Per iniziare, fai clic su accetta di seguito per visualizzare il pannello di gestione dei cookie. Quindi, tocca o fai clic sul pulsante Personalizzazione per attivare la funzione chat, quindi su Salva.
Se vi occupate di sicurezza dei dati per le aziende del settore sanitario, uno degli aspetti su cui riflettere consiste nel capire perché regolamenti e responsabilità legali giocano un ruolo così fondamentale nell’influenzare le tecnologie dei dati in transito scelte dalle organizzazioni. Uno dei principali fattori di stress per i team IT operanti nel settore sanitario è costituito dall’importanza della conformità ai regolamenti in materia di sicurezza dei dati, come l’HIPAA (Healthcare Insurance Portability and Accountability Act).
HIPAA Utilizza tre regole di fondo per tutelare i pazienti le loro informazioni:
Regole sulla privacy: proteggono le informazioni e la documentazione sanitaria
Regola di notifica delle violazioni: identifica il modo in cui le aziende notificano le violazioni della sicurezza a autorità e pazienti
Regolamento sulla sicurezza: definisce gli standard di sicurezza per l'archiviazione e la trasmissione dei dati sanitari protetti (PHI)
Queste regole garantiscono che le organizzazioni siano responsabili in materia di sicurezza e confidenzialità ePHI (PHI elettronico), nonché prevenire e proteggere utenti e dati da eventuali minacce. Tuttavia, tali regolamenti non specificano alcun protocollo, tecnologia, o standard per l'implementazione e la conformità a tali regolamenti. ciò accade in quanto la costante evoluzione delle minacce informatiche e tale età richiedere una corrispondente costante evoluzione delle tecnologie utilizzate per la conformità agli standard HIPAA. Anziché specificare le tipologie di protocolli di crittografia necessari, una procedura che avrebbe negativamente influenzato l'efficacia della legge vincolandola a tecnologie specifiche, la legislazione si limita a definire i criteri di resistenza e affidabilità degli standard di sicurezza utilizzati per garantire la protezione in ambito ePHI. Tale approccio è stato raccomandato dal NIST (the National Institute of Science and Technology), al fine di garantire l'efficacia presente e futura della normativa. In tal modo, organizzazioni e aziende possono selezionare la soluzione più adeguata alle loro esigenze applicandola ai loro sistemi.
L’HIPAA Richiede differente tipologie di software crittografici in base al fatto che i dati siano di tipo “at rest” o “in transito”.
Dati “At rest”: Si tratta di dati non attivi, archiviati su hard drive o SSD, oppure su dispositivi come tablet. Tali dati dovrebbero essere protetti mediante soluzioni di crittografia avanzata per la sicurezza del disco completo/disco virtuale, e per la crittografia su dispositivi mobili (laddove applicabile).
Dati in transito: Si tratta di dati in trasferimento attivo da un mittente verso un destinatario attraverso strumenti come email, piattaforme cloud, oppure tra un server e un dispositivo mobile.
La conformità HIPAA è resa possibile da misure come la crittografia AES-256, pressoché impossibile da violare con attacchi brute force e certificata per la gestione di dati confidenziali dal governo degli Stati Uniti. TLS (Transport Layer Security) è un altro protocollo per la trasmissione sicura dei dati come quelli utilizzati dallo standard HTTPS, email, o IM. Anche tale protocollo utilizza lo standard AES-256, in combinazione con altre misure di sicurezza. Anche OpenPGP (Pretty Good Privacy) e S/MIME sono conformi con i regolamenti HIPAA, ma utilizzano requisiti di gestione delle chiavi pubbliche che molti utenti trovano particolarmente complessi rispetto agli standard AES-256 e TLS 1.2.
In genere la raccomandazione per i sistemi di sicurezza è quella di utilizzare la crittografia AES-256 per i sistemi di sicurezza quando è necessario garantire la sicurezza dei dati “at rest” e la tecnologia TLS per i dati in transito. Tuttavia, Le misure di sicurezza non terminano qui. È importante identificare e mitigare i punti deboli in conformità alle misure di sicurezza HIPAA.
Personale e formazione (ingegneria sociale ): un aspetto stereotipato della sicurezza, in quanto è vero che gli esseri umani rappresentano l'anello più debole della catena della sicurezza informatica. E ciò vale anche per il settore della sanità
Dispositivi persi o rubati: come citato in precedenza, laptop drive flash telefoni cellulari o altri dispositivi contenenti ePHI andati persi o rubati, possono causare danni di entità milionaria
Partner e collaboratori esterni: a questa categoria appartengono tutti i partner esterni come provider di servizi cloud o aziende IT che gestiscono gli ePHI e che sono tenuti a garantire lo stesso livello di attenzione verso la conformità agli standard di sicurezza tecnica adottati dal provider di servizi sanitario dal servizio per il quale essi operano
Server e sistemi di gestione email non sicuri: se uno qualunque dei dipendenti o collaboratori nella vostra organizzazione utilizza ancora email o client di posta non sicuri, è necessario disattivare tali account
Crittografia debole: i progressi nel settore informatico in particolare in quelli dell'informatica quantistica, significano che i vecchi standard crittografici , da sempre considerati sufficientemente sicuri virgola in realtà possono esporre gli utenti alle moderne minacce informati
Chiavi e certificati crittografici stagnanti: le chiavi crittografiche utilizzate oltre gli intervalli di tempo raccomandati dal NIST, oppure l'utilizzo continuato delle medesime chiavi anche dopo la violazione, possono esporre le aziende a violazioni e attacchi
Le misure di sicurezza tecniche indicate dall’HIPAA’s possono essere confuse in quanto i criteri di crittografia vengono definiti come “risolvibili”. L'intero jargon associato alla crittografia PHI eh alquanto vago: “…Le entità sono tenute a implementare un meccanismo per la crittografia PHI laddove lo si ritenga necessario”.
In questo contesto il termine, risolvibile indica una misura di sicurezza o un'alternativa equivalente che dovrebbe essere intrapresa, oppure è necessario fornire una valida ragione per la quale la misura di sicurezza non è stata utilizzata. Per esempio, le comunicazioni interne attraverso un server interno protetto da un firewall potrebbero non presentare alcun rischio per l'integrità PHI contro eventuali sorgenti di interferenze esterne. Tuttavia, le comunicazioni contenenti dati ePHI che non riescono a garantire la protezione di una determinata entità mediante firewall, devono essere risolte attraverso soluzioni di sicurezza risolvibili.
Le organizzazioni possono trasmettere esclusivamente dati EPHI mediante email su reti aperte, quando tali informazioni sono adeguatamente protette. È possibile intraprendere un'analisi dei rischi per determinare il fattore di rischio in termini di confidenzialità, integrità e disponibilità dei dati ePHI, in modo tale che sia possibile delineare un piano di gestione dei rischi adeguato al fine di ridurre tali rischi su livelli gestibili.
La crittografia universale per i messaggi rappresenta un metodo comune per la gestione dei rischi, mediante livelli di protezione che sono equivalenti a quelli utilizzati al posto della crittografia.
Anche persi rubati laptop, drive flash , e cellulari rubati o persi sul luogo di lavoro, possono influenzare negativamente l'integrità PHI. Circa 4 professionisti della sanità su 5 utilizzano un tablet per la gestione dei flussi di lavoro. Proibire l'uso di dispositivi non crittografati nel settore sanitario causerebbe enormi problemi di comunicazione e in altri aspetti operativi del settore sanitario.
Disporre di piattaforme di messaggeria sicura offre una possibile soluzione a questo problema in quanto tali applicazioni sono compatibili con i requisiti crittografici degli standard HIPAA e offrono la crittografia dei dati PHI “at rest” e in transito. In tal modo, le comunicazioni che contengono dati PHI diventano indecifrabili qualora intercettate oppure oggetto di accessi non autorizzati. Le soluzioni di messaggistica sicura non solo sono conformi ai requisiti crittografici per le email HIPAA , ma anche ai requisiti in materia di controllo degli accessi, controllo dei processi di auditing, controllo dell'integrità virgola e autenticazione delle ID. Questa soluzione si dimostra molto più utile rispetto ai tradizionali cercapersone , consentendo la condivisione sicura di informazioni mediche aperta parentesi incluse le immagini chiusa parentesi.
Con il graduale progredire delle tecnologie e la crescente sofisticazione delle minacce informatiche, la necessità di adottare regolamenti di conformità come HIPAE ad altre normative finalizzate alla protezione dei dati sanitari dei pazienti in transito, diventerà sempre più crescente.
#KingstonIsWithYou
Vi è stato utile?
Chiedete a un esperto
La definizione della soluzione più adeguata richiede un'approfondita conoscenza degli obiettivi di sicurezza dei progetti. Lasciatevi guidare dagli esperti Kingston.
Scoprite gli insegnamenti tratti dalle esperienze degli esperti Kingston e dagli influencer del settore tecnologico nella chat Twitter dedicata al telelavoro.
Quali innovazioni tecnologiche e tendenze ha in serbo il 2021? Cosa prevedono che accada nel prossimo futuro i nostri membri del KingstonCognate e gli esperti di settore?
Disporre di uno spazio dedicato, definire le priorità ed eliminare le distrazioni sono solo alcuni modi per accrescere la produttività quando si lavora da casa.
La collaborazione tra Kingston e Matrix42 ha prodotto soluzioni dedicate alla sicurezza ottimale degli endpoint di diversi settori e alla mitigazione dei rischi.
È essenziale che le imprese mettano sullo stesso piano ricavi, profitti e rischi, per riuscire a mitigare i rischi connessi alla sicurezza dei dati e alla sicurezza informatica. In questo articolo scritto da un esperto del settore, Bill Mew, troverete importanti insight sull'argomento.
Per lavorare da casa è necessario organizzare uno spazio di lavoro adeguato per il PC, installare i dispositivi per le videoconferenze e dotarsi di una connessione sicura.
Quali sono le strategie a disposizione delle organizzazioni per garantire al meglio la sicurezza dei dati dei clienti nel mondo post-GDPR, considerando la continua evoluzione delle minacce informatiche? Kingston riporta i pareri dei commentatori più autorevoli del Regno Unito in materia di sicurezza informatica, per valutare l'evoluzione avutasi nel panorama della protezione dei dati in seguito all'introduzione del GDPR.
È oramai noto che il lavoro da remoto è un fattore di crescita per il business. Ma le minacce poste da tale fattore alla sicurezza della rete e alla conformità al GDPR sono troppo grandi per essere ignorate.
Nel complesso, i drive USB con crittografia Ironkey / Kingston dimostrano di essere la soluzione migliore in termini di affidabilità, compatibilità, sicurezza per la protezione dei dati in portatili.
Un esempio tipico è l’aeroporto di Heathrow di Londra (30 ottobre 2017), che utilizza drive USB non crittografati per la sua piattaforma di storage non-cloud. Sfortunatamente, la piattaforma non utilizza alcuna soluzione standardizzata basata su drive USB crittografati.
