HIPAA-Compliance: Wesentliche IT-Anforderungen für Gesundheitsorganisationen

Anstatt spezifische Informationstechnologien für die Compliance vorzuschreiben, bietet der Health Insurance Portability and Accountability Act von 1996 (HIPAA) Gesundheitsorganisationen Richtlinien zum Schutz elektronisch gespeicherter Patientengesundheitsinformationen vor Missbrauch. Diese Richtlinien umfassen die Kontrolle des Zugriffs auf Daten in Computersystemen, die Einrichtung von Audit-Kontrollen, die Authentifizierung von Daten, die die Organisation sendet und empfängt, sowie die Authentifizierung von Systembenutzern.

Zugriffs-/Autorisierungskontrolle

Jede Organisation muss Verfahren entwickeln oder Technologien implementieren, um ihrem Personal Zugriff auf die Computersysteme der Gesundheitsorganisation zu gewähren. Die Vorschrift verlangt dokumentierte Verfahren für den Zugriff basierend auf der Rolle oder dem Rang des Mitarbeiters. Einige Netzwerkkomponenten, die eine Gesundheitsorganisation zur Kontrolle des Zugriffs zwischen Büros einsetzen kann, umfassen Intranet-Systeme, private Computernetzwerke, sowie Hardware oder Software, die eine Firewall einrichtet, um unbefugten Zugriff zu blockieren.

Audit-Kontrollen

Sicherheitsbeauftragte in Gesundheitsorganisationen können Technologien implementieren, um Audit-Trails oder Protokolle zu erstellen, die jeden Zugriffsversuch auf Informationen aufzeichnen. Technologiebasierte Audit-Kontrollen können operationelle Unregelmäßigkeiten aufzeichnen, wie wiederholte erfolglose Versuche, das Netzwerk zu betreten. Gesundheitsorganisationen können eine Kombination aus administrativen und Netzwerkrichtlinien, Hardware und Software nutzen, um unbefugten Informationszugriff aufzuzeichnen und darauf zu reagieren.

Datenauthentifizierung

Einige Gesundheitsorganisationen entscheiden sich möglicherweise für die Implementierung von Verschlüsselungstechnologien, um die Sicherheit von Daten zu gewährleisten, die zwischen der Organisation und ihren Geschäftspartnern übermittelt werden. Datenverschlüsselung macht eine Nachricht für jeden außer einem Empfänger mit einem Schlüssel zum Entschlüsseln der Daten unlesbar. Zusätzlich zur Kommunikation mit Geschäftspartnern können Gesundheitsorganisationen Verschlüsselung implementieren, um klinische Daten und Laborergebnisse zu übermitteln oder mit Patienten zu kommunizieren. Eine Organisation kann auch in Betracht ziehen, digitale Signaturtechnologie und Antivirensoftware zu implementieren, um Daten zu authentifizieren und Computersysteme vor Hackern zu schützen.

Entitätsauthentifizierung

Die HIPAA-Sicherheitsregel verlangt, dass Gesundheitsorganisationen jedem Mitarbeiter eine „eindeutige Benutzerkennung“ zum Einloggen in Computersysteme bereitstellen und automatische Abmeldefunktionen an Arbeitsplätzen implementieren. Die Vorschrift empfiehlt Benutzerauthentifizierungstechnologien, die von Passwörtern und persönlichen Identifikationsnummern (PINs) bis hin zu biometrischen Identifikationssystemen wie Daumenabdruck- und Iris-Scans sowie Smartcards reichen, um Benutzer zu verifizieren, die berechtigt sind, physische Räume, Terminals oder auf Computersystemen gespeicherte Daten zu betreten.