Verständnis des HIPAA-Sicheren Logins: Schutz von Patientengesundheitsinformationen

Seit April 2005 sind Gesundheitsorganisationen verpflichtet, Praktiken und Verfahren zu entwickeln und aufrechtzuerhalten, die sensible Patientengesundheitsinformationen schützen, die elektronisch gespeichert und übermittelt werden. Diese Sicherheitsregeln unterstützen die Datenschutzstandards für Gesundheitsinformationen, die im Health Insurance Portability and Accountability Act von 1996 (HIPAA) erlassen wurden. Eine Aufgabe, um Patientendaten sicher zu halten, besteht darin, Technologie zu implementieren, um den Zugriff auf Informationen zu regulieren, die auf Arbeitsplatzcomputern oder Servern gespeichert sind.

Erstellen von Log-ins

Damit es technologieneutral ist, listet die HIPAA-Sicherheitsregel keine Technologien auf, die Krankenhäuser und Krankenkassen verwenden müssen, um Mitarbeiter zu authentifizieren, die berechtigt sind, auf die geschützten Patientendaten der Organisation zuzugreifen. Das U.S. Department of Health & Human Services (HHS) verlangt eine Identifizierung für jeden Benutzer und ermutigt Organisationen, den Zugriff auf elektronisch gespeicherte Daten mit einer Technologie zu kontrollieren, die ihren Bedürfnissen und Budgets entspricht.

Passwörter und PINs

Der traditionelle Weg, wie eine Klinik oder ein Krankenhaus Benutzer authentifizieren kann, umfasst die Erstellung eines eindeutigen Benutzernamens und Passworts für jeden Mitarbeiter. Alphanumerische Passwörter bieten größere Sicherheit. Persönliche Identifikationsnummern (PINs), die oft in Kombination mit einer Bankkarte an einem Geldautomaten verwendet werden, sind numerische Passwörter, die zur Authentifizierung von Benutzern für ein Datensystem verwendet werden.

Smartcards und Token

Smartcards und Token sind physische Geräte, die den Benutzerzugriff autorisieren, wenn sie in einen Kartenleser geschwenkt oder eingeführt werden.

Telefonrückruf

Beim Telefonrückruf für Wählverbindungen registrieren entfernte Benutzer ihren Computer beim Authentifizierungssystem des Host-Computers. Wenn Benutzer auf die Dateien ihrer Organisation zugreifen möchten, weisen sie ihr Terminal an, den Host-Computer anzurufen. Nach Eingabe eines Benutzernamens und Passworts ruft das Host-System die vorregistrierte Telefonnummer des Benutzers zurück. Hochgeschwindigkeits-Internetverbindungen machen den Telefonrückruf überflüssig.

Biometrie und Verhalten

Biometrische Login-Lösungen verwenden Fingerabdruck, Iriserkennung, Netzhautscan, Handgeometrie, Gesicht- und Spracherkennung sowie Handschrift- oder Signaturdynamik, um den Zugriff auf ein Computernetzwerk zu ermöglichen. Verhaltensbasierte Authentifizierung kann die Aufzeichnung der eindeutigen Tastenaktivität jedes Benutzers umfassen, um eine Identifizierung vorzunehmen.

Automatische Abmeldung und Audit-Trail

Um Offenlegungen von unbeaufsichtigten Computern zu verhindern, verlangt HHS automatische Abmeldefunktionen an Terminals. Krankenhäuser und Krankenkassen möchten möglicherweise auch einen Audit-Trail erstellen, der jeden Login in das System sowie alle ungültigen Passwortversuche aufzeichnet.

Sicherung von Log-ins

Selbst wenn ein Krankenhaus oder eine Krankenkasse eine oder mehrere dieser Authentifizierungstechnologien implementiert, müssen Mitarbeiter ein erhöhtes Bewusstsein für den Zugriff auf die Dateien, Computer und Server ihrer Organisation entwickeln. Wenn ein Mitarbeiter seinen Benutzernamen und sein Passwort auf ein Stück Notizpapier schreibt und es in der Nähe seines Arbeitsplatzes befestigt, kann dies die Sicherheit der auf diesem Computer gespeicherten Informationen gefährden.