Navigieren durch die HIPAA-Anforderungen an die Cybersicherheit: Ein Leitfaden für Gesundheitsdienstleister

Gesundheitsdaten sind ein Hauptziel für Hacker. Sie enthalten oft personenbezogene Daten (PII), Krankenakten, Versicherungsdaten und Finanzinformationen, die für Identitätsdiebstahl, Versicherungsbetrug und andere böswillige Aktivitäten verwendet werden können. Der hohe Wert dieser Daten in Untergrundforen macht Gesundheitsorganisationen zu häufigen Zielen für Cyberkriminelle.

Aus diesem Grund gibt es Vorschriften wie HIPAA, die dazu beitragen, die Daten von Gesundheitsdienstleistern und den Menschen, die sich auf sie verlassen, zu schützen. Laut dem HIPAA-Journal war das letzte Jahr jedoch auf dem besten Weg, das schlimmste Jahr seit Beginn der Aufzeichnungen für kompromittierte Gesundheitsdaten zu werden. Es gibt also noch viel Abwehrarbeit für Gesundheitsorganisationen zu leisten. Wir werden die wichtigsten Punkte durchgehen, die Sie über die HIPAA-Anforderungen an die Cybersicherheit wissen müssen, und einige praktische Tipps geben, wie Sie Ihre Daten schützen können.

Was ist HIPAA?

HIPAA, oder der Health Insurance Portability and Accountability Act, ist ein US-amerikanisches Bundesgesetz, das 1996 erlassen wurde, um die Privatsphäre und Sicherheit der Gesundheitsdaten von Einzelpersonen zu schützen. Es legt nationale Standards für den Schutz von Krankenakten und anderen persönlichen Gesundheitsinformationen (PHI) fest, die von betroffenen Stellen (jeder Organisation, die PHI verarbeitet) gespeichert werden.

Schlüsselkomponenten von HIPAA

1. Datenschutzregel: Legt nationale Standards für den Schutz von Krankenakten und anderen persönlichen Gesundheitsinformationen von Einzelpersonen fest. Gewährt Patienten Rechte über ihre Krankenakten, einschließlich des Rechts auf Zugang und Anforderung von Korrekturen.
2. Sicherheitsregel: Legt nationale Standards für den Schutz von elektronischen persönlichen Gesundheitsinformationen (ePHI) fest. Sie verpflichtet betroffene Stellen und ihre Geschäftspartner, administrative, physische und technische Sicherheitsvorkehrungen zu treffen, um die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI zu gewährleisten.
3. Regel zur Benachrichtigung bei Verstößen: Verpflichtet betroffene Stellen und ihre Geschäftspartner, Einzelpersonen, den Minister für Gesundheit und Soziale Dienste (HHS) und in einigen Fällen die Medien über jeden Verstoß gegen ungesicherte PHI zu benachrichtigen.
4. Durchsetzungsregel: Diese Regel legt die Verfahren für die Untersuchung von Beschwerden, die Durchführung von Compliance-Überprüfungen und die Verhängung von Strafen für Verstöße gegen HIPAA fest.
5. Omnibus-Regel: Diese Regel wurde 2013 fertiggestellt und aktualisierte und stärkte die bestehenden HIPAA-Bestimmungen, einschließlich der Erweiterung der Definition von Geschäftspartnern und der Erhöhung der Strafen für Nichteinhaltung.

Wie ist der Stand von HIPAA im Jahr 2025?

Ab 2025 ist HIPAA weiterhin eine wichtige Vorschrift im Gesundheitswesen. Der Fokus liegt weiterhin auf der Gewährleistung der Privatsphäre und Sicherheit persönlicher Gesundheitsinformationen, aber es gab im Laufe der Jahre einige bemerkenswerte Entwicklungen und Trends:

1. Erhöhte Strafen: Die Strafen für HIPAA-Verstöße wurden erhöht, um die Schwere der Verstöße und die Bedeutung der Compliance widerzuspiegeln. Dies umfasst sowohl finanzielle Strafen als auch potenzielle strafrechtliche Anklagen bei vorsätzlicher Vernachlässigung.
2. Technologischer Fortschritt: Mit dem Aufkommen von Telemedizin, tragbaren Geräten und anderen digitalen Gesundheitstechnologien wurde HIPAA angepasst, um neue Herausforderungen anzugehen und sicherzustellen, dass diese Technologien die Datenschutz- und Sicherheitsstandards einhalten.
3. Regulatorische Aktualisierungen: Das Ministerium für Gesundheit und Soziale Dienste (HHS) gibt weiterhin Leitlinien und Aktualisierungen zu HIPAA heraus, um aufkommende Probleme und technologische Veränderungen anzugehen. Zum Beispiel gab es Aktualisierungen, um die Nutzung von Cloud Computing und mobilen Gesundheitsanwendungen anzugehen.
4. Internationale Überlegungen: Da das Gesundheitswesen immer globaler wird, besteht ein wachsender Bedarf, HIPAA mit internationalen Datenschutzgesetzen wie der Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union in Einklang zu bringen.

Für wen gilt HIPAA?

HIPAA gilt für betroffene Stellen, zu denen Gesundheitsdienstleister, Krankenversicherungen und Healthcare Clearinghouses sowie deren Geschäftspartner gehören. Geschäftspartner sind Unternehmen, die Dienstleistungen für betroffene Stellen erbringen, die die Verwendung oder Offenlegung von PHI beinhalten. Dazu können IT-Anbieter, Abrechnungsunternehmen und andere Drittanbieter gehören. HIPAA erstreckt sich auch auf Subunternehmer von Geschäftspartnern, die PHI verarbeiten.

Würde Ihr Unternehmen ein HIPAA-Audit bestehen?

Medizinische Daten sind ein lukratives Ziel, und es ist wichtiger denn je, die HIPAA-Anforderungen an die Cybersicherheit zu erfüllen. Es wird geschätzt, dass persönliche medizinische Informationen auf dem Schwarzmarkt jetzt zehnmal mehr wert sind als Kreditkartendaten. Viele HIPAA-Verstöße in der Vergangenheit haben gezeigt, dass Betrüger die Aufzeichnungen beschafft und falsche Ansprüche bei Versicherern geltend gemacht oder Medikamente gekauft haben, die später mit gefälschten Ausweisen weiterverkauft wurden.

Unabhängig davon, ob Sie sich einem HIPAA-Audit unterziehen oder nicht, ist es wichtig, sicherzustellen, dass Sie über die richtigen Sicherheitsprozesse und -maßnahmen verfügen, um Ihre Daten zu schützen. Hier sind fünf Fragen, die Sie bei der Vorbereitung auf ein IT-Audit beachten sollten:

1. Haben Sie eine dokumentierte Sicherheitsrichtlinie?

Bei der Bewertung der Angemessenheit und Zuverlässigkeit einer Sicherheitsrichtlinie vergleichen die Auditoren die in der Richtlinie dargelegten Maßnahmen mit den internen Prozessen eines Unternehmens, um sicherzustellen, dass diese ordnungsgemäß durchgeführt werden. Es ist wichtig, dass Ihre Sicherheitsrichtlinie mit Verantwortlichen für wichtige Rollen abgebildet ist.

2. Sind die Zugriffsberechtigungen in Ihrem Unternehmen angemessen geschützt?

IT-Auditoren überprüfen nicht nur, wer Zugriff auf was hat (und warum), sondern sie überprüfen auch die Fähigkeit eines Unternehmens, den Missbrauch oder die missbräuchliche Nutzung von Zugriffsberechtigungen durch Insider zu erkennen. Die Multi-Faktor-Authentifizierung fügt eine zusätzliche Sicherheitsebene hinzu, um vor Betrug und Identitätsdiebstahl zu schützen. Wenn ein böswilliger Akteur die Kontoinformationen und das Passwort eines Benutzers stiehlt, könnte die Anforderung einer zweiten oder dritten Form der Authentifizierung, wie z. B. eines mobilen Verifizierungscodes oder eines Sicherheitstokens, den unbefugten Zugriff verhindern.

3. Welche Methoden verwenden Sie, um Ihre Daten zu schützen?

Seien Sie bereit, Berichte über Ihre Methoden der Datenklassifizierung und -segmentierung vorzulegen und nachzuweisen, dass Ihre wertvollsten Vermögenswerte nicht leicht kompromittiert werden können. Platzieren Sie beispielsweise Daten in einem rund um die Uhr geschützten Netzwerk? Haben Sie eine HIPAA-konforme Passwortrichtlinie für das Erstellen, Ändern und Schützen von Passwörtern?

Wenn Sie wissen möchten, ob Ihre aktuelle Passwortrichtlinie mit HIPAA übereinstimmt, führen Sie einen schreibgeschützten Scan Ihres Active Directory mit unserem kostenlosen Tool Specops Password Auditor durch.

Scannen Sie Ihr Active Directory nach 1 Milliarde bekannten kompromittierten Passwörtern

4. Haben Sie einen Notfallwiederherstellungsplan?

Ein guter Notfallwiederherstellungsplan enthält Informationen über die Rollen und Verantwortlichkeiten der Mitarbeiter, wie sie reagieren sollen, wenn ein Sicherheitsverstoß auftritt, und was sie tun sollen, um Datenlecks zu stoppen und deren negative Folgen zu minimieren. Wir haben kürzlich einen Leitfaden zum Erstellen eines Incident-Response-Plans im Zuge eines credentialbasierten Angriffs veröffentlicht.

5. Sind Ihre Mitarbeiter mit den bestehenden Sicherheitsverfahren und -richtlinien vertraut?

Ein Unternehmen muss oft nachweisen, dass seine Mitarbeiter regelmäßig geschult und über bestehende Sicherheitsverfahren informiert werden. Zum Beispiel, indem sie über die Gefahren des Teilens von Passwörtern im Gesundheitswesen geschult werden. Selbst die besten Technologien können Ihre Daten nicht schützen, wenn Ihre Mitarbeiter weiterhin unsichere Praktiken anwenden, wie z. B. das Antworten auf Phishing-E-Mails oder das Wiederverwenden von Arbeitspasswörtern auf persönlichen Geräten.

6. Stellen Sie sicher, dass die Active Directory-Passwörter Ihrer Benutzer sicher sind

Während die HIPAA-Datenschutzregeln keine expliziten Anforderungen an Benutzerpasswörter enthalten, wird die Speicherung und Zugriffskontrolle auf elektronische geschützte Gesundheitsinformationen (ePHI) stark betont. Die Abschnitte 164.308(a)(5)(i) und 164.308(a)(5)(ii)(D) schreiben vor, dass der folgende Plan gegebenenfalls vorhanden ist:

• Ein Sicherheitsbewusstseins- und Schulungsprogramm für alle Mitarbeiter
• Verfahren zum Erstellen, Ändern und Schützen von Passwörtern

Die HIPAA-Anforderungen an die Cybersicherheit sind möglicherweise mehrdeutig, aber Gesundheitsorganisationen unterliegen dem vollen Umfang ihrer Regeln. Die Last liegt bei den IT-Teams der einzelnen Gesundheitsorganisationen, herauszufinden, wie diese in die Praxis umgesetzt werden können, sodass die Suche nach Hilfe von Drittanbietern die Dinge vereinfachen kann. Hier finden Sie eine vollständige Anleitung zur Passwortsicherheit im Gesundheitswesen.

Wie kann die Specops-Passwortrichtlinie die HIPAA-Compliance erleichtern?

Specops Password Policy hilft Unternehmen, die HIPAA-Anforderungen zu erfüllen, indem es IT-Abteilungen ermöglicht, umfangreiche Passwortrichtlinien zu erstellen, die die Passwortsicherheit in Active Directory verbessern und diese Regeln über Active Directory hinaus durchzusetzen. Darüber hinaus wird Ihr Active Directory kontinuierlich mit unserer Datenbank von über 4 Milliarden eindeutigen kompromittierten Passwörtern gescannt. Testen Sie Specops Password Policy kostenlos.

Blockieren Sie kontinuierlich über 4 Milliarden kompromittierte Passwörter in Ihrem Active Directory

Erfahren Sie, wie