Vårdorganisationer kräver periodiska lösenordsändringar för att uppfylla regulatoriska krav och minska säkerhetsrisker. Moderna riktlinjer ifrågasätter dock effektiviteten av godtycklig rotation och betonar starkare alternativ.
Primära drivkrafter för obligatorisk rotation
- Minskat risken för komprometterade uppgifter: Begränsar exponeringsfönstret om lösenord phishas, läcker i dataintrång eller återanvänds över system.
- Regulatorisk efterlevnad: HIPAA Security Rule (§164.308(a)(5)), NIST 800-53, HITRUST och statliga lagar kräver ofta periodiska ändringar (typiskt 60–90 dagar).
- Minskar lösenordsåteranvändning: Tvingar fram unika uppgifter per system, begränsar spridningen vid ett enda intrång.
- Upptäcker dormanta konton: Utgång utlöser granskning av inaktiva användare.
Moderna bästa praxis (NIST SP 800-63B)
- Upphör inte lösenord godtyckligt om starka, unika lösenord och Multi-Faktor Autentisering (MFA) tillämpas.
- Kräv ändring endast vid bevis på kompromettering (intrångsmeddelande, misstänkt aktivitet).
- Använd långa lösenfraser (15+ tecken) och screena mot komprometterade uppgiftslistor (t.ex. HaveIBeenPwned).
- Kräv phishing-resistent MFA (FIDO2/WebAuthn, PIV) för all klinisk och fjärråtkomst.
- Distribuera företagslösenordshanterare för att möjliggöra unikhet utan memoreringstung.
Vårdspecifika riskfaktorer
- Delade arbetsstationer och legacy-system som saknar MFA-stöd.
- Högt värde mål: Skyddad hälsoinformation (PHI) och ransomware-sårbarhet.
- Kliniska arbetsflödesbegränsningar (handskar, brådska, delade enheter).
Balansera säkerhet och användbarhet
Målet är riskbaserad autentisering: Single Sign-On (SSO), badge tap + PIN, och adaptiv MFA som eskalera bara för högriskåtgärder. Detta minskar friktion för rutinåtkomst samtidigt som robust säkerhet upprätthålls för känsliga operationer.
