A Microsoft Entra-azonosító konfigurálása a HIPAA-megfelelőséghez
Microsoft-szolgáltatások, például a Microsoft Entra ID segíthet megfelelni az 1996-os egészségügyi biztosítás hordozhatóságáról és elszámoltathatóságáról szóló törvény (HIPAA) identitással kapcsolatos követelményeinek.
A HIPAA biztonsági szabály (HSR) szabványokat hoz létre az érintett entitás által létrehozott, fogadott, használt vagy karbantartott elektronikus egészségügyi adatok védelmére. A HSR-t az Egyesült Államok Egészségügyi és Emberi Szolgáltatások Minisztériuma (HHS) kezeli, és megfelelő adminisztratív, fizikai és technikai biztosítékokat igényel az elektronikusan védett egészségügyi információk bizalmasságának, integritásának és biztonságának biztosítása érdekében.
A műszaki biztosítékokra vonatkozó követelményeket és célkitűzéseket a szövetségi rendeletek (CFR-k) 45. A 45. cím 160. része tartalmazza az általános adminisztratív követelményeket, a 164. rész A és C alrésze pedig a biztonsági és adatvédelmi követelményeket írja le.
A 164.304. alrész a műszaki biztosítékokat a technológia, valamint a használatukra vonatkozó szabályzatok és eljárások határozzák meg, amelyek védik az elektronikusan védett egészségügyi információkat és ellenőrzik az ahhoz való hozzáférést. A HHS emellett a HIPAA technikai biztosítékainak megvalósítása során figyelembe veendő legfontosabb területeket is felvázolja az egészségügyi szervezetek számára. 164.312. § Technikai biztosítékok:
Hozzáférés-vezérlés – Olyan elektronikus információs rendszerekre vonatkozó technikai szabályzatok és eljárások implementálása, amelyek elektronikusan védett egészségügyi információkat tartanak fenn, hogy csak azokhoz a személyekhez vagy szoftverprogramokhoz férjenek hozzá, akik a 164.308.
Naplózási vezérlők – Olyan hardver-, szoftver- és/vagy eljárási mechanizmusok implementálása, amelyek elektronikus védett egészségügyi információkat tartalmazó vagy használó információs rendszerek tevékenységeit rögzítik és vizsgálják.
Integritás-vezérlés – Szabályzatok és eljárások implementálása az elektronikus védelemmel ellátott egészségügyi információk nem megfelelő megváltoztatásával vagy megsemmisítésével szembeni védelmére.
Személy- vagy entitáshitelesítés – Eljárások implementálása annak ellenőrzésére, hogy az elektronikus védelem alatt álló egészségügyi információkhoz hozzáférést kérő személy vagy entitás az igényelt-e.
Átviteli biztonság – Technikai biztonsági intézkedések végrehajtása az elektronikus hírközlő hálózaton keresztül továbbított elektronikus védett egészségügyi információkhoz való jogosulatlan hozzáférés elleni védelem érdekében.
A HSR szabványként határozza meg az alrészeket, valamint a szükséges és címezhető megvalósítási specifikációkat. Mindennek implementálva kell lennie. A "címezhető" megjelölés ésszerű és megfelelő specifikációt jelöl. A címezhető nem jelenti azt, hogy a megvalósítási specifikáció nem kötelező. Ezért a címezhetőként definiált alrészekre is szükség van.
A sorozat további cikkei útmutatást és az erőforrásokra mutató hivatkozásokat tartalmaznak, fő területek és technikai biztosítékok szerint rendezve. Minden kulcsterületen található egy táblázat, amely tartalmazza a megfelelő biztosítékokat, valamint a Microsoft Entra útmutatására mutató hivatkozásokat a védelem végrehajtásához.
További információ
Az összes HIPAA Rendszergazda szkenvedő egyszerűsítési rendelet együttes rendeletszövege a 45 CFR 160, 162 és 164 időpontban található
A szövetségi rendeletek (CFR) 45 . címe, amely a rendelet közjóléti részét írja le
A 45. cím általános adminisztratív követelményeit leíró 160 . rész
A 45 . cím biztonsági és adatvédelmi követelményeit leíró A. és C. rész