HIPAA-Passwortsicherheit: Anforderungen und Best Practices

Einleitung

HIPAA, auch bekannt als Health Insurance Portability and Accountability Act, beeinflusst viele Bereiche der Gesundheitsbranche. Es soll die persönlichen Informationen von Kunden schützen, und HIPAA hat die Gesundheitsbranche standardisiert, indem es Regeln bereitstellt, denen Gesundheitsdienstleister folgen müssen, um Kundendaten privat zu halten. Dies umfasst die Standardisierung von Computer-Passwortanforderungen.

Warum ist Computersicherheit wichtig?

HIPAA geht auf Computersicherheit ein, weil im modernen Zeitalter viele unserer Gesundheitsinformationen auf Computern gespeichert werden. Im Gegensatz zu physischen Aufzeichnungen, die oft im Sichtbereich aufbewahrt werden, werden Computeraufzeichnungen in den nebligen Eingeweiden unserer Computer aufbewahrt, die unter den richtigen Umständen von externen Quellen gehackt werden können. Sichere Passwörter tragen dazu bei, dies zu schützen und machen es externen Personen viel schwerer, auf sensible Gesundheitsinformationen zuzugreifen.

Die Grundlagen

HIPAA verlangt gemäß den Bestimmungen des HITECH Act des American Recovery and Reinvestment Act (ARRA), dass Personal, dem die Befugnis zum Zugriff auf geschützte Gesundheitsinformationen erteilt wurde, in der Lage ist, seine Identität gegenüber dem Computer zu verifizieren, der diese Informationen speichert. Dies geschieht, indem dieser Person ein Benutzername und ein Passwort zugewiesen werden; beide sind erforderlich, um die Identität des Anbieters zu verifizieren. Individuelle Passwortanforderungen werden vom Sicherheitsbeauftragten der Organisation festgelegt. Der Sicherheitsbeauftragte bestimmt individuelle Anforderungen, indem er eine Risikoanalyse des Computersystems durchführt; d.h. wie anfällig ist dieses System für Angriffe gemäß den bereits vorhandenen Methoden zu dessen Schutz.

Ein sicheres Passwort erstellen

Passwörter sollten mindestens acht Zeichen lang und alphanumerisch sein. Passwörter sollten nicht auf dem eigenen Benutzernamen, dem tatsächlichen Namen oder einem Wörternamen basieren; d.h. ein gutes Passwort sollte keine Standardwörter enthalten. Passwörter sollten so eingestellt werden, dass jede Anmeldesitzung geschützt wird, in der ein Mitarbeiter auf Gesundheitsinformationen zugreift, die unter HIPAA fallen. Viele Systeme sind empfindlich gegenüber Großbuchstaben, und um ein sicheres Passwort zu erstellen, ist es oft vorteilhaft, sowohl Groß- als auch Kleinbuchstaben in sein Passwort aufzunehmen. Zahlen tragen ebenfalls dazu bei, ein sicheres Passwort zu erstellen.

Einprägsam, aber dennoch sicher

Oft ist es schwer, ein Passwort zu erstellen, das einprägsam, aber dennoch sicher ist. Menschen gehen diesem Problem oft entgegen, indem sie ihr Passwort aufschreiben. Dies ist jedoch nur akzeptabel, wenn das Passwort an einem sicheren Ort aufbewahrt wird. Das Aufschreiben des Passworts und das Aufbewahren neben dem Computer ist nicht sicher und kann zu einem Verstoß gegen HIPAA-Vorschriften führen. Ein sicheres Passwort enthält keine Wörter oder Namen, kann aber genauso einprägsam sein wie eine Phrase, wenn es richtig gemacht wird.

Viele Menschen verwenden Anagramme, um ein einprägsames Passwort zu erstellen. Eine einprägsame Phrase auszuwählen und sie in ein Anagramm umzuwandeln, kann helfen, ein Passwort zu erstellen, das schwer zu knacken ist. Denken Sie daran, dass das Hinzufügen von Großbuchstaben und Zahlen ein Passwort noch sicherer macht. Ein Beispiel für ein Passwort, das nach den oben genannten Regeln erstellt wurde, ist Pp2popp2d. Obwohl das Passwort wie ein Wirrwarr von Buchstaben und Zahlen aussieht, steht es für die folgende Phrase: „Peter picked two pints of pickled peppers today.“ Dies wurde getan, indem der erste Buchstabe jedes Wortes genommen wurde, die Zahlform von „two“ anstelle seiner Wortform verwendet wurde und die Kurzformversion von today, die zu 2day wird, dann weiter zu 2d verkürzt wurde. Dies kann mit fast jeder Phrase getan werden und ergibt ein ziemlich schwer zu entschlüsselndes Passwort. Noch wichtiger ist, dass der Benutzer durch das Kodieren einer Phrase ein Eselsbrücke hat, die zum Einsatz kommen kann, wenn er versucht, sich an sein Passwort zu erinnern.