HIPAA Compliance: Verständnis von Protokollierungsanforderungen und Sicherheitsregeln

Der Health Information Portability and Accountability Act (HIPAA) Security Rule trat 2006 in Kraft und schreibt 18 Schutzstandards vor, die regeln, wie Gesundheitsdienstleister und Versicherer Patientendaten verwalten. Alle abgedeckten Einheiten müssen voll kompatibel sein, sonst können sie Klagen, Geschäftseinbußen und – für Medicare-Teilnehmer – Sanktionen durch die Centers for Medicare Services riskieren. Im Jahr 2009 stärkte der American Recovery and Reinvestment Act den Druck für HIPAA-Compliance, indem er dem U.S. Department of Health and Human Services das Mandat gab, die Entwicklung einer landesweiten interoperablen Health-IT-Infrastruktur zu fördern.

Provider Flexibility

Die HIPAA Audit Controls Regeln legen fest, dass „Einheiten die Flexibilität haben, den Standard auf eine für ihre Bedürfnisse angemessene Weise umzusetzen, wie es durch ihre eigenen Risikoanalysen für notwendig erachtet wird.“ Dies lässt einen Graubereich, den jede betroffene Partei oder Organisation selbst entscheiden muss, wenn sie Computer-Login- und Logout-Verfahren sowie andere IT-Verfahren entwickelt. Da jedoch so viele Einrichtungen und Unternehmen mit der Bundesregierung zusammenarbeiten, um Compliance zu erreichen, haben sich gemeinsame Standards herausgebildet.

Allgemeine Ereignisse

Informationssystem-Server müssen in der Lage sein, Protokolldaten für Langzeitaufzeichnungen zu erfassen und aufzuzeichnen. Insbesondere sollten Ereignisse im Zusammenhang mit der Protokollierung erfolgreiche und fehlgeschlagene Login-Versuche, Logouts, Änderungen an Benutzerkonten, Änderungen an Berechtigungsebenen, Nutzung privilegierter Konten und Dienstprogramme, Timeouts, Instanzen übermäßiger fehlgeschlagener Logins und alle Ereignisse umfassen, in denen sich ein Benutzer abmeldet und ein anderer unmittelbar danach anmeldet.

Monitoring-Aktivitäten

Systemadministratoren haben besondere Verantwortung, um die Protokollkonformität sicherzustellen. Verdächtige Ereignisse wie mehrere fehlgeschlagene Logins oder Login-Angriffe gegen das System erfordern eine Nachverfolgung mit Untersuchung. Benutzer sollten sehr starke und in der Regel komplexe Passwörter verwenden. Verdächtige Ereignisse sollten mit leitenden Beamten überprüft werden. Systeme sollten Änderungen an Systemen und Dateien mit dem Benutzer korrelieren, der sie durchgeführt hat.

Allgemeine Kontrollen

Organisationen benötigen detaillierte Aufzeichnungen darüber, welches System welche Informationen protokollieren kann. Sie müssen auch sorgfältig verfolgen, welche Benutzer welche Aufgaben in welchen Systemen ausführen. Logins sollten Systemadministratoren und Organisationsmanagern einen Audit-Trail liefern, der zeigt, was jeder Benutzer in jedem einzelnen System getan hat.