Безопасное HIPAA-совместимое облачное хранилище для здравоохранения: надежные решения для соответствия требованиям

Больницы, клиники и другие организации здравоохранения последние годы преодолевали непростой путь к внедрению облачных технологий. Подразумеваемые риски безопасности при использовании публичного облака или работе со сторонними провайдерами значительно задержали принятие облака в сфере здравоохранения.

Даже сегодня, когда 84% организаций здравоохранения используют облачные сервисы, выбор правильного HIPAA-совместимого облачного провайдера остается сложной задачей.

Все поставщики медицинских услуг, чьи клиентские данные хранятся в США, подлежат набору регуляций, известным как соответствие HIPAA.

На сегодняшний день любая организация, обрабатывающая конфиденциальные данные пациентов, должна соблюдать требования HIPAA к хранению.

Что такое соответствие HIPAA?

Стандарты HIPAA обеспечивают защиту медицинских данных. Любой поставщик, работающий с организацией здравоохранения или обрабатывающий медицинские файлы, должен соблюдать правила конфиденциальности HIPAA. Существует также множество смежных отраслей, которые должны следовать рекомендациям, если имеют доступ к медицинским данным пациентов. Именно здесь HIPAA-совместимое облачное хранилище играет ключевую роль.

В 1996 году Министерство здравоохранения и социальных услуг США (HHS) выпустило Правило конфиденциальности для реализации требования Закона о переносимости и отчетности медицинского страхования (HIPAA) 1996 года. Правило касается «электронной защищенной медицинской информации» пациентов и того, как организации — «покрытые сущности HIPAA», подпадающие под действие Правил конфиденциальности — должны их соблюдать.

Большинство медицинских учреждений используют электронные устройства для оказания помощи. Это означает, что информация больше не хранится на бумажных картах, а на компьютерах или в облаке. В отличие от обычных бизнесов или коммерческих организаций, медицинские учреждения юридически обязаны применять самые надежные практики резервного копирования данных.

Как это влияет на выбор облачного провайдера?

При планировании перехода на облачные вычисления организации здравоохранения должны убедиться, что их поставщик соответствует конкретным критериям безопасности.

Эти критерии преобразуются в требования и пороги, которые компания должна выполнить и поддерживать для готовности к HIPAA. Они сводятся к набору сертификатов, аудита SOC и отчетности, уровням шифрования и физическим функциям безопасности.

HIPAA-совместимые решения облачного хранилища должны упрощать процесс соответствия. Таким образом, организации здравоохранения могут сосредоточиться на улучшении своих критических процессов.

Требования HIPAA к облачному хранилищу и резервному копированию

Облачный провайдер, ведущий бизнес с компанией, действующей по правилам HIPAA-HITECH, считается деловым партнером (Business Associate). Как таковой, он должен демонстрировать соответствие стандартам облачной безопасности и следование соответствующим стандартам. Хотя поставщик не обрабатывает информацию пациентов напрямую, он получает, управляет и хранит Защищенную медицинскую информацию (PHI). Этот факт делает его ответственным за ее защиту в соответствии с руководством HIPAA-HITECH.

Соответствие HIPAA означает внедрение всех правил и регуляций, предлагаемых Актом. Любой поставщик услуг, подпадающий под действие Акта, должен предоставить документацию как доказательство соответствия. Эта документация должна быть направлена не только клиентам, но и Управлению по гражданским правам (OCR). OCR — подведомственное ведомство Министерства образования США, способствующее равному доступу к программам здравоохранения и социальных услуг.

Организациям здравоохранения, ищущим работу с HIPAA-совместимым облачным хранилищем, следует запрашивать доказательства соответствия для своей защиты. Если провайдер соблюдает все стандарты, он не должен иметь возражений против предоставления соответствующей документации.

Требования HIPAA для хостинговых организаций совпадают с требованиями для деловых партнеров. Они делятся на три категории: административные, физические и технические меры защиты.

• Административные меры защиты: Прозрачные политики, описывающие, как бизнес будет соответствовать требованиям с операционной точки зрения. Операции могут включать управление оценками рисков безопасности, соответствующие процедуры, реагирование на чрезвычайные ситуации и управление паролями.
• Физические меры защиты: Системы для защиты данных клиентов. Могут включать надлежащее хранение, резервное копирование и утилизацию носителей в дата-центре. Важные меры предосторожности для объектов, где размещаются аппаратные или программные устройства хранения, также входят в эту категорию.
• Технические меры защиты: Технические функции для минимизации рисков данных и максимизации защиты. Требование уникальных учетных данных, политики автоматического выхода, аутентификация для доступа к PHI — лишь некоторые из технических мер, которые должны быть реализованы.

Что делает облачного провайдера HIPAA-сертифицированным и соответствующим?

Предоставление HIPAA-совместимого файлового хранилища — не простая задача. Компании требуется огромное время и усилия для достижения соответствия.

Ключевой элемент при выборе HIPAA-сертифицированного провайдера облачного хранилища — его готовность заключить Соглашение о деловых партнерах (Business Associate Agreement — BAA). Это соглашение заключается между двумя сторонами, планирующими передачу, обработку или получение PHI. Его основная цель — защитить обе стороны от юридических последствий неправомерного использования защищенной медицинской информации.

BAA не должен добавлять, вычитать или противоречить общим стандартам HIPAA. Однако при согласии сторон допускается дополнение специфической терминологии. Существуют также основные условия, составляющие основу соответствующего BAA, которые должны оставаться для юридической силы контракта.

Уровень шифрования, предоставляемый облачным провайдером, требует должного внимания. Компания должна шифровать файлы не только в транзите, но и в покое. Advanced Encryption Standard (AES) — минимальный уровень шифрования для хранения и обмена файлами. AES — наследник стандарта DES, разработанный Национальным институтом стандартов и технологий (NIST) в 1997 году. Это передовой алгоритм шифрования, обеспечивающий улучшенную защиту от различных инцидентов безопасности.

Выбор соответствующего провайдера облачного хранилища

При выборе HIPAA-совместимого провайдера ищите HIPAA-хостинг, соответствующий мерам, описанным выше. Обязательно спросите о практиках безопасности хранения данных, чтобы понять, насколько безопасно будет ваша PHI.

Предлагает ли потенциальный поставщик соглашение об уровне сервиса (SLA)?

SLA гарантирует время реакции на угрозы, обычно в 24-часовое окно. Как компания, передающая PHI, вы должны знать, как быстро провайдер уведомит вас в случае инцидента. Чем быстрее вы получите уведомление о нарушении, тем эффективнее сможете реагировать.

Не забывайте, что хранение электронных облачных медицинских записей должно осуществляться в безопасном дата-центре.

Какие меры безопасности предусмотрены на случай инцидента? Как определяется доступ к объекту? Попросите подробный план реализации и обеспечения физической безопасности. Проверьте, как они реагируют на утечку данных. Получите все релевантные детали перед тем, как подвергнуть риску свои данные.

Выбранный поставщик также должен иметь план аварийного восстановления и непрерывности бизнеса.

План непрерывности предусматривает потери из-за стихийных бедствий, утечек данных и других непредвиденных инцидентов. Он также предоставляет необходимые процессы и процедуры при возникновении таких событий. В контексте лучших практик предотвращения потерь данных также важно определить, как часто предлагаемый метод проходит строгое тестирование.

Безопасность медицинских записей — как быть уверенным?

Облачные провайдеры, серьезно относящиеся к соответствию, обеспечивают актуальность своих сертификатов. Существует несколько способов проверить соблюдение стандартов и регуляций.

Один из способов — аудит потенциального провайдера независимой стороной. Аудит выявит возможные риски и раскроет тактику безопасности поставщика. Провайдеры облачного хранилища для медицинских записей должны регулярно аудировать свои системы и среды для защиты от угроз. Термин «регулярно» не определен Актом, поэтому важно запрашивать документацию и информацию минимум ежеквартально. Вы также должны иметь постоянный доступ к отчетам и документации, детализирующим последний аудит.

Другой способ — оценить квалификацию сотрудников. Весь персонал должен быть обучен актуальным стандартам и ознакомлен с конкретными мерами защиты. Только при этом организациях удается достичь соответствия.

Задавайте потенциальному поставщику сложные вопросы. Любой, имеющий доступ к PHI, нуждается в соответствующем обучении методам безопасной передачи данных. Обучение должно включать возможность безопасного шифрования информации пациентов независимо от места хранения.

HIPAA-совместимая компания не попросит «черный ход» для доступа к вашим данным или разрешения на обход протоколов управления доступом. Такие поставщики признают риск дополнительных точек аутентификации или доступа. Нарушение протоколов аутентификации и требований к паролям — серьезное нарушение, которое никогда не должно происходить.

Часто задаваемые вопросы об облачном резервном копировании и хранении

Спросите потенциальных облачных поставщиков, какой метод они используют для оценки вашего соответствия HIPAA.

Доступен ли шаблон политики HIPAA? Предлагает ли провайдер руководство и обратную связь по соответствию? Как они обеспечивают вашу актуальность и осведомленность о правилах и регуляциях безопасности? Предлагают ли они HIPAA-совместимый email?

Есть ли у компании штатные сотрудники на месте?

Наличие представителя на месте и доступность 24/7 — механизм обеспечения передовых мер безопасности. Доступный представитель делает безопасность PHI более надежной и гарантирует быструю реакцию при необходимости. Это также дает спокойствие, зная, что компания, отвечающая за защиту ваших данных, глубоко разбирается в требуемых стандартах.

Правильный поставщик также должен быстро адаптироваться к изменениям и информировать вас о чем-либо, что напрямую влияет на вашу PHI или доступ к ней.

Удаление данных — критически важный компонент при выборе подходящего делового партнера HIPAA. Как долго информация хранится перед очисткой? Как предотвращается утечка данных при выводе серверов из эксплуатации или стирании? Предоставляются ли данные вам перед удалением? Акт не регламентирует требуемую длительность хранения, но это соглашение, которого вы и ваш провайдер должны достичь вместе.

Помимо ваших знаний, определите, насколько хорошо потенциальный провайдер разбирается в регуляциях HIPAA. Облачные компании часто не следуют последним изменениям регуляций, поэтому нужно искать ту, которая проявляет постоянную преданность соответствию.

Изучите рынок. Не соглашайтесь на первое предложение.

Многие компании заявляют о своей HIPAA-безопасности, но оказывается, что они не соответствуют критериям. Проведите исследование, задавайте вопросы и определите, какой поставщик лучше всего подходит вашим потребностям.

HIPAA-совместимое облачное хранилище критически важно

Когда речь идет о защите медицинских записей в облаке, phoenixNAP поддержит ваши усилия наивысшим качеством сервиса, безопасностью и надежностью.

Мы предоставляем выбор дата-центров, предлагающих передовые средства защиты для ваших медицинских файлов. С масштабируемыми облачными решениями, гарантией 100% uptime и беспрецедентным аварийным восстановлением вы можете быть уверены, что ваша инфраструктура соответствует требованиям.

HIPAA-сертификация может быть запутанной, сложной и стрессовой.

Вам нужно доверять своему облачному провайдеру защиту ваших файлов. PhoenixNAP Global IT Services даст вам свободу сосредоточиться на других аспектах бизнеса и обеспечит защиту ваших сущностей и деловых партнеров.