Щоб розпочати роботу, натисніть кнопку прийняти нижче, щоб відкрити панель керування файлами cookie. Далі натисніть кнопку Персоналізація, щоб увімкнути функцію чату, а потім Зберегти.
Якщо вас турбують питання безпеки даних у медичних установах, можливо, вам буде цікаво дізнатись, чому нормативні акти та правова відповідальність відіграють таку важливу роль у виборі технологій передачі даних. Одним із основних чинників стресу, пов’язаних з інформаційними технологіями у сфері охорони здоров’я, є необхідність дотримання правил безпеки даних, наприклад Закону США про мобільність і підзвітність медичного страхування (відомішого як HIPAA).
HIPAA містить три засадничі правила для захисту пацієнтів та їхніх даних:
Правило конфіденційності: захищена медична інформація та документація
Правило подання повідомлень про порушення: як організації повідомляють органам влади й пацієнтам про порушення безпеки
Правило безпеки: визначає стандарти безпеки щодо зберігання та передачі захищеної медичної інформації (PHI)
Ці правила гарантують, що організації несуть відповідальність за конфіденційність і безпеку електронної захищеної медичної інформації (ePHI), а також за прогнозування небезпек і захист даних від загроз. Проте вони не визначають конкретний протокол, технологію або стандарт. Це пов’язано з тим, що збільшення загроз у кіберпросторі призводить до підвищення рівня технологій безпеки HIPAA. Замість того, щоб вказати потрібні протоколи шифрування (крок, який би підірвав ефективність закону, прив’язавши його до конкретних технологій), закон просто визначив міцність і надійність стандартів безпеки, які використовуються для захисту ePHI. Ці дії було запроваджено за рекомендацією Національного інституту стандартів і технологій (NIST), щоб зробити закон перспективнішим. Організації можуть вибрати саме те рішення, яке відповідає їхнім умовам, і застосувати його у своїй системі.
HIPAA вимагає використання різних програм для шифрування залежно від того, чи перебувають дані в сховищі або в процесі передачі.
У сховищі: дані неактивні, зберігаються на жорсткому диску або твердотільному накопичувачі, або на пристрої, зокрема планшеті. Дані мають бути захищені за допомогою просунутих криптографічних алгоритмів, системи захисту всього диска/віртуального диска та шифрування мобільних пристроїв (за наявності).
При передачі: активне переміщення даних між відправником і одержувачем, наприклад за допомогою електронної пошти, передавання даних у хмару або між сервером і мобільним пристроєм.
Забезпечення відповідності вимогам HIPAA стало можливим завдяки алгоритму шифрування AES-256, який майже неможливо зламати. Цей алгоритм було схвалено урядом США для роботи з конфіденційними даними. TLS (Transport Layer Security) — це ще один протокол для безпечної передачі даних в Інтернеті, як-от HTTPS, електронна пошта або миттєві повідомлення. У ньому також використовується алгоритм шифрування AES-256 у поєднанні з іншими заходами безпеки. Стандарти OpenPGP (Pretty Good Privacy) і S/MIME також відповідають вимогам HIPAA, але вони використовують криптографію з відкритим ключем, яку багато хто вважає більш складною, аніж AES-256 і TLS 1.2.
Однією з найпоширеніших рекомендацій для захищених систем є використання алгоритму шифрування AES-256 для даних у стані спокою та протоколу TLS для даних при передачі. Проте ці заходи безпеки не є панацеєю. Необхідно виявити та усунути слабкі місця в системі безпеки, що відповідає вимогам HIPAA.
Персонал і навчання (соціальна інженерія): це може здатися банальним, але люди є найслабшою ланкою кібербезпеки, і сфера охорони здоров’я не є виключенням
Втрачені або вкрадені пристрої: як вже згадувалося раніше, втрачені ноутбуки, флеш-накопичувачі, телефони або інші пристрої, що містять чутливу інформацію, можуть призвести до збитків, які сягатимуть семизначних чисел
Сторонні партнери: будь-який сторонній постачальник хмарних або ІТ-послуг, який працює з чутливою інформацією, повинен дотримуватися технічних стандартів безпеки так само, як і постачальник медичних послуг, з яким він співпрацює
Незахищені поштові системи/сервери: якщо будь-хто у вашій організації все ще використовує незахищені поштові клієнти або сервери, деактивуйте їх
Слабке шифрування: впровадження передових комп’ютерних технологій, особливо в галузі квантових обчислень, означає, що старі стандарти шифрування, які довгий час вважалися досить безпечними, насправді можуть бути вразливими до сучасних кібератак
Недійсні ключі шифрування та сертифікати: ключі шифрування, що використовуються після закінчення терміну дії, рекомендованого NIST, або після витоку даних, можуть поставити під загрозу безпеку організації
Технічні захисні заходи HIPAA можуть збивати з пантелику, оскільки вимоги до шифрування називають «адресними». Формулювання, що стосується шифрування даних пацієнтів, є розпливчатим: «...організації мають впровадити механізм для шифрування даних пацієнтів, коли вони вважають це за доцільне».
У цьому контексті «адресний» означає, що має бути застосований захисний захід чи еквівалентний альтернативний захід, або ж має бути задокументована обґрунтована причина, чому цей захисний захід не був застосований. Наприклад, обмін повідомленнями через внутрішній сервер, захищений брандмауером, не загрожує цілісності даних пацієнтів із зовнішніх джерел. Але повідомлення, які містять дані пацієнтів та використовуються за межами корпоративної мережі, захищеної брандмауером, тепер повинні оброблятися за допомогою адресних захисних заходів.
Організації можуть передавати дані пацієнтів електронною поштою у відкритих мережах лише в тому разі, якщо ця інформація захищена належним чином. Необхідно провести аналіз ризиків і виявити загрози для конфіденційності, цілісності та доступності даних пацієнтів, щоб мати змогу розробити план керування ризиками для зменшення цих загроз до відповідного рівня.
Універсальне шифрування повідомлень є одним із найпоширеніших методів керування ризиками, хоча замість шифрування можна задіяти еквівалентні рівні захисту.
Окрім втрачених або вкрадених ноутбуків і флеш-накопичувачів, особисті мобільні пристрої на робочому місці також можуть порушити цілісність даних пацієнтів. Приблизно 4 з 5 медичних працівників використовують планшет для керування робочим процесом. Заборона на використання нешифрованих пристроїв у медичних установах може призвести до значних ускладнень в роботі систем обміну повідомленнями та створити додаткові проблеми в галузі охорони здоров’я.
Платформи безпечного обміну повідомленнями можуть допомогти вирішити цю проблему, оскільки вони відповідають вимогам HIPAA щодо шифрування: захищена медична інформація шифрується як у сховищі, так і при передачі. Повідомлення, що містять дані пацієнтів, неможливо розшифрувати в разі перехоплення інформації або отримання несанкціонованого доступу до неї. Системи безпечного обміну повідомленнями відповідають не лише вимогам HIPAA щодо шифрування листів електронної пошти, але й вимогам щодо контролю доступу, керування аудитом, забезпечення цілісності та автентифікації за ідентифікатором. Це рішення для безпечного обміну медичною інформацією (включно із зображеннями) виявилося набагато кориснішим за пейджери.
У зв’язку із постійним вдосконаленням технологій і зростанням рівня витонченості атак все більше уваги приділяється необхідності дотримання вимог HIPAA та інших законодавчих актів, які стосуються захисту медичних даних при передачі.
#KingstonIsWithYou
Зверніться до експерта
Планування правильного рішення вимагає розуміння цілей безпеки вашого проєкту. Дозвольте експертам Kingston допомогти вам.
Вы можете выполнять чтение и запись данных на USB-накопитель с шифрованием при использовании устройств iPad или iPhone с помощью соответствующего адаптера. Вот как это делается.
Предусматривают обязательное шифрование конфиденциальных данных, назначение руководителя по информационной безопасности, разработку программы кибербезопасности и внедрение политик.
Использование программного обеспечения для защиты от утечки данных, виртуальных частных сетей, твердотельных накопителей и USB-накопителей с шифрованием поможет снизить некоторые риски, связанные с удаленной работой.
Наличие выделенного рабочего места, расстановка приоритетов и устранение отвлекающих факторов — это всего лишь несколько способов повысить продуктивность работы из дома.
Для организаций важно обращать одинаковое внимание на доходы, прибыль и риски, чтобы обеспечить снижение рисков для безопасности данных и кибербезопасности. Прочтите эту статью отраслевого эксперта Билла Мью, в которой он раскрывает эту тему.
Чтобы удаленно работать из дома, вам нужно обеспечить хорошее рабочее место для вашего ПК, правильное оборудование для конференций и надежное соединение.
Ви вже знаєте, що віддалена робота сприяє розвитку бізнесу. Але виклики, пов’язані з безпекою мережі та дотриманням вимог GDPR, є занадто великими, щоб їх ігнорувати.
В данном случае дело в том, что лондонский аэропорт Хитроу (30 октября 2017 г.) использует USB-накопители без шифрования для хранения данных не в облаке. К сожалению, у них не принято в качестве стандарта использовать USB-накопители с шифрованием.
