HIPAA-Sicherheitsrisikoanalyse: Eine umfassende Analyse

Einleitung

Das Health Insurance Portability and Accountability Act von 1996 (HIPAA) legte verpflichtende Standards für Gesundheitseinrichtungen fest, denen sie entsprechen müssen. Dazu gehören Verfahren zur Sicherheitsrisikoanalyse, die darauf ausgelegt sind, „potenzielle Risiken und Schwachstellen für die Vertraulichkeit, Integrität oder Verfügbarkeit elektronisch geschützter Gesundheitsinformationen“ zu identifizieren und zu dokumentieren. Compliance beinhaltet die Analyse bestehender Maßnahmen und das Ergreifen von Schritten, um diese Risiken zu minimieren.

Standort

Die HIPAA-Sicherheitsrisikoanalyse beginnt mit der Identifizierung der zu schützenden Informationen. Das Personal lokalisiert diese Informationen und verwendet den Standort als Grundlage für Schutzmaßnahmen, um administrative, technische und physische Schutzmaßnahmen zu etablieren.

Analyse-Schritte

Die Schritte im Analyseprozess fordern die Aufzeichnungsverantwortlichen auf, Assets zu inventarisieren und zu klassifizieren, wahrscheinliche Bedrohungen für jedes Asset zu dokumentieren, eine Schwachstellenanalyse durchzuführen und aktuelle Schutzmaßnahmen zu bewerten. Das Personal wird dann erwartet, Risiken zu dokumentieren, geeignete Schutzmaßnahmen zu empfehlen und einen Ergebnisbericht zu erstellen.

Testung

Einige der in der HIPAA-Sicherheitsrisikoanalyse enthaltenen Tests beziehen sich auf externe Penetrationstests, während andere Tests sich auf Netzwerk-Schwachstellen und drahtlose/Remote-Zugriffsbewertungen konzentrieren.