Beheerde bestandsoverdracht & HIPAA-conforme oplossingen

Zorginstellingen vereisen dat hun beheerde bestandsoverdrachtsoftware HIPAA-naleving biedt, maar het vinden van een oplossing die aan deze eisen voldoet is niet altijd eenvoudig.

Is bestandsoverdracht, van nature, HIPAA-nalevend? Nee, basis bestandsoverdracht is niet HIPAA-nalevend. HIPAA-naleving vereist een grotere nadruk op het beschermen van gegevens om te waarborgen dat beschermde gezondheidsinformatie (PHI) niet wordt gestolen. Een HIPAA-conforme oplossing omvat daarom meer beveiligingsvereisten dan een standaard programma voor bestandsoverdracht.

Wat zijn HIPAA- en HITECH-regelgevingen?

De Health Insurance Portability and Accountability Act (HIPAA) werd in 1996 aangenomen om naleving van regelgeving te bieden voor zorgverleners die gevoelige patiëntinformatie verwerken. Deze wet definieerde twee verschillende typen organisaties die onder de rechtsbevoegdheid van deze regelgeving vallen:

• Covered entities (CE’s) zijn huisartsen, dokterspraktijken, ziekenhuizen, verzekeringsmaatschappijen of andere primaire organisaties die direct patiëntinformatie beheren en verwerken.

• Business associates (BA’s) bestaan uit externe bedrijven en leveranciers die CE’s ondersteunen met producten en diensten die in contact komen met patiëntinformatie—bijvoorbeeld een betalingsverwerker voor creditcardterminals in ziekenhuispraktijken.

De implementatie van regelgeving is in de loop der jaren veranderd door de modernisering van medische informatiesystemen en het gebruik van netwerkcommunicatie. De evolutie van deze regelgeving versnelde in 2009 met de Health Information Technology for Economic and Clinical Health (HITECH) Act, die de adoptie van digitale en netwerkgebaseerde administratie en communicatie in de zorgsector stimuleerde.

Hoewel de gebruikte technologieën in de zorg zijn veranderd, blijven de kernregels van HIPAA grotendeels intact en zijn ze georganiseerd onder drie hoofdregels:

1. De Data Privacy Rule: Deze Data Privacy Rule beschrijft de verantwoordelijkheden van zorgverleners onder de regelgeving om patiëntinformatie, oftewel beschermde gezondheidsinformatie (PHI), te beschermen. Alle PHI moet beschermd en privé blijven zonder het risico van ongeoorloofde openbaarmaking. Er zijn zeer weinig uitzonderingen op deze regels en elke andere openbaarmaking van PHI vereist expliciete toestemming van de patiënt.
2. De Security Rule: Om de Data Privacy Rule uit te voeren, definieert de Security Rule redelijke beveiligings- en privacymaatregelen die een CE of BA moet implementeren in hun datainfrastructuur. Dit omvat beleid voor encryptie, firewalls en anti-malwaresoftware, beheer van werkstations, mobiele apparaten en datacenters, en andere controles.
3. De Breach Notification Rule: Bij een datalek waarbij PHI is gecompromitteerd, heeft de CE of BA specifieke HIPAA-nalevingsvereisten om getroffen partijen te informeren, en in sommige gevallen het bredere publiek. Sommige meldingsvereisten omvatten e-mails en disclaimers op websites bij typische datalekken en persberichten aan lokale nieuwsuitzendingen en meldingen aan relevante overheidsfunctionarissen bij grotere incidenten.

Hoewel er andere regels zijn, vormen deze drie regels de kern van de regelgeving. Een belangrijke update, de Omnibus Rule van 2013, introduceerde echter nieuwe en geactualiseerde richtlijnen die bestaande regelgeving aanvulden om gegevens in moderne digitale systemen beter te beschermen. Het meest opvallend is dat de Omnibus Rule de verantwoordelijkheid voor de implementatie en het beheer van regelgeving uitgebreider heeft uitgebreid naar BA’s die samenwerken met CE’s.

Hoewel de Omnibus Rule een grondige uiteenzetting bevat van de regelgeving waaraan CE’s en BA’s moeten voldoen, zijn er enkele basispraktijken waaraan organisaties moeten voldoen voor technologieën zoals beveiligde bestandsoverdracht:

1. Gebruik van juiste encryptie-algoritmen: PHI die als digitale gegevens wordt opgeslagen, moet zowel in rust op een server als tijdens verzending bij bestandsoverdracht worden versleuteld. Deze HIPAA-encryptiestandaarden stellen dat encryptie bestand moet zijn tegen elke redelijke poging tot kraken. In de praktijk betekent dit dat geschikte encryptie-algoritmen AES-128 of AES-256 zijn voor gegevens in rust en TLS 1.2+ voor gegevens onderweg.
2. Implementatie van audit logging: Een belangrijk onderdeel van beveiliging is het bijhouden van logs voor toegang en systeemevenementen. Deze logs ondersteunen naleving in het hele systeem, leveren bewijs van naleving tijdens audits en ondersteunen onderzoeken naar datalekken als forensisch bewijs.
3. Business associate agreements (BAA’s): Als een CE een door een leverancier geleverde oplossing voor bestandsoverdracht gebruikt (of een andere dienst die PHI verwerkt), moet de CE een lopende BAA hebben met die leverancier waarin de verantwoordelijkheden van de leverancier als business associate onder HIPAA zijn vastgelegd.
4. Fysieke en administratieve bescherming: Volgens HIPAA moeten zowel CE’s als BA’s systemen die PHI bevatten fysiek beschermen, wat betekent dat datacenters en computers, laptops en mobiele apparaten beveiligd moeten zijn. Dit betekent ook dat deze organisaties beleid hebben om deze gegevens te beschermen, medewerkers opleiden en risico’s beheren. Dit geldt zowel voor primaire CE’s als voor elke leverancier die een datagedreven dienst aanbiedt.

Beheerde bestandsoverdracht en HIPAA

We hebben de term “bestandsoverdracht” hier losjes gebruikt, maar het is essentieel om te specificeren hoe overdrachten kunnen functioneren in een zorgomgeving.

Als het gaat om het delen van bestanden, zijn alle HIPAA-regels van toepassing. Dat betekent dat elke methode die wordt gebruikt om bestanden te delen, moet beschikken over passende beveiligingen zoals encryptie, logs, enzovoort. Standaardoplossingen voor bestandsoverdracht zoals SFTP bieden weliswaar encryptie voor beveiligde bestandsoverdracht, maar voldoen niet aan de HIPAA-vereisten zonder aanzienlijke configuratiewijzigingen. Dit gebrek aan naleving is niet alleen een beveiligingsprobleem: De kerntechnologie van SFTP is niet ontworpen om te voldoen aan de logging- en rapportagevereisten van HIPAA, noch kan het voldoen aan de eisen van ondernemingen die actief zijn in de zorgsector.

Beheerde bestandsoverdracht (MFT) lost veel van de problemen van basisbestandsoverdracht en -deling op door geconfigureerde SFTP of FTPS (of andere HIPAA-conforme technologieën voor bestandsoverdracht) te integreren met analyses, rapportages, auditing en andere functionaliteit die zowel voldoet aan HIPAA-regelgeving als aan zakelijke eisen.

Dat gezegd hebbende, MFT bestaat in diverse vormen. De meeste beheerde bestandsoverdrachtsoftware is min of meer geïntegreerd in bestaande enterprise-oplossingen voor bestandsoverdracht. Niet alle oplossingen voor bestandsoverdracht bevatten echter alles wat een organisatie nodig heeft in een MFT.

Kiteworks Platform: Complete MFT voor HIPAA-naleving

Geen enkele organisatie zou functies en flexibiliteit moeten opofferen voor naleving. Kiteworks levert het meest uitgebreide pakket aan beveiligings- en nalevingsmogelijkheden, waaronder HIPAA-naleving, voor MFT op de markt. Kiteworks versleutelt zowel gevoelige gegevens tijdens verzending als bij opslag op de server, biedt uitgebreide audittrailrapportage en levert robuuste beveiligingsbescherming. Beveiligingsmogelijkheden omvatten geofencing, advanced threat protection, preventie van gegevensverlies en continue gegevensbescherming.

Enkele belangrijke functies zijn onder andere:

• Een CISO-dashboard biedt volledig inzicht in gegevens, gebruikers, datatrends en -bewegingen, en controle over gegevensoverdrachten.
• Naadloze MFT-automatisering en planning ondersteunt robuust beleid voor bestandsoverdracht en -deling, inclusief overdrachten buiten werktijden en acties die worden getriggerd door medewerkers- of patiëntactiviteiten.
• Beveiligde e-maillinks beschermen PHI en zorgen voor eenvoudige en gestroomlijnde communicatie met patiënten via e-mail.
• SIEM-integratie met populaire platforms zoals IBM QRadar, ArcSight, FireEye Helix en Splunk Forwarder biedt organisaties één overzicht om beveiligingsrisico’s te bekijken en te beheren. Daarnaast worden audit logs gestandaardiseerd naar één bestandsformaat om brede SIEM-consumptie te ondersteunen.
• DLP-integratie om alle gegevens onderweg te scannen en te bepalen of deze gevoelige of persoonlijke gegevens bevatten.
• Disaster recovery met hot systemen en multi-site dataredundantie garandeert dat uw systemen operationeel blijven bij calamiteiten.
• Single-tenant cloud-omgevingen die ervoor zorgen dat bedreigingen van andere gebruikers niet overslaan naar uw Kiteworks-platforminstantie.
• Toegangscontroles op overflows en verbindingen om gevoelige gegevens te beschermen tegen ongeoorloofde toegang.
• Conforme encryptie, waaronder AES-256 voor gegevens in rust en TLS 1.2-encryptie voor gegevens onderweg.
• Grote bestandsoverdracht en opslag met limieten tot 16 TB.
• Gedetailleerde HIPAA-rapportages met één klik brengen risico’s in uw beveiligings- en governancebeleid in kaart. Gebruik ze bij audits om snel naleving van uw vastgelegde controles aan te tonen, zoals DLP-scannerintegratie, toegangsbeleid voor gegevens, domeinwhitelisting en bestandsvervalcontroles.
• Extra beschermingslagen voor encryptiesleutels via integratie met een hardware security module (HSM) of Amazon Web Services Key Management Service (AWS KMS).

Organisaties die werken met PHI en beheerde bestandsoverdracht—ongeacht of ze actief zijn in de zorgsector—moeten de juiste governance- en beveiligingscontroles en tracking hebben om te voldoen aan HIPAA. Wilt u meer weten over de robuuste MFT-beveiligings- en nalevingsmogelijkheden van het Kiteworks-platform? Plan dan vandaag nog een aangepaste demo in.