Sicherheit und IT im Gesundheitswesen: Ein Fragebogen zur Einhaltung der HIPAA-Vorschriften

Als MSP auf dem heutigen Markt ist Ihnen das Akronym „HIPAA“ wahrscheinlich schon einmal begegnet. Wenn zu Ihren Kunden Gesundheitsdienstleister, Clearingstellen oder Unternehmen gehören, die mit elektronischen geschützten Gesundheitsdaten (ePHI) umgehen, dann haben Sie mit ziemlicher Sicherheit schon von der HIPAA-Konformität gehört.

HIPAA( Health Insurance Portability and Accountability Act) ist eine Reihe von Vorschriften in den Vereinigten Staaten, die für alle Personen gelten, die Zugriff auf Daten und/oder Netzwerke haben, die ePHI enthalten. Wenn Sie lediglich ein Netzwerk für einen Kunden verwalten, der mit ePHI umgeht, und selbst wenn Sie niemals auf diese Informationen zugreifen, gelten Sie dennoch als „Geschäftspartner“ im Sinne des Gesetzes, sind gesetzlich zur Einhaltung des Gesetzes verpflichtet und können im Falle einer Datenpanne haftbar gemacht werden.

Das bedeutet: Wenn Sie Kunden im Gesundheitswesen betreuen oder dies beabsichtigen, müssen Sie die HIPAA-Vorschriften einhalten. Auch wenn es sich bei HIPAA um ein US-amerikanisches Gesetz handelt, gibt es in vielen Ländern ähnliche Gesetze mit vergleichbaren Anforderungen.

Damit stellt sich eine entscheidende Frage: Was sind die Anforderungen der HIPAA-Konformität in Bezug auf IT-Sicherheit, Identitäts- und Zugriffsmanagement?

Glücklicherweise habe ich die Antworten auf diese Frage in eine Liste einfacher Ja-oder-Nein-Fragen zusammengefasst, die Sie Ihrem Kunden stellen können. Wenn die Antwort „Nein“ lautet, sollten Sie das als schlechtes Zeichen werten.

Sicherheitsrichtlinien und -verfahren

Es müssen Richtlinien zur Bearbeitung und Bewältigung aller Sicherheitsverstöße festgelegt werden. Sie können Ihren Kunden beispielsweise folgende Fragen stellen:

• Sind sich Ihre Mitarbeiter der Sanktionen bewusst, die bei Sicherheitsverstößen verhängt werden?
• Gibt es interne Sanktionen für Mitarbeiter, die gegen Sicherheitsvorschriften verstoßen?
• Wissen alle Ihre Nutzer, wie sie sich im Falle von Sicherheitsvorfällen oder -problemen verhalten sollen?
• Gibt es ein Verfahren zur Dokumentation, Nachverfolgung und Behebung von Sicherheitsproblemen oder -vorfällen?
• Gibt es jemanden, der dafür zuständig ist, alle Sicherheitsprotokolle, Berichte und Aufzeichnungen zu überprüfen?
• Gibt es bei Ihnen einen Sicherheitsbeauftragten, der für die Passwort- und Smart-Security-Richtlinien zuständig ist?
• Haben Sie schon einmal eine Risikoanalyse durchgeführt?

Zugriffsverwaltung

Der Zugriff auf ePHI muss auf diejenigen beschränkt sein, die über eine entsprechende Zugriffsberechtigung verfügen. Sie können Ihren Kunden beispielsweise folgende Fragen stellen:

• Verfügen Sie über Maßnahmen zur Genehmigung oder Überwachung des Zugriffs auf ePHI?
• Gibt es Verfahren zur Überprüfung der Berechtigung für den Zugriff auf ePHI?
• Wird im Falle einer Kündigung des Mitarbeiters dessen Zugriff auf ePHI gesperrt?

Schulung zum Sicherheitsbewusstsein

Die HIPAA schreibt vor, dass für alle Mitarbeiter ein Schulungsprogramm zur Sensibilisierung für Sicherheitsfragen eingerichtet werden muss. Sie können Ihren Kunden beispielsweise folgende Fragen stellen:

• Werden die Mitarbeiter regelmäßig auf Sicherheitsaspekte hingewiesen?
• Führen Sie Besprechungen über die Bedeutung von Passwörtern, Software und IT-Sicherheit durch?
• Sind sich Ihre Mitarbeiter über den Umgang mit Schadsoftware im Klaren?
• Gibt es bei Ihnen Verfahren zur regelmäßigen Überprüfung von Anmeldeversuchen?
• Wird bei diesen Verfahren auf Unstimmigkeiten oder Probleme geprüft?
• Haben Sie Verfahren zur Überwachung, Verwaltung und zum Schutz von Passwörtern eingerichtet?

Das Worst-Case-Szenario

Es sollte ein Plan für den Schutz und die Nutzung von ePHI im Falle eines Notfalls oder einer Katastrophe vorliegen. Sie sollten Ihren Kunden Fragen stellen wie:

• Gibt es erprobte und überarbeitete Notfallpläne?
• Wurden die für diese Notfallpläne erforderlichen Anwendungen und Daten analysiert?
• Können im Falle einer Katastrophe (I.T.E.O.A.D.) Kopien von ePHI erstellt oder abgerufen werden?
• I.T.E.O.A.D… Können alle ePHI wiederhergestellt oder wiedergewonnen werden?>
• I.T.E.O.A.D… Sind Ihre ePHI-Daten geschützt?
• I.T.E.O.A.D… Können kritische, mit ePHI verbundene Geschäftsfunktionen ausgeführt werden?

Verträge für Geschäftspartner

Geschäftspartnerverträge sind sowohl für ITSPs als auch für MSPs, die im Gesundheitswesen tätig sind, von entscheidender Bedeutung. Zwar kann der Verzicht auf den Abschluss einer Vereinbarung einen gewissen Schutz vor gesetzlicher Haftung bieten, doch die detaillierte Festlegung und Unterzeichnung der vereinbarten Pflichten und Haftungen kann im Falle einer Untersuchung, eines Audits oder eines Datenschutzverstoßes einen deutlich höheren Schutz bieten. Eine umfassende Dokumentation ist entscheidend, wenn es darum geht, sich selbst zu schützen.

Technische und physische Schutzmaßnahmen

Es müssen Verfahren vorhanden sein, die den physischen Zugang zu Räumlichkeiten und Geräten, in denen ePHI-Daten gespeichert sind, einschränken. Darüber hinaus ist es ebenso wichtig, dass diese Verfahren sicherstellen, dass alle ePHI-Daten ausschließlich den Mitarbeitern zugänglich sind, die dazu berechtigt sind.

Als IT-Mitarbeiter liegt es in Ihrer Verantwortung, sicherzustellen, dass der Zugriff auf Anwendungen und Daten, die ePHI enthalten, ausschließlich auf autorisierte Benutzer beschränkt ist. Hier kommt der Authentifizierung eine entscheidende Rolle zu.

Eine Methode, die Sie mit Ihrem Kunden besprechen können, ist die sogenannte Multi-Faktor-Authentifizierung (MFA). Bei der MFA melden sich Benutzer sowohl mit einem Passwort als auch mit einem zusätzlichen Sicherheitsfaktor wie einem Fingerabdruckscan oder einem Einmalcode aus einer sicheren mobilen App an. Das hohe Sicherheitsniveau der MFA ermöglicht es Unternehmen zudem, andere Produktivitäts- und Sicherheitslösungen wie Single Sign-On (SSO) zu nutzen, bei dem ein einziger Zugangsnachweis den Zugriff auf andere Systeme ermöglicht. Für viele Unternehmen, die die HIPAA-Vorschriften einhalten müssen, sind die Multi-Faktor-Authentifizierung und Single Sign-On bequeme und praktische Lösungen für viele ihrer Probleme bei der Einhaltung der Vorschriften.