기술이 계속해서 의료 운영에 혁명을 일으키면서 환자 데이터를 보호하는 것이 그 어느 때보다 어려워졌습니다. 데이터 침해에 맞서 계속되는 투쟁 속에서 지난해는 전례 없는 133억 XNUMX만 건의 의료 기록이 침해되면서 전환점을 맞이했다고 합니다. HIPAA 저널.
이 블로그에서는 HIPAA 규정 준수 프레임워크를 자세히 살펴보고 특히 액세스 제어 및 MFA 조직 전체에 ID 보안 제어를 추가하면 HIPAA를 준수하는 데 어떻게 도움이 되는지 알아보세요.
HIPAA법이란 무엇입니까?
HIPAA(건강 보험 이전 및 책임에 관한 법률)는 미국에서 1996년에 제정된 중요한 법안입니다. 주요 목적은 개인의 의료 정보를 보호하고 건강 데이터의 개인 정보 보호 및 보안을 보장하는 것입니다. HIPAA는 민감한 환자 정보 처리에 대한 엄격한 지침을 요구하므로 의료 서비스 제공자와의 관련성은 아무리 강조해도 지나치지 않습니다.
HIPAA 규정 준수의 핵심 측면 중 하나는 전자 보호 건강 정보(ePHI)를 보호하는 것입니다. ePHI에는 개인을 식별하고 해당 법인 또는 사업 제휴자가 전송하거나 유지 관리하는 모든 전자 건강 정보가 포함됩니다. 여기에는 의료 기록 및 청구 정보부터 환자 인구통계 및 실험실 결과에 이르기까지 광범위한 데이터가 포함됩니다. 이러한 민감한 환자 데이터와 기록을 악의적인 행위자로부터 안전하게 보호하는 것이 중요합니다.
액세스 제어 및 다단계 인증(MFA)은 ePHI에 대한 무단 액세스를 방지하고 HIPAA 규정 준수를 달성하는 데 중요한 요소입니다. 구체적인 내용을 살펴보겠습니다.
액세스 제어 요구 사항
HIPAA의 보안 규칙에 따르면 다음과 같습니다.HIPAA 적용 기관은 전자 보호 건강 정보(ePHI)의 기밀성, 무결성 및 보안을 보장하기 위해 적절한 행정적, 물리적, 기술적 보호 장치를 구현해야 합니다." 조직은 ePHI를 보호하기 위해 기술적 보호 장치를 구현해야 합니다. 이러한 기술적 보안 접근 방식에는 승인된 개인만 ePHI에 액세스할 수 있도록 하는 액세스 제어 시스템이 포함되어야 합니다.
HIPAA에서는 조직이 다음과 같은 액세스 제어 조치를 구현하도록 요구합니다.
- 승인된 사용자, 프로그램, 프로세스 또는 기타 시스템에만 액세스를 허용하도록 ePHI를 유지하는 전자 정보 시스템에 대한 정책 및 절차. 관리 제어에는 사용자 액세스 관리를 위한 정책, 절차 및 지침 설정이 포함됩니다. 기술적 통제는 인증시스템, 암호화, 접근로그 등의 솔루션을 활용하여 전자적 접근을 통제합니다. 물리적 통제는 ePHI가 저장되거나 처리되는 시설 및 장비에 대한 물리적 접근을 제한합니다.
- RBAC(역할 기반 액세스 제어)는 의료 조직 내에서 ePHI에 대한 액세스를 관리하는 데 사용되는 일반적인 접근 방식입니다. RBAC는 사용자의 역할과 책임에 따라 권한을 할당하여 개인이 자신의 직무를 수행하는 데 필요한 정보에만 액세스할 수 있도록 합니다.
HIPAA에서 액세스 제어 시행
보안 규칙에 따라 조직은 ePHI에 대한 접근 권한을 부여하기 위한 서면 정책 및 절차를 개발해야 합니다. 정책과 절차에서는 누가 어떤 정보에 액세스할 수 있는지, 그리고 이러한 액세스 지점을 어떻게 추적하고 모니터링할지 지정해야 합니다.
보안 규칙을 준수하려면 조직은 다음을 시행해야 합니다.
- ePHI에 대한 액세스 권한을 부여 및 거부하는 프로세스입니다.
- ePHI를 사용해야 하는 업무상의 이유가 있는 개인에게만 액세스 권한을 부여해야 합니다.
- 더 이상 필요하지 않을 때 액세스를 취소하는 기능.
- 적시에 액세스 권한이 부여되고 철회되는지 정기적으로 모니터링합니다.
또한 조직은 저장 및 전송 중 개인 정보를 암호화하고 긴급 액세스 절차를 구현하는 등 보안 침해가 발생할 경우 ePHI를 보호할 수 있어야 합니다.
마지막으로, 액세스 제어 측면에서 조직은 ePHI에 액세스한 사람을 기록하는 감사 추적을 유지해야 합니다. 이 감사 추적에는 언제, 누구에 의해 액세스 권한이 부여되고 취소되었는지, 어떤 데이터에 액세스했는지에 대한 정보가 포함되어야 합니다.
HIPAA에 대한 강력한 인증
HIPAA 보안 규칙은 MFA 사용을 구체적으로 요구하지 않지만, HIPAA는 환자 데이터를 보호하기 위해 "합리적이고 적절한" 보안 조치의 구현을 요구합니다. MFA는 이러한 요구 사항에 완벽하게 부합하여 의료 기관이 HIPAA의 엄격한 보안 요구 사항을 충족하는 데 도움이 되는 강력한 액세스 제어와 추가 보안 계층을 제공합니다.
HIPAA가 강력한 인증을 처리하고 MFA를 보안 모범 사례로 권장하는 방법은 다음과 같습니다.
- 강력한 인증 요구 사항: HIPAA의 보안 규칙은 해당 주체가 ePHI에 액세스하려는 사용자의 신원을 확인하는 절차를 구현하도록 요구합니다. 여기에는 "합리적이고 적절한" 인증 방법의 사용이 포함됩니다.
- MFA의 권고: MFA는 인증 및 액세스 제어를 강화하기 위한 보안 모범 사례입니다. HIPAA를 시행하는 보건복지부(HHS)에서는 포괄적인 보안 프로그램의 일환으로 MFA 사용을 권장하는 지침을 발표했습니다.
- 구현의 유연성: HIPAA를 통해 해당 주체는 특정 위험 요소, 조직 규모, 복잡성 및 기능을 기반으로 가장 적절한 인증 조치를 결정할 수 있습니다. MFA가 명시적으로 의무화되지는 않았지만 HIPAA는 조직에 보안 요구 사항과 위험 프로필을 가장 잘 충족하는 인증 방법을 선택할 수 있는 유연성을 제공합니다. 예를 들어 비밀번호, 생체 인식, 토큰 또는 MFA입니다.
HIPAA 규정 준수 강화 Silverfort
출입 통제 시스템
HIPAA의 액세스 제어 요구 사항에 답하려면, Silverfort의 지속적인 인증 기능은 사용자 행동을 실시간으로 모니터링하고 분석합니다. Silverfort 사용자 행동, 기기, 위치 등의 위험 요소를 탐지하여 각각의 위험 점수를 계산합니다. 사용자 인증 요구. 승인되지 않은 행위나 비정상적인 행위가 확인되면 시스템은 세션을 종료하거나 추가 인증을 요청하는 등 즉각적인 조치를 취할 수 있습니다. 이는 ePHI에 대한 액세스를 엄격하게 제어하여 승인된 개인만 민감한 데이터에 액세스할 수 있도록 보장하며 이는 HIPAA의 중요한 요구 사항입니다.
액세스 정책 적용
와 Silverfort, 조직은 HIPAA 규정을 준수하여 사용자 액세스 정책을 구성할 수 있습니다. 액세스 정책은 사용자, 그룹, 조직 단위(OU)뿐만 아니라 시스템, 프로세스, 애플리케이션에 필요한 최소한의 권한을 기반으로 구성됩니다. 이러한 정책을 구현함으로써 조직은 다음에 대한 완전한 가시성을 확보할 수 있습니다. 사용자 계정, 액세스 요청 및 인증을 수행하고 로그 파일을 생성 및 모니터링하여 악의적이거나 불규칙적인 활동을 탐지합니다.
예를 들어, Silverfort'의 시스템은 할 수 있습니다 MFA가 필요합니다 사용자 행동, 장치, 위치, 보안 이벤트 및 기타 위험 요소에 대한 지속적인 분석을 기반으로 각 액세스 요청에 대해 이를 통해 HIPAA에 따라 요구되는 대로 승인된 사용자만 민감한 환자 정보에 액세스할 수 있도록 하면서 ePHI에 대한 액세스를 적절하게 관리하고 보호할 수 있습니다.
MFA 보호 시행
HIPAA의 강력한 인증 요구 사항을 준수하려면 Silverfort 온프레미스와 클라우드의 모든 사용자와 리소스에 MFA 보호를 적용할 수 있습니다. 이는 다음을 포함하여 ID 공급자(IdP)에 대한 모든 인증에 적용됩니다. Active Directory 레거시 애플리케이션, 명령줄 액세스, 데이터베이스, 네트워킹 인프라 등 이전에는 MFA로 보호할 수 없었던 애플리케이션도 포함됩니다. Silverfort의 강력한 인증 기능은 액세스 정책을 통해 달성됩니다. Silverfort 비밀번호만으로 액세스가 허용되지 않으며 사용자는 신원을 확인하기 위해 MFA를 통해 인증해야 합니다.
Silverfort의 MFA 액세스 정책에 따라 도메인 관리자는 리소스 액세스를 요청할 때 자신의 신원을 인증해야 합니다.
MFA 보호를 통한 강력한 인증은 승인된 개인만 ePHI에 액세스할 수 있도록 규정하는 HIPAA 요구 사항에 부합합니다. 각 액세스 요청에 대해 MFA를 요구함으로써 Silverfort HIPAA 규정에 따라 적절한 보안 통제를 통해 ePHI에 대한 액세스를 엄격하게 모니터링합니다.
방법에 대해 자세히 알고 싶습니다. Silverfort HIPAA 요구 사항을 준수하는 데 도움을 드릴 수 있습니까? 전화 예약 전문가와 상담하거나 이 양식을 작성하여 가격 견적.
