Başlamak için, çerez yönetimi panelini açmak üzere aşağıdaki kabul et'i tıklayın. Ardından, sohbet özelliğini açmak için Kişiselleştirme düğmesine dokunun veya tıklayın, ardından Kaydet.
Sağlık kuruluşlarının veri güvenliği ile ilgili konularda görev yapıyorsanız, düzenlemelerin ve yasal sorumluluğun kuruluşunuzun tercih ettiği taşınmakta olan veri teknolojilerini etkilemede neden bu kadar önemli bir rol oynadığını merak ediyor olabilirsiniz. Sağlık sektörü için BT konusundaki en stres yaratan konulardan biri Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (Healthcare Insurance Portability and Accountability Act - daha çok HIPAA olarak bilinir) gibi veri güvenliği düzenlemelerine uyumun önemidir.
HIPAA'nın hastaları ve bilgilerini korumaya yönlik üç temel kuralı vardır:
Gizlilik Kuralı: korumalı sağlık bilgileri ve belgeleri
İhlal Bildirimi Kuralı: kuruluşların güvenlik ihlallerini yetkili makamlara ve hastalara bildirme şekli
Güvenlik Kuralı: korumalı sağlık bilgilerinin (PHI - protected health information) saklanması ve iletimi için güvenlik standartlarını belirler
Bu kurallar, kuruluşların ePHI (elektronik PHI) gizliliği ve güvenliğinin yanı sıra bu verilere yönelik tehditleri öngörme ve bu tehditlerden korunma sorumluluğuna sahip olmasını sağlar. Ancak, bunların yapılmasına yönelik belirli bir protokol, teknoloji veya standart belirtilmemektedir. Bunun nedeni siber güvenlik tehditlerinin değişmesiyle HIPAA güvenlik teknolojileri de değişmesinin gerekmesidir. Yasayı belirli teknolojilere bağlayarak yasanın etkinliğini zayıflatacak bir adım olabilecek şekilde hangi şifreleme protokollerinin gerekli olduğunu belirtmek yerine yasada sadece ePHI'yi korumak için kullanılan güvenlik standartlarının gücü ve güvenilirliği şart koşulmaktadır. Bu durum NIST'in (National Institute of Science and Technology - Ulusal Bilim ve Teknoloji Enstitüsü) tavsiyesi üzerine, yasanın geleceğin getireceklerine daha dayanıklı kılmak amacıyla belirlenmiştir. Kuruluşlar kendi koşullarına en uygun çözümü seçebilir ve sistemlerine uygulayabilirler.
HIPAA, verilerin ‘saklanan’ ya da ‘taşınan’ olmasına bağlı olarak şifreleme yazılımlarından farklı işlevler gerektirmektedir.
Saklanan: veriler etkin değildir, bir sabit sürücüde veya SSD'de ya da tablet gibi bir cihazda saklanmaktadır. Veriler gelişmiş şifreleme, tam disk/sanal disk güvenliği ve mobil cihaz şifrelemesi (ilgili durumlarda) ile korunmalıdır.
Taşınan: E-posta üzerinden, buluta veya bir sunucu ile mobil cihaz arasında aktarım gibi bir gönderici ile hedef arasında etkin biçimde hareket eder.
HIPAA uyumluluğu, AES-256 gibi Kaba Güç (Brute Force) uygulanması neredeyse imkansız olan ve ABD hükümeti tarafından gizli verilerin işlenmesi için onaylanan önlemlerle sağlanmaktadır. TLS (Transport Layer Security - Taşıma Katmanı Güvenliği), HTTPS, e-posta veya anlık mesajlar gibi güvenli veri iletimi için kullanılan başka bir protokoldür. Diğer güvenlik önlemleriyle birlikte AES-256’yı da kullanır. OpenPGP (Pretty Good Privacy) ve S/MIME da HIPAA ile uyumludur ancak AES-256 ve TLS 1.2'ye göre çoğu kişinin kullanımını zor bulduğu açık anahtar yönetimi gereksinimlerine sahiptir.
Genel öneri, güvenli sistemlerde saklanan veriler için AES-256 şifreleme ve taşınmakta olan veriler için TLS kullanılmasıdır. Ancak bu, güvenlik önlemlerinizin tümü ya da sonu değildir. HIPAA uyumlu güvenliğinizdeki zayıflıkları belirlemek ve azaltmak önemlidir.
Personel ve eğitim (sosyal mühendislik): klişe bir durumdur çünkü doğrudır: insanlar siber güvenliğin en zayıf halkasıdır ve sağlık sektöründe de durum farklı değildir
Kaybedilen ya da çalınan cihazlar: daha önce de belirtildiği gibi ePHI içeren kaybolan dizüstü bilgisayarlar, flash sürücüler, telefonlar veya diğer cihazlar ihlal nedeniyle milyon mertebesinde ödemeler yapılmasını gerektirebilir
Üçüncü taraf iş ortakları: ePHI'yi işleyen herhangi bir üçüncü taraf bulut veya BT tedarikçisi, teknik güvenlik standartları açısından birlikte çalıştıkları sağlık hizmeti sağlayıcısı veya hizmeti ile aynı kararlılığa sahip olmalıdır
Güvenli olmayan e-posta sistemleri/sunucular: kuruluşunuzda hala güvenli olmayan e-posta istemcileri veya sunucuları kullanan varsa, bunları kapatın
Zayıf şifreleme: Bilgisayar teknolojisinde, özellikle de kuantum bilişimde yaşanan gelişmeler, uzun zamandır yeterince güvenli olduğu düşünülen eski şifreleme standartlarının aslında modern siber suçlular için tehlikeli derecede açık olabileceğini ortaya koymaktadır
Değiştirilmeyen şifreleme anahtarları ve sertifikaları: NIST tarafından önerilen kullanım ömrünün ötesinde veya bir veri ihlalinden sonra kullanılan şifreleme anahtarları, kuruluşları tehlikeye açık hale getirebilir
HIPAA'nın teknik koruma önlemleri kafa karıştırıcı olabilir çünkü şifreleme gereklilikleri 'adreslenebilir' olarak adlandırılmaktadır. PHI’nin şifreleme anlatımı belirsizdir: “…varlıklar, gerekli görüldüğü durumlarda PHI’yi şifrelemek için bir mekanizma uygulamalıdır”.
Bu bağlamda, 'adreslenebilir' ifadesi, bir koruma önleminin veya eşdeğer bir alternatifin uygulanması gerektiği veya aksi durumda koruma önleminin neden uygulanmadığına dair haklı bir nedenin belgelenmesi gerektiği anlamına gelmektedir. Örneğin, bir güvenlik duvarı ile korunan dahili bir sunucu üzerinden yapılan kurum içi iletişimler, PHI bütünlüğü açısından dışarından kaynaklanan bir risk ortaya koymayabilir. Ancak, güvenlik duvarları ile korunan bir kuruluştan çıkan ePHI içeren iletişim artık adreslenebilir bir koruma önlemi kullanılarak ele alınmalıdır.
Kuruluşlar ePHI'yi yalnızca bu bilgiler yeterince korunuyorsa açık ağlar üzerinden e-posta yoluyla iletebilir. ePHI'nin gizliliğine, bütünlüğüne ve kullanılabilirliğine yönelik riskleri bulmak için bir risk analizi yapılmalıdır. Bu analizler sayesinde riskleri uygun bir düzeye indirmeye yönelik bir risk yönetimi planı oluşturulabilir.
Mesajlar için evrensel şifreleme yaygın bir risk yönetimi yöntemidir. Bununla birlikte eşdeğer koruma seviyeleri şifreleme yerine kullanılabilir.
PHI’nin bütünlüğüne, kaybolan veya çalınan dizüstü bilgisayarlar ve flash belleklerin yanı sıra işyerindeki kişisel mobil cihazlar da zarar verebilir. 5 sağlık personelinden yaklaşık 4 tanesi iş akışı yönetimi için bir tablet kullanıyor. Forbidding the use of unencrypted devices in healthcare organizations would cause massive disruption to communication and other aspects of the healthcare industry besides.
Güvenli mesajlaşma platformları, PHI'yi hem saklamada hem de taşınma sırasında şifreleyerek HIPAA şifreleme gereksinimlerine uygun olduklarından bu soruna olası bir çözüm sunarlar. PHI içeren iletişimler, yetkisiz bir şekilde ele geçirilir veya bunlara erişilirse deşifre edilemez. Güvenli mesajlaşma çözümleri hem HIPAA e-posta şifreleme gereksinimlerini hem de erişim kontrolü, denetim kontrolleri, bütünlük kontrolleri ve kimlik doğrulama gereksinimlerini karşılar. Bu çözüm, çağrı cihazlarından çok daha kullanışlıdır ve tıbbi bilgilerin (görüntüler dahil) güvenli bir şekilde paylaşılmasını sağlar.
Teknoloji ilerledikçe ve siber suçlar daha gelişmiş hale geldikçe, hastaların korumalı sağlık bilgilerini taşınma sırasında korumak için HIPAA ve diğer yasalara uygunluk gereksinimi daha da katı hale gelecektir.
#KingstonIsWithYou
Bir Uzmana Sorun
Doğru çözümün planlanması, projenizin güvenlik hedeflerinin anlaşılmasını gerektirir. Kingston’ın uzmanları size yardımcı olabilir.
Doğru adaptörü kullanarak bir iPad ya da iPhone ile şifrelenmiş USB flash bellekleri okuyabilir ve belleğe veri yazabilirsiniz. Nasıl yapıldığını burada öğrenebilirsiniz.
Ayrı bir çalışma alanına sahip olmak, öncelikler belirlemek ve dikkat dağıtacak unsurları ortadan kaldırmak, evde çalışırken üretkenliği artırmanın yollarından sadece birkaç tanesidir.
Kuruluşların Gelir ve Kar konusuna verdikleri önem, veri güvenliği ve siber güvenlik risklerini azaltmaları için Riskleri değerlendirmeye verdikleri önem ile aynı düzeyde olmalıdır. Endüstri Uzmanı Bill Mew’in size konu hakkında detaylı bilgiler sağladığı bu yazısını okuyun.
Kuruluşlar, siber güvenliğin sürekli değişen yapısı dikkate alındığında, GDPR sonrası dünyada müşteri verilerini en iyi şekilde güvenceye almak için hangi stratejileri kullanabilirler? Kingston olarak Birleşik Krallık’ın siber güvenlik konusunda en deneyimli yorumculardan bazılarını, GDPR’nin uygulanmaya başlamasından bu yana veri korumasının nasıl değiştiğini konuşmak üzere bir araya getirdik.
E-kitabımız “Mobil işgücü güvenliği ile ilgili zorluklar”da sektörden üç uzmana, veri güvenliği, uzaktan çalışma ve kuruluşların günümüzde ve gelecekte karşı karşıya kaldıkları ya da kalacakları sorular ve zorluklar hakkında bilgi vermesini istedik.
Case in point, Heathrow Airport in London (October 30, 2017) uses Unencrypted USB Drives for its non-cloud storage. Unfortunately, they were not standardized on Encrypted USB drives. Their lack of implementing proper standards in data security / data loss protection with encrypted USB storage has now cost the EU a major breach of confidential and restricted information.
