HIPAA Compliance: Understanding Logging Requirements & Security Rules

HIPAA-overholdelse: Forståelse af logningskrav og sikkerhedsregler

The Health Information Portability and Accountability Act (HIPAA) Security Rule trådte i endelig virkning i 2006 og kræver 18 beskyttelsesstandarder, der styrer, hvordan sundhedsudbydere og forsikringsselskaber håndterer patientinformation. Alle dækkede enheder skal være i fuld overholdelse, eller de kan stå over for retsager, tab af forretning og – for Medicare-deltagere – sanktioner fra Centers for Medicare Services. I 2009 styrkede The American Recovery and Reinvestment Act presset for HIPAA-overholdelse ved at give U.S. Department of Health and Human Services mandat til at fremme udviklingen af en landesdækkende interoperabel Health IT-infrastruktur.

Udbyders fleksibilitet

HIPAA Audit Controls-reglerne fastslår, at "Enheder har fleksibilitet til at implementere standarden på en måde, der er passende for deres behov, som anskueliggøres nødvendigt af deres egne risikoanalyser." Det efterlader et gråt område, som hver berørte part eller organisation skal bestemme for sig selv, når computer login og logout procedurer udvikles, blandt andre informationsteknologiske procedurer. Dog, med så mange faciliteter og virksomheder, der arbejder med den fæderale regering for at overholde, er fælles standarder opstået.

Generelle begivenheder

Informationssystemservere skal være i stand til at indsamle og registrere logningsdata til langsigtede journaler. Især skal begivenheder relateret til logning omfatte succesfulde og mislykkede loginforsøg, logouts, ændringer til brugerkonti, ændringer til privilegeniveauer, brug af privilegerede konti og værktøjer, timeouts, forekomster af overmågede mislykkede logins og enhver begivenhed, hvor en bruger logger ud og en anden logger ind med det samme derefter.

Overvågningsaktiviteter

Systemadministratorer har specielle ansvarsområder for at sikre logningsoverholdelse. Mistænkelige begivenheder som flere mislykkede logins eller enhver login-angreb mod systemet kræver opfølgning med undersøgelse. Brugere bør kræves at have meget stærke og generelt komplekse adgangskoder. Mistænkelige begivenheder bør gennemgås med ledelsesmyndigheder. Systemer skal korrelere ændringer i systemer og filer til den bruger, der udførte dem.

Generelle kontroller

Organisationer skal have detaljerede journaler over, hvilket system der er i stand til at logge hvilke oplysninger. De skal også holde nøjagtig styr på, hvilke brugere udfører hvilke opgaver i hvilke systemer. Logins skal give systemadministratorer og organisationsledere en revisionsspor, der viser, hvad hver bruger har gjort i hvert eneste system.