HIPAA (Health Insurance Portability and Accountability Act) från 1996 fastställde bindande standarder som vårdinrättningar i USA är skyldiga att följa. Bland kraven återfinns procedurer för säkerhetsriskbedömningar, som syftar till att identifiera och dokumentera "potentiella risker och sårbarheter för konfidentialiteten, integriteten eller tillgängligheten hos elektroniskt skyddad hälsoinformation". Efterlevnad innebär att befintliga säkerhetsåtgärder analyseras och att konkreta steg vidtas för att minimera de identifierade riskerna.
Säkerhetsriskanalysen enligt HIPAA börjar med att identifiera exakt vilken information som ska skyddas. Personalen lokaliserar den skyddsvärda informationen och använder denna kartläggning som utgångspunkt för att etablera lämpliga administrativa, tekniska och fysiska skyddsåtgärder.
Analysprocessen kräver att informationsinnehavarna inventerar och klassificerar sina tillgångar, dokumenterar sannolika hot mot varje enskild tillgång, utför en sårbarhetsbedömning och utvärderar de nuvarande skyddsåtgärderna. Därefter förväntas personalen dokumentera riskerna, rekommendéra lämpliga säkerhetsåtgärder och sammanställa en slutrapport med resultaten.
En del av testningen inom ramen för HIPAA:s säkerhetsriskbedömning rör extern penetrationstestning, medan andra tester fokuserar på nätverkets sårbarheter samt en bedömning av trådlösa och fjärranslutna åtkomstpunkter.
Regelbundna riskanalyser utgör ett grundläggande krav i HIPAA:s säkerhetsregel (Security Rule). Bedömningen ska upprepas när verksamhetens förutsättningar förändras, exempelvis vid införandet av ny teknik eller vid organisatoriska förändringar. Dokumentationen från analysen kan även begäras in vid revisioner, vilket gör en noggrant utförd och väldokumenterad riskbedömning avgörande för efterlevnaden.
Hälsa och Sjukdom © https://www.sjukdom.online