Die Technologie hat sich zu einem wichtigen Instrument der Datenverwaltung entwickelt. Vorbei sind die Zeiten, in denen Unternehmen physische Akten mit sensiblen Informationen verwalten mussten. Dank des technologischen Fortschritts haben Organisationen des Gesundheitswesens elektronische Gesundheitsakten (EHR) eingeführt, die es Einzelpersonen und Anbietern ermöglichen, aus der Ferne auf Informationen zuzugreifen. Diese digitale Transformation bringt jedoch auch neue Schwachstellen mit sich. Um solchen Bedrohungen entgegenzuwirken und die sichere Verwaltung elektronischer geschützter Gesundheitsinformationen (ePHI) zu gewährleisten, wurden die technischen Schutzmaßnahmen des HIPAA entwickelt..

Was sind PHI im Rahmen des HIPAA?

PHI (Protected Health Information) steht für alle identifizierbaren Gesundheitsinformationen, die von einer unter den HIPAA fallenden Einrichtung oder einem Geschäftspartner verwendet werden. Es gibt 18 Arten von HIPAA-Daten, die als geschützte Gesundheitsinformationen gelten, und einige Beispiele für PHI sind der Name einer Person, ihre Adresse oder ihre Krankenakte.

PII vs. PHI: Was ist der Unterschied?

Persönlich identifizierbare Informationen (PII) gehen Hand in Hand mit PHI. Sie sind definiert als alle Patientendaten, die zur Identifizierung einer bestimmten Person verwendet werden können. Dazu kann eine Kennung wie die Sozialversicherungsnummer oder die Patientenidentifikationsnummer gehören. Kurz gesagt, PII werden verwendet, um die Identität einer Person zu erkennen oder zurückzuverfolgen. Der Unterschied zwischen den beiden besteht im Wesentlichen darin, dass sich PHI auf vom HIPAA erfasste Einrichtungen beziehen, die über diese identifizierbaren Gesundheitsinformationen verfügen.

Die fünf technischen Sicherheitsvorkehrungen des HIPAA

Wie im Text der HIPAA-Verwaltungsvereinfachungsverordnung definiert, sind technische Sicherheitsvorkehrungen "die Technologie und die Richtlinien und Verfahren für ihre Verwendung, die elektronische geschützte Gesundheitsinformationen schützen und den Zugang zu ihnen kontrollieren". Um diese Schutzmaßnahmen einzuhalten, müssen die betroffenen Einrichtungen die folgenden technischen Schutzmaßnahmen befolgen, um die Einhaltung des HIPAA zu gewährleisten.

Technische HIPAA-Schutzmaßnahmen: Zugriffskontrolle

Die Zugangskontrolle als Teil der technischen Sicherheitsvorkehrungen spielt eine wichtige Rolle bei der Verhinderung von Datenverletzungen. Sie schränkt den unbefugten Zugang zu ePHI ein und verringert das Risiko einer Datengefährdung. In Übereinstimmung mit der HIPAA-Sicherheitsrichtlinie führen Unternehmen Verfahren ein, die den Zugang zu Gesundheitsdaten kontrollieren. Mit dem Aufkommen fortschrittlicher Technologien können Unternehmen nun Systeme wie biometrische oder KI-basierte Zugangskontrollsysteme einsetzen, die ein höheres Maß an Sicherheit bieten. Führen Sie Richtlinien ein, die z. B. einen eindeutigen Namen und eine eindeutige Benutzeridentifikation sowie eine automatische Abmeldung von Arbeitsstationen und Informationssystemen sowie physische Sicherheitsvorkehrungen für diese Systeme verlangen.

Technische HIPAA-Schutzmaßnahmen: Audit-Kontrollen

Während die Zugangskontrolle das Hinterlassen von Brotkrumen sicherstellt, sind die Audit-Kontrollen für deren Verfolgung verantwortlich. Es gibt verschiedene Möglichkeiten, dies zu erreichen. Eine der gebräuchlichsten ist die Aufzeichnung von Aktivitäten im Zusammenhang mit dem Zugriff und der Nutzung von Dateien, die elektronische PHI enthalten. Es ist wichtig, mit der Prüfung dieser Informationen nicht zu warten, bis eine Beschwerde auftaucht. Proaktive Organisationen beauftragen ihre IT-Teams, Manager, Teamleiter oder sogar Auditoren, die sich auf diesen Bereich spezialisiert haben, mit der Prüfung von Sitzungsaktivitäten.

Gute Audit-Kontrollmechanismen umfassen mehr als nur das Sammeln von Daten. Es sollte auch möglich sein, auf Wunsch Berichte zu erstellen. Zu diesen Daten kann gehören, wie viele Personen wann auf eine bestimmte Datei zugegriffen haben. Es könnte auch die Sitzungsaktivität eines bestimmten Mitarbeiters untersucht werden, der unter den Verdacht der Nichteinhaltung von Vorschriften geraten ist. Bei vorsätzlichen Verstößen helfen Audit-Berichte, Unternehmen zu schützen, indem sie zeigen, dass die Verstöße von einem einzelnen Mitarbeiter begangen wurden und nicht auf ein unternehmensweites Problem oder laxe Richtlinien zurückzuführen sind.

Auditkontrollen können den betroffenen Einrichtungen und Ermittlern helfen, Muster aufzudecken, die sie auf Schwachstellen hinweisen. Manchmal ist dies unbeabsichtigt. So kann es beispielsweise sein, dass ein neuer Mitarbeiter nicht alle technischen Empfehlungen der Unternehmensrichtlinien versteht oder befolgt.

Technische HIPAA-Schutzmaßnahmen: PHI und Datenintegrität

Das HHS definiert Datenintegrität als die Eigenschaft von Daten, die nichtunzulässig verändert oder zerstört wurden. Das HHS nennt in diesem Zusammenhang Fragen der Patientensicherheit als eines seiner Hauptanliegen. Fehlende oder veränderte Informationen könnten dazu führen, dass jemand eine falsche Diagnose, Behandlung oder Medikation erhält.

Fachleute vermuten am ehesten ein böswilliges Verhalten einer anderen Person, z. B. eines Hackers oder eines Mitglieds des medizinischen Personals. Daten können jedoch auch von selbst beschädigt werden. Eine Panne im System oder ein Fehler beim Speichern der Datei kann zu unbefugten und unbeabsichtigten Änderungen führen.

Eine der besten Methoden zur Wahrung der Datenintegrität besteht darin, alle Ihre PHI-Daten mindestens sechs Jahre lang außerhalb des Unternehmens zu speichern. Die Daten sollten in ihrem ursprünglichen Format gespeichert werden und nicht veränderbar sein. Neue Daten können die Erstellung einer neuen Datei rechtfertigen.

Technische Sicherheitsvorkehrungen des HIPAA: Authentifizierung von Personen oder Einrichtungen

Um Zugriffskontrolle, Auditkontrolle und Integrität zu gewährleisten, müssen die betroffenen Einrichtungen in Authentifizierungsfunktionen investieren. Es gibt verschiedene Möglichkeiten, diesen Schritt zu vollziehen. Zu den gängigsten Methoden gehören E-Mails, Anrufe, die Verwendung einer App oder Website oder der persönliche Besuch der Organisation.

Die Authentifizierung ist für Patienten ebenso wichtig wie für Mitarbeiter. Wie bereits erwähnt, erleichtern individuelle Logins die Nachverfolgung von Sitzungsaktivitäten. Bei der Authentifizierung geht man davon aus, dass eine Person, die keinen Zugang zu bestimmten Informationen haben sollte, auch keinen Zugang zu einem Passwort hat, um in das System zu gelangen.

Bei Anrufen, E-Mails oder persönlichen Besuchen ist auch hier die Vorlage von Beweisen wichtig. Zu den identifizierenden Informationen können ein von der Regierung ausgestellter Ausweis mit Namen und Foto, die Sozialversicherungsnummer oder andere persönliche Informationen gehören. Einige Versicherungsgesellschaften fragen beispielsweise nach dem Geburtsdatum oder der Adresse.

Technische Sicherheitsvorkehrungen nach HIPAA: Übertragungssicherheit

Einer der schwierigsten Aspekte des Schutzes von PHI ist die Übermittlung. Die Übertragung von Daten zwischen verschiedenen Parteien - selbst wenn beide Parteien dazu berechtigt sind - schafft Schwachstellen. Eine Partei kann die Daten nicht so gut schützen wie die andere. Außerdem können die Netzwerke, über die sie miteinander verbunden sind, Schwachstellen aufweisen. Schwachstellen in der Übertragung können es Cyber-Kriminellen erleichtern, Daten abzufangen und zu stehlen, ohne ein Unternehmen hacken zu müssen.

Das HHS empfiehlt die Verwendung von zwei Hauptinstrumenten zum Schutz von Daten während der Übertragung. Das erste sind Integritätskontrollen, das zweite ist die Verschlüsselung. Mit Hilfe von Integritätskontrollen kann sichergestellt werden, dass die gesendeten Daten mit den empfangenen Daten übereinstimmen. Organisationen können dies erreichen, indem sie ihre Netzwerkkommunikationsprotokolle aktualisieren. Nachrichtenauthentifizierungscodes sind ebenfalls wirksam.

Encryption ist ein wenig komplizierter. Dabei werden die Daten aus ihrer ursprünglichen Form in eine für Unbefugte unverständliche Form gebracht. Die Unternehmen müssen dies auch erreichen, ohne die Integrität der Daten zu beeinträchtigen. Glücklicherweise gibt es verschiedene Arten von Datenverschlüsselungstools, die von den betroffenen Einrichtungen verwendet werden können.

Wichtig ist, dass sowohl der Absender als auch der Empfänger über die gleiche oder eine kompatible Software verfügen müssen, damit die Verschlüsselungsprogramme wie vorgesehen funktionieren. Am besten ist es, sich auf ein einziges Tool zu beschränken, das in der gesamten Organisation verwendet wird.

Warum technische Schutzmaßnahmen wichtig sind

Es gibt zwei Hauptgründe, warum der Schutz von PHI so wichtig ist. Der erste Grund ist ethischer Natur, der zweite ist gesetzlicher Natur. Aus ethischer Sicht haben die Patienten ein Recht auf ihre Privatsphäre. Ein unbefugter Zugriff verstößt gegen dieses Recht und kann dazu führen, dass sehr sensible Informationen in die falschen Hände geraten. Die Beschädigung von Daten kann sich negativ auf das Leben der Patienten auswirken und das Vertrauen Ihrer Kunden in Ihr Unternehmen beeinträchtigen.

Was ist der Zweck technischer Sicherheitsvorkehrungen?

Was den rechtlichen Aspekt betrifft, so schreibt die HIPAA-Datenschutzrichtlinie Unternehmen, die mit personenbezogenen Daten umgehen, einen besseren Schutz dieser Daten vor. Unternehmen und ihre Mitarbeiter, die gegen den HIPAA verstoßen, können verklagt werden. Die Geldstrafen können bis zu 250.000 $ betragen. Beachten Sie auch, dass es drei Arten von Organisationen gibt, die unter diese Regelung fallen:

• Clearingstellen für das Gesundheitswesen

• Anbieter von Gesundheitsplänen

• Anbieter von Gesundheitsleistungen

ANach Angaben des HHS enthält die Privacy Rule keine detaillierten Angaben zu den Maßnahmen, die die betroffenen Unternehmen zum Schutz ihrer Daten ergreifen müssen. Sie verlangt, dass die Unternehmen der Datensicherheit Priorität einräumen. Dennoch folgen die meisten der fünf oben genannten technischen Schutzmaßnahmen den Empfehlungen des HHS.

Wie man die technischen Schutzmaßnahmen für PHI-Standards erfüllt

Die meisten Fachleute haben ein allgemeines Verständnis der technischen Sicherheitsvorkehrungen des HIPAA, auch wenn sie keinen technischen Hintergrund haben. Die ordnungsgemäße Umsetzung erfordert jedoch ein umfassendes technisches Know-how. Hierfür müssen Unternehmen Partner wählen, die die erforderlichen Fähigkeiten mitbringen.

Bei PubNub entwickeln wir APIs für Kunden, die nicht nur die Interkonnektivität verbessern, sondern auch die Datensicherheit in den Vordergrund stellen. Wir bieten ein vollständig anpassbares Produkt, um sicherzustellen, dass wir die Anforderungen Ihres Unternehmens und Ihrer Kunden oder Patienten erfüllen. Nutzen Sie unser Kontaktformular, um weitere Informationen darüber zu erhalten, wie wir Ihnen helfen können, Ihre Kunden und PHI zu schützen.

Inhalt

Was ist PHI unter HIPAA?PII vs. PHI: Was ist der UnterschiedDiefünf technischen Sicherheitsvorkehrungen des HIPAAHIPAATechnische Sicherheitsvorkehrungen: ZugriffskontrolleHIPAATechnische Sicherheitsvorkehrungen: Audit-KontrollenHIPAATechnische Sicherheitsvorkehrungen: PHI und DatenintegritätHIPAA Technische Sicherheitsvorkehrungen:Authentifizierung von Personen oder EinrichtungenHIPAATechnische Schutzmaßnahmen: ÜbertragungssicherheitWarumtechnische Sicherheitsvorkehrungen wichtig sindWasist der Zweck von technischen SicherheitsvorkehrungenWieerfüllt man technische Sicherheitsvorkehrungen für PHI-Standards?

Wie kann PubNub Ihnen helfen?

Dieser Artikel wurde ursprünglich auf PubNub.com veröffentlicht.

Unsere Plattform hilft Entwicklern bei der Erstellung, Bereitstellung und Verwaltung von Echtzeit-Interaktivität für Webanwendungen, mobile Anwendungen und IoT-Geräte.

Die Grundlage unserer Plattform ist das größte und am besten skalierbare Echtzeit-Edge-Messaging-Netzwerk der Branche. Mit über 15 Points-of-Presence weltweit, die 800 Millionen monatlich aktive Nutzer unterstützen, und einer Zuverlässigkeit von 99,999 % müssen Sie sich keine Sorgen über Ausfälle, Gleichzeitigkeitsgrenzen oder Latenzprobleme aufgrund von Verkehrsspitzen machen.

PubNub erleben

Sehen Sie sich die Live Tour an, um in weniger als 5 Minuten die grundlegenden Konzepte hinter jeder PubNub-gestützten App zu verstehen

Einrichten

Melden Sie sich für einen PubNub-Account an und erhalten Sie sofort kostenlosen Zugang zu den PubNub-Schlüsseln

Beginnen Sie

Mit den PubNub-Dokumenten können Sie sofort loslegen, unabhängig von Ihrem Anwendungsfall oder SDK