02 / Compliance und Zertifizierung
HIPAA, angefangen bei dem Weg, den Gesundheitsdaten wirklich nehmen
Wir helfen Covered Entities und Business Associates, die Risikoanalyse durchzuführen, die die Security Rule verlangt, die Schutzmaßnahmen um elektronische Gesundheitsdaten zu prüfen und die Systeme zu testen, in denen sie liegen.
Überblick
Was die HIPAA Security Rule von Ihnen verlangt
HIPAA ist ein US-Bundesgesetz. Die Security Rule gilt für sogenannte Covered Entities, etwa Krankenversicherer, Clearingstellen und viele Leistungserbringer im Gesundheitswesen, sowie für deren Business Associates. Sie verlangt, Vertraulichkeit, Integrität und Verfügbarkeit elektronischer geschützter Gesundheitsinformationen (ePHI) durch administrative, physische und technische Schutzmaßnahmen zu sichern.
Ausgangspunkt ist eine Risikoanalyse: eine genaue und gründliche Bewertung der Risiken für die ePHI, die Sie erstellen, empfangen, speichern oder übermitteln, gefolgt von einem Risikomanagement, das diese Risiken senkt. Manche Umsetzungsvorgaben sind verpflichtend, andere addressable. Das heißt, Sie bewerten sie und dokumentieren Ihre Entscheidung, nicht, dass Sie sie überspringen dürfen. Business Associates brauchen ein Business Associate Agreement, bevor sie mit ePHI arbeiten.
Eine offizielle HIPAA-Zertifizierung gibt es nicht. Das US-Gesundheitsministerium (HHS) zertifiziert niemanden als HIPAA-konform und erkennt private Zertifikate nicht an; durchgesetzt werden die Regeln vom Office for Civil Rights. Black Fox ist weder Kanzlei noch Behörde. Wir erledigen die Sicherheitsarbeit und dokumentieren sie.
Für wen es gedacht ist
Leistungserbringer, Krankenversicherer und Clearingstellen in den USA und die Business Associates, die für sie arbeiten, etwa Softwareanbieter, Cloud- und IT-Dienstleister und Abrechnungsunternehmen. Außerdem Unternehmen außerhalb der USA, die ePHI für US-Kunden verarbeiten und in Verträgen nach HIPAA gefragt werden.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Risikoanalyse
Wir finden, wo ePHI liegen und fließen, einschließlich vergessener Systeme und Dienstleister, und bewerten jeweils Bedrohungen, Schwachstellen und wahrscheinliche Auswirkungen.
Administrative Schutzmaßnahmen
Eine Prüfung von Sicherheitsmanagementprozess, Personalsicherheit, Zugriffsverwaltung, Schulung, Vorfallsverfahren, Notfallplanung und Evaluierung.
Physische Schutzmaßnahmen
Ein Blick auf Zutritt zu Räumlichkeiten, Nutzung und Sicherung von Arbeitsplätzen und darauf, wie Geräte und Datenträger mit ePHI behandelt, wiederverwendet und entsorgt werden.
Technische Schutzmaßnahmen
Eine Prüfung direkt an den Systemen: Zugriffskontrolle, Protokollierung, Integrität, Authentifizierung und Übertragungssicherheit, zum Beispiel Verschlüsselung bei der Übertragung.
Business Associates
Ein Verzeichnis der Dienstleister mit Zugang zu ePHI, eine Prüfung, ob Vereinbarungen bestehen, und eine Einschätzung, ob deren Sicherheit hält, was unterschrieben wurde.
Technische Tests
Penetrationstests der Anwendungen, APIs, Netzwerke und Cloud-Umgebungen mit ePHI, auf HIPAA zugeschnitten, mit Proofs of Concept für unsere Feststellungen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, Systeme und Beteiligte und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Bestandsaufnahme
Interviews, Dokumentenprüfung und Datenflussanalyse, um jede Stelle zu finden, an der ePHI entstehen, gespeichert oder versendet werden.
Risikoanalyse
Wir bewerten die Risiken über alle Schutzmaßnahmen hinweg nach Wahrscheinlichkeit und Auswirkung.
Tests
Auf Wunsch technische Tests der Systeme mit dem höchsten Risiko, vorab abgestimmt.
Risikomanagementplan
Wir erarbeiten mit Ihren Verantwortlichen einen Plan zur Risikosenkung und dokumentieren die Entscheidungen zu addressable Vorgaben.
Übergabe
Empfehlungen, ein Management-Bericht mit Risikobewertung und ein technischer Bericht, danach ein Abschlussgespräch für Ihr Feedback.
Was Sie erhalten
- Verzeichnis der ePHI und Datenflussübersicht
- Risikoanalyse nach der Security Rule
- Gap-Analyse der administrativen, physischen und technischen Schutzmaßnahmen
- Risikomanagementplan mit dokumentierten Entscheidungen
- Verzeichnis der Business Associates und Checkliste der Vereinbarungen
- Bericht zum Penetrationstest mit Proofs of Concept
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Können Sie uns als HIPAA-konform zertifizieren?
Nein, und auch sonst niemand. Eine offizielle HIPAA-Zertifizierung gibt es nicht, und das HHS erkennt private Zertifikate nicht an. Vorweisen können Sie eine dokumentierte Risikoanalyse, die umgesetzten Schutzmaßnahmen und Nachweise, dass sie wirken. Unser Zertifikat über einen erfolgreichen Auftrag belegt, dass ein Auftrag stattgefunden hat, nicht mehr.
Sind wir ein Business Associate?
Wenn Sie im Auftrag einer Covered Entity geschützte Gesundheitsinformationen erstellen, empfangen, speichern oder übermitteln, sehr wahrscheinlich, und Sie brauchen ein Business Associate Agreement. Ob eine konkrete Vereinbarung darunter fällt, klärt Ihre Rechtsberatung.
Heißt addressable freiwillig?
Nein. Bei einer addressable Vorgabe prüfen Sie, ob sie für Sie angemessen ist. Wenn ja, setzen Sie sie um. Wenn nicht, dokumentieren Sie die Gründe und setzen, wo sinnvoll, eine gleichwertige Alternative um.
Verlangt HIPAA Penetrationstests?
Die Security Rule verlangt eine Risikoanalyse und eine regelmäßige Evaluierung der Schutzmaßnahmen, nennt aber keinen bestimmten Test. Penetrationstests sind ein verbreiteter Weg, die technischen Schwachstellen zu finden, die die Risikoanalyse berücksichtigen muss.
Verwandte Leistungen
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Compliance und ZertifizierungSOC 2SOC 2 mit Black Fox Security: Abgrenzung nach Trust Services Criteria, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise für die Prüfung durch Ihre CPA-Firma.
- Governance und RisikoLieferantenrisikomanagementLieferantenrisikomanagement mit Black Fox Security: Inventar, Einstufung, Fragebögen, Prüfung von Nachweisen und Vertragsklauseln, ausgerichtet an NIS2 und DORA.
Beginnen Sie mit der Risikoanalyse
Sagen Sie uns, wo Ihre ePHI liegen und wer darauf zugreift. Wir zeigen Ihnen, was die Security Rule von jedem Teil erwartet.