza siedzibą firmy przez co najmniej sześć lat. Dane powinny być przechowywane w oryginalnych formatach i nie powinny być modyfikowalne. Wszelkie nowe dane mogą wymagać utworzenia nowego pliku.

### **Zabezpieczenia techniczne HIPAA: Uwierzytelnianie osoby lub podmiotu**

Aby zachować zgodność z kontrolą dostępu, kontrolą audytu i integralnością, podmioty objęte muszą zainwestować w funkcje uwierzytelniania. Istnieje kilka sposobów realizacji tego kroku. Najpopularniejsze metody mogą obejmować wysyłanie wiadomości e-mail, dzwonienie, korzystanie z aplikacji lub strony internetowej lub osobiste odwiedzanie organizacji.

Uwierzytelnianie jest równie ważne dla pacjentów, jak i pracowników. Jak wspomniano wcześniej, indywidualne loginy ułatwiają śledzenie aktywności sesji. Jeśli chodzi o uwierzytelnianie, zakłada się, że osoba, która nie powinna mieć dostępu do pewnych informacji, nie będzie miała dostępu do hasła, aby dostać się do systemu.

Kiedy ludzie dzwonią, wysyłają e-maile lub odwiedzają osobiście, przedstawienie dowodów jest również niezbędne. Informacje identyfikujące mogą obejmować wydany przez rząd dokument tożsamości z imieniem i nazwiskiem oraz zdjęciem, numer ubezpieczenia społecznego lub inne dane osobowe. Niektóre firmy ubezpieczeniowe mogą na przykład poprosić o podanie daty urodzenia lub adresu zamieszkania.

### **Zabezpieczenia techniczne HIPAA: Bezpieczeństwo transmisji**

Jednym z najtrudniejszych aspektów ochrony PHI jest ich przenoszenie. Przenoszenie danych między stronami - nawet jeśli obie strony są upoważnione - stwarza luki w zabezpieczeniach. Jedna strona może nie zabezpieczyć danych tak dobrze, jak druga. Mogą również mieć słabe punkty w sieciach, które zapewniają im połączenie. Słabości transmisji mogą ułatwić cyberprzestępcom przechwytywanie i kradzież danych bez konieczności włamywania się do firmy.

HHS zaleca stosowanie dwóch głównych narzędzi do ochrony danych podczas transmisji. Pierwszym z nich jest kontrola integralności, a drugim szyfrowanie. Kontrola integralności pomaga zapewnić, że te same dane wysyłane są tymi samymi danymi otrzymywanymi. Organizacje mogą to osiągnąć poprzez aktualizację swoich protokołów komunikacji sieciowej. Skuteczne są również kody uwierzytelniania wiadomości.

Eszyfrowanie jest nieco bardziej skomplikowane. Polega ono na zmianie danych z ich oryginalnej formy na coś, czego nie mogą zrozumieć osoby nieupoważnione. Organizacje muszą również osiągnąć ten cel bez naruszania integralności danych. Na szczęście istnieje kilka rodzajów narzędzi do szyfrowania danych dostępnych dla podmiotów objętych ubezpieczeniem.

Ważną rzeczą, na którą należy zwrócić uwagę, jest to, że aby narzędzia szyfrujące działały zgodnie z przeznaczeniem, zarówno nadawca, jak i odbiorca muszą mieć dostęp do tego samego lub kompatybilnego oprogramowania. Najlepiej jest trzymać się jednego narzędzia do użytku w całej organizacji.

Dlaczego zabezpieczenia techniczne są ważne
-------------------------------------------

Istnieją dwa główne powody, dla których ochrona PHI jest tak ważna. Pierwszym z nich jest etyka, a drugim prawo. Z etycznego punktu widzenia pacjenci mają prawo do prywatności. Nieautoryzowany dostęp narusza to prawo i może prowadzić do dostania się bardzo wrażliwych informacji w niepowołane ręce. Uszkodzenie danych może negatywnie wpłynąć na życie pacjentów i zmienić klientów oraz zaufanie do firmy.

### Jaki jest cel technicznych zabezpieczeń bezpieczeństwa?

Jeśli chodzi o aspekt prawny, zasada prywatności HIPAA nakłada na firmy obsługujące PHI obowiązek lepszej ochrony tych danych. Firmy i ich pracownicy, którzy naruszają HIPAA, mogą zostać pozwani. Grzywny mogą sięgać nawet 250 000 USD. Należy również pamiętać, że istnieją [trzy rodzaje organizacji](https://www.hhs.gov/hipaa/for-professionals/covered-entities/index.html), które podlegają tym przepisom:

-   Izby rozliczeniowe opieki zdrowotnej
    
-   Dostawcy planów zdrowotnych
    
-   Dostawcy usług opieki zdrowotnej
    

AWedług HHS zasada prywatności [nie określa szczegółowo, jakie konkretne działania](https://www.hhs.gov/sites/default/files/ocr/privacy/hipaa/understanding/special/healthit/safeguards.pdf) powinny podejmować podmioty objęte ochroną w celu ochrony danych. Wymaga, aby firmy traktowały bezpieczeństwo danych priorytetowo. Mimo to większość z pięciu zabezpieczeń technicznych wymienionych powyżej jest zgodna z zaleceniami HHS.

**Jak spełnić techniczne zabezpieczenia dla standardów PHI**
------------------------------------------------------------

Większość profesjonalistów ma ogólne pojęcie o zabezpieczeniach technicznych HIPAA, nawet bez doświadczenia w dziedzinie technologii. Z drugiej strony, prawidłowe wdrożenie wymaga dużej wiedzy technicznej. W tym celu firmy muszą wybierać partnerów, którzy posiadają odpowiednie umiejętności.

W PubNub tworzymy interfejsy API dla klientów, które nie tylko poprawiają łączność, ale także priorytetowo traktują bezpieczeństwo danych. Oferujemy w pełni [konfigurowalny produkt](https://www.pubnub.com/solutions/digital-health/), aby zapewnić, że spełniamy potrzeby Twojej firmy i Twoich klientów lub pacjentów. Skorzystaj z [naszego formularza kontaktowego](https://www.pubnub.com/company/contact-sales/), aby uzyskać więcej informacji o tym, jak możemy pomóc w ochronie Twoich klientów i PHI.

#### Treść

[Czym jest PHI w rozumieniu HIPAA?](#h-0)[PII a PHI: Jaka](#h-1) jest[różnicaPięć zabezpieczeń technicznych](#h-2)[HIPAAZabezpieczenia techniczne](#h-3)[HIPAA](#h-2)[:](#h-3)[Kontrola dostępu](#h-3)Zabezpieczenia techniczne HIPAA[:](#h-4)[Kontrola audytuZabezpieczenia](#h-4) techniczne HIPAA[:](#h-5)[PHI i integralność](#h-5) danychZabezpieczenia techniczne HIPAA[:](#h-6)[Uwierzytelnianie osoby lub podmiotuZabezpieczenia](#h-6) techniczne HIPAA[:](#h-7)[Bezpieczeństwo transmisjiDlaczego](#h-7)[zabezpieczenia techniczne są ważne](#h-8)Jaki[jest cel technicznych zabezpieczeń bezpieczeństwa](#h-9)Jak[spełnić techniczne zabezpieczenia standardów PH](#h-10)I?

Jak PubNub może ci pomóc?
=========================

Ten artykuł został pierwotnie opublikowany na [PubNub.com](https://www.pubnub.com/blog/understanding-hipaa-technical-safeguards-to-secure-data/)

Nasza platforma pomaga programistom tworzyć, dostarczać i zarządzać interaktywnością w czasie rzeczywistym dla aplikacji internetowych, aplikacji mobilnych i urządzeń IoT.

Podstawą naszej platformy jest największa w branży i najbardziej skalowalna sieć komunikacyjna w czasie rzeczywistym. Dzięki ponad 15 punktom obecności na całym świecie obsługującym 800 milionów aktywnych użytkowników miesięcznie i niezawodności na poziomie 99,999%, nigdy nie będziesz musiał martwić się o przestoje, limity współbieżności lub jakiekolwiek opóźnienia spowodowane skokami ruchu.

Poznaj PubNub
-------------

Sprawdź [Live Tour](https://www.pubnub.com/tour/introduction/), aby zrozumieć podstawowe koncepcje każdej aplikacji opartej na PubNub w mniej niż 5 minut.

Rozpocznij konfigurację
-----------------------

Załóż [konto](https://admin.pubnub.com/signup/) PubNub, aby uzyskać natychmiastowy i bezpłatny dostęp do kluczy PubNub.

Rozpocznij
----------

[Dokumenty](https://www.pubnub.com/docs) PubNub pozwolą Ci rozpocząć pracę, niezależnie od przypadku użycia lub [zestawu SDK](https://www.pubnub.com/docs).