چک لیست HIPAA می تواند مفید باشد. این می‌تواند به سازمان مراقبت‌های بهداشتی یادآوری کند که سیاست‌ها، گذرواژه‌ها، آموزش کارمندان، توافق‌نامه‌های شرکای تجاری، پشتیبان‌گیری و سایر اقدامات حفاظتی عمومی را بررسی کند.
اما تیک زدن باکس ها با درک ریسک یکسان نیست.
قانون امنیت HIPAA از نهادهای تحت پوشش و شرکای تجاری می‌خواهد که ارزیابی دقیق و کاملی از خطرات و آسیب‌پذیری‌های احتمالی که بر محرمانگی، یکپارچگی و در دسترس بودن اطلاعات بهداشتی محافظت‌شده الکترونیکی یا ePHI تأثیر می‌گذارند، انجام دهند. چک لیست می تواند از این فرآیند پشتیبانی کند، اما جایگزین آن نمی شود.
آنچه که چک لیست HIPAA می تواند به شما بگوید
چک لیست معمولاً می پرسد که آیا کنترل ها یا اسناد خاصی وجود دارد یا خیر.
به عنوان مثال:
- آیا کارکنان آموزش HIPAA را دریافت می کنند؟
- آیا احراز هویت چند عاملی فعال است؟
- آیا نسخه پشتیبان تهیه می شود؟
- آیا مجوزهای دسترسی بررسی شده است؟
- آیا قراردادهای شریک تجاری وجود دارد؟
- آیا طرحی برای واکنش به حوادث وجود دارد؟
اینها سوالات مهمی هستند. مشکل این است که پاسخ مثبت نشان نمی‌دهد که آیا کنترل مؤثر است، در همه جا اعمال می‌شود یا برای محیط واقعی سازمان مناسب است.
یک عمل ممکن است پشتیبان‌گیری انجام دهد، اما هنوز قادر به بازیابی سریع سیستم‌های حیاتی نباشد. احراز هویت چند عاملی ممکن است برای ایمیل فعال باشد، اما نه در سیستم‌های دیگری که حاوی اطلاعات بیمار هستند یا به آنها دسترسی دارند.
خوراکی های کلیدی: چک لیست تأیید می کند که ممکن است چیزی وجود داشته باشد. ارزیابی ریسک تعیین می کند که آیا واقعاً از سازمان محافظت می کند یا خیر.
ارزیابی ریسک HIPAA واقعی چه چیزی را بررسی می کند
ارزیابی واقعی با تعیین محل ایجاد، دریافت، نگهداری یا انتقال ePHI آغاز می شود. این ممکن است شامل سیستم‌های پرونده الکترونیک سلامت، ایمیل، پلتفرم‌های ابری، دستگاه‌های تلفن همراه، سرورها، ایستگاه‌های کاری، سیستم‌های پشتیبان، تجهیزات پزشکی و فروشندگان شخص ثالث باشد.
سپس بررسی باید مشخص کند:
- تهدیدها و آسیب پذیری های بالقوه
- پادمان های اداری، فیزیکی و فنی وجود دارد
- احتمال اینکه یک تهدید از یک آسیب پذیری سوء استفاده کند
- تأثیر بالقوه بر اطلاعات و عملیات بیمار
- سطح ریسک و اولویت های توصیه شده
راهنمای HHS روشن می‌کند که تجزیه و تحلیل باید همه ePHI را پوشش دهد، نه فقط سیستم‌هایی را که به نظر مهم‌ترین یا ساده‌ترین بررسی هستند. پروتکل حسابرسی آن همچنین به دنبال محدوده تعریف شده، تهدیدات و آسیب پذیری های شناسایی شده، اقدامات امنیتی فعلی، تجزیه و تحلیل تاثیر و احتمال، و ارزیابی ریسک مستند است.
چرا زمینه اهمیت دارد
دو سازمان مراقبت های بهداشتی ممکن است چک لیست یکسانی را تکمیل کنند و با خطرات بسیار متفاوتی روبرو شوند.
یک عمل کوچک با استفاده از یک پلت فرم بیمار مبتنی بر ابر، محیط فناوری متفاوتی نسبت به یک سازمان چند سایتی با سرورهای داخلی، کارکنان از راه دور، دستگاه‌های پزشکی متصل و چندین فروشنده خارجی دارد.
ارزیابی معنادار این تفاوت ها را در نظر می گیرد. به این می‌پردازد که چگونه اطلاعات در سازمان حرکت می‌کند، چه کسی به آن دسترسی دارد، کجا کنترل‌ها ممکن است شکست بخورند و چه چیزی می‌تواند مراقبت از بیمار را مختل کند.
ارزیابی باید منجر به اقدام شود
شناسایی ریسک تنها آغاز راه است. نتایج باید یک برنامه مدیریت ریسک مستند با اولویت‌های روشن، طرف‌های مسئول و گام‌های بعدی را مشخص کند.
ارزیابی همچنین باید زمانی که فناوری، عملیات، فروشندگان، حوادث امنیتی یا سایر تغییرات مهم سازمان را تحت تأثیر قرار می دهد، بازبینی و به روز شود. نباید به گزارشی تبدیل شود که تا حسابرسی یا حادثه بعدی دست نخورده بماند.
چک لیستی می پرسد، “آیا آن را داریم؟” یک ارزیابی ریسک می‌پرسد، “آیا کار می‌کند، شکاف‌ها کجا هستند، و ابتدا باید چه چیزی را برطرف کنیم؟”
BIS به سازمان‌های مراقبت‌های بهداشتی کمک می‌کند تا فراتر از مسائل مربوط به انطباق در سطح سطح نگاه کنند و بفهمند که چگونه فناوری، امنیت سایبری و شیوه‌های عملیاتی می‌توانند بر ریسک HIPAA تأثیر بگذارند. هدف، دید عملی از قرار گرفتن در معرض و یک راه روشن تر به جلو است.
