Der Health Insurance Portability and Accountability Act (HIPAA) legt in den Vereinigten Staaten Standards zum Schutz individuell identifizierbarer Gesundheitsinformationen fest. HIPAA gilt für sogenannte „Covered Entities", zu denen Krankenversicherungen, Gesundheitsdienstleister, Verrechnungsstellen im Gesundheitswesen sowie Organisationen gehören, die bestimmte Funktionen in deren Auftrag übernehmen – diese werden als „Business Associates" bezeichnet. Ein Arztpraxis ist beispielsweise eine Covered Entity, und der Anbieter des EHR-Systems, das von den Ärzten dieser Praxis genutzt wird, ist ein Business Associate.
Die individuell identifizierbaren Gesundheitsinformationen, die von Covered Entities und Business Associates verwaltet werden, werden als Protected Health Information oder PHI bezeichnet. Es ist wichtig zu verstehen, dass nicht alle identifizierbaren Gesundheitsinformationen als PHI gelten. Wenn Sie beispielsweise Software entwickeln, die Gesundheitsinformationen direkt von Patienten empfängt, unterliegen Ihre Organisation und Ihre Software nicht den HIPAA-Vorschriften, sofern keine Covered Entity beteiligt ist.
Die HIPAA Security Rule verpflichtet Covered Entities und ihre Business Associates, die Vertraulichkeit, Integrität und Verfügbarkeit von PHI durch administrative, physische und technische Schutzmaßnahmen zu gewährleisten. Das Aidbox FHIR-Backend und seine automatisierte Infrastruktur verfügen über zahlreiche integrierte Komponenten, die technische und administrative HIPAA-Schutzmaßnahmen abdecken.
Lassen Sie uns erläutern, wie Aidbox-basierte Gesundheitssysteme die HIPAA-Konformität sicherstellen.
Vorab sei verraten: HIPAA ist einfach, wenn Sie Aidbox verwenden.
Technische HIPAA-Schutzmaßnahmen
STANDARD § 164.312(a)(1) Zugangskontrolle
Der Standard zur Zugangskontrolle verpflichtet Sie, technische Richtlinien und Verfahren für Ihre Lösungen zu implementieren, die ePHI verwalten, um den Zugang ausschließlich denjenigen Personen oder Softwareanwendungen zu gewähren, denen Zugriffsrechte eingeräumt wurden. Dem Standard zur Zugangskontrolle sind vier Implementierungsspezifikationen zugeordnet. 1. Eindeutige Benutzeridentifikation (Erforderlich) 2. Notfallzugangsverfahren (Erforderlich) 3. Automatischer Abmeldevorgang (Adressierbar) 4. Verschlüsselung und Entschlüsselung (Adressierbar)
- EINDEUTIGE BENUTZERIDENTIFIKATION (R) - § 164.312(a)(2)(i) - erforderlich
Weisen Sie einen eindeutigen Namen und/oder eine eindeutige Nummer zur Identifizierung und Nachverfolgung der Benutzeridentität zu.
Diese Spezifikation verpflichtet IT-Lösungen im Gesundheitswesen dazu, jedem Benutzer im System einen eindeutigen Bezeichner zuzuweisen. Alle Benutzeraktivitäten, einschließlich Sitzungen, API-Aufrufe usw., sollten mit diesem Bezeichner versehen werden. Dieses Implementierungsmodell schafft Transparenz und Nachvollziehbarkeit und ermöglicht es, die Aktivitäten bestimmter Benutzer zu verfolgen und diese für die in Informationssystemen mit ePHI durchgeführten Aktionen zur Verantwortung zu ziehen. HIPAA legt keine technischen Anforderungen an Formate zur Benutzeridentifikation fest, sodass die Ansätze der Implementierer variieren können. Das Aidbox Benutzerverwaltungs- und Zugangskontrollmodul verwendet UUIDs zur Benutzeridentifikation. Jeder einzelne Benutzer erhält während des Registrierungsprozesses eine eindeutige ID. Mithilfe dieser ID ist es möglich, Berechtigungen granular zu verwalten. Diese Funktionen stehen in Aidbox mit den Ressourcen User, AccessPolicy und Role zur Verfügung.
Für etablierte Organisationen mit komplexen IT-Infrastrukturen ermöglicht Aidbox die Nutzung von Mechanismen zur föderativen Identität, um Benutzeridentitäten, die über mehrere IT-Systeme oder sogar Organisationen hinweg als vertrauenswürdig gelten, zu verwalten und zuzuordnen. In diesem Szenario wird Aidbox dennoch eine eindeutige UUID zugewiesen, um einen Benutzer zu identifizieren.
- NOTFALLZUGANGSVERFAHREN (R) - § 164.312(a)(2)(ii) - erforderlich
Legen Sie Verfahren fest (und setzen Sie diese bei Bedarf um), um im Notfall die notwendigen elektronischen geschützten Gesundheitsinformationen zu erhalten.
Diese Implementierungsspezifikation schreibt vor, Verfahren zur Beschaffung der erforderlichen ePHI im Notfall festzulegen (und bei Bedarf umzusetzen). Wenn ein Vorfall eintritt, der die Systemverfügbarkeit beeinträchtigt, sollten dokumentierte Anweisungen und betriebliche Praktiken vorhanden sein, die den Zugang zu den erforderlichen ePHI ermöglichen. Dies umfasst nicht nur technische Schutzmaßnahmen, sondern auch einen administrativen Prozess, der Benutzern die zur Notfallsituation notwendigen Rechte für den Zugang zu ePHI gewährt, sofern ein manuelles Eingreifen unvermeidbar ist. Das Aidbox-Notfallzugangsverfahren nutzt die Backup- und Replikationsmechanismen der automatisierten Aidbox-Datenbankinfrastruktur, die die Datenintegrität gewährleisten. Diese Maßnahmen minimieren die Möglichkeit von Datenverlust im Notfall und bieten die Möglichkeit, den Zustand der zuletzt unversehrten ePHI wiederherzustellen.
Die Aidbox-Infrastruktur setzt beispielsweise eine Aktiv-Passiv-Datenbankarchitektur ein, bei der ein passiver Knoten alle Änderungen des aktiven Knotens in Echtzeit repliziert. Bei richtiger Konfiguration wird die Verzögerung auf wenige Minuten minimiert, wodurch die Möglichkeit eines Datenverlusts im Notfall verringert wird. Dieser Ansatz gewährleistet zudem eine hohe Verfügbarkeit, da der passive Knoten zum aktiven befördert wird, falls der aktive Knoten nicht mehr verfügbar ist. Das Aidbox Zugangskontrollmodul unterstützt die Erstellung von Notfallzugriffsrichtlinien, die identifizierten Benutzern den notwendigen Zugang zu ePHI ermöglichen. Administratoren können Benutzer identifizieren, die einen Notfallzugang benötigen, und Notfallzugriffsrichtlinien konfigurieren, um die erforderlichen ePHI im Notfall aus einer wiederhergestellten Umgebung abzurufen.
- AUTOMATISCHER ABMELDEVORGANG (A) - § 164.312(a)(2)(iii) - adressierbar
Implementieren Sie elektronische Verfahren, die eine elektronische Sitzung nach einer vorher festgelegten Inaktivitätsdauer beenden.
Diese Spezifikation ist eine sinnvolle Schutzmaßnahme, ist jedoch nicht verpflichtend und beeinträchtigt Ihre HIPAA-Konformität nicht, wenn Sie sich aus beliebigem Grund gegen ihre Implementierung entscheiden. Jeder Benutzer, der sich am System anmeldet, sollte über einen Standard-Sitzungs-Timeout verfügen. Die Sitzungsdauer kann je nach Benutzerrolle, Informationssensibilität usw. festgelegt werden. Ist ein Benutzer während dieses Zeitraums inaktiv, muss er sich erneut authentifizieren, bevor er die Dienste weiter nutzen kann.
Das Aidbox Zugangskontrollmodul ermöglicht es Ihnen, eine Ablaufzeit für das JWT-Sitzungstoken eines Benutzers festzulegen. Eine Ablaufzeit kann auch für API-Clients konfiguriert werden. Für Benutzerrollen, die unterschiedliche Sitzungslängen erfordern, können mehrere Client-Ressourcen konfiguriert werden.
- VERSCHLÜSSELUNG UND ENTSCHLÜSSELUNG (A) - § 164.312(a)(2)(iv) - adressierbar
Implementieren Sie einen Mechanismus zur Verschlüsselung und Entschlüsselung elektronischer geschützter Gesundheitsinformationen.
ePHI-Daten sollten verschlüsselt werden, um die Möglichkeit eines unbefugten Zugriffs zu verringern. Dies kann nicht nur auf den Datenbankspeicher, sondern auch auf Backups und Aktivitätsprotokolle angewendet werden, um unbefugten Zugriff und die Offenlegung von ePHI zu verhindern. Die automatisierte Infrastruktur von Aidbox verwendet standardmäßig verschlüsselte Partitionen für ruhende Daten. Daten werden bei der Datenbank-E/A automatisch mit den vom Cloud-Anbieter ausgestellten Schlüsseln ver- und entschlüsselt. Die Verschlüsselungsschlüssel werden vom Cloud-Anbieter rotiert, wobei der Rotationszeitraum ebenfalls konfigurierbar ist. Das IAM des Cloud-Anbieters (AWS, Azure und Google) wird verwendet, um unbefugten Zugriff auf die zugrunde liegende Cloud-Infrastruktur zu verhindern.
STANDARD § 164.312(b) Audit-Kontrollen
Implementieren Sie Hardware-, Software- und/oder Verfahrensmechanismen, die Aktivitäten in Informationssystemen, die elektronische geschützte Gesundheitsinformationen enthalten oder verwenden, aufzeichnen und untersuchen.
Audit-Kontrollen erfordern, dass ein System über Audit-Funktionen verfügt, um Benutzer für mit ePHI durchgeführte Operationen zur Verantwortung zu ziehen. Für alle in HIPAA-konformen Diensten eingesetzten Softwarekomponenten sollte ein Audit-Protokoll erfasst werden. Die aktuell beste Orientierungshilfe für Audit-Protokolle von Gesundheitsanwendungen findet sich im Standard ASTM E2147-18, „Standard Specification for Audit and Disclosure Logs for Use in Health Information Systems", der von ONC für zertifizierte EHR-Technologie ausgewählt wurde.
Aidbox protokolliert automatisch alle Authentifizierungs-, API-, Datenbank- und Netzwerkereignisse. Protokolleinträge enthalten je nach Protokolltyp den Zeitstempel des Ereignisses, den Aktionstyp, die Benutzer-ID, den Anforderungsinhalt, die DB-Abfrage, die API-Client-ID usw. Standardmäßig verwendet Aidbox ElasticSearch zur Protokollpersistenz sowie Kibana/Grafana zur Protokollanalyse und -visualisierung. Sie können auch eine Integration mit Drittanbieter-Lösungen für Monitoring und Protokollverwaltung wie Datadog, Splunk oder SumoLogic konfigurieren.
Darüber hinaus können Monitoring und Protokollierung auch auf der Seite des Cloud-Anbieters mit Lösungen wie Stackdriver, CloudWatch usw. eingerichtet werden. Mit diesem Ansatz können Sie die Client-Aktivität in Softwarekomponenten untersuchen, die das Aidbox-Backend und die Datenbank umgeben. Zu diesen Komponenten gehören Netzwerk-Router, Nginx-Proxy-Server, Container-Orchestrierungs-Engines und Anwendungslaufzeitumgebungen.
Weitere Details zu Protokollierung und Audit finden Sie in unserer Dokumentation.
STANDARD § 164.312(c)(1) Integrität
Implementieren Sie Richtlinien und Verfahren zum Schutz elektronischer geschützter Gesundheitsinformationen vor unzulässiger Änderung oder Vernichtung.
Der Integritätsstandard verpflichtet Software, Richtlinien und Verfahren zu implementieren, um ePHI vor unzulässiger Änderung oder Vernichtung zu schützen.
Die Aidbox-Infrastruktur verfügt über mehrere Mittel zur Sicherstellung der Datenintegrität. Zunächst sind die meisten API-Operationen in PostgreSQL-Transaktionen mit einem Isolationsniveau von mindestens „read committed" eingebettet. Dies verhindert unerwünschte gleichzeitige Änderungen und ermöglicht ein Rollback, falls während der Abfrageausführung ein Fehler auftritt. Darüber hinaus gewährleistet Aidbox die Datenintegrität durch die Verwendung von Standard-PostgreSQL-Datenbankreplikations- und Backup-Mechanismen. Das Backup-System ist so konfiguriert, dass Backups nach einem festgelegten Zeitplan (stündlich, täglich, nächtlich) ausgeführt und WAL-Einträge kontinuierlich archiviert werden. Im Fall einer Datenbeschädigung, beispielsweise durch Ausführung einer schädlichen Abfrage, ermöglicht dieser Ansatz eine Point-in-Time-Wiederherstellung, d. h. die Wiederherstellung der zuletzt unversehrten Datenversion. Um möglichst schnell aus dem Backup wiederherstellen zu können, wird empfohlen, den Wiederherstellungsprozess proaktiv zu testen. Die Backups werden in hochverfügbarem und verschlüsseltem Cloud-Speicher abgelegt. Eine zusätzliche Cloud-Anbieter-Speicherkonfiguration mit Multi-Region-Redundanz ist möglich. Datenbankreplikation und Backups können vom Aidbox-Team während der Projektbereitstellung konfiguriert werden.
- MECHANISMUS ZUR AUTHENTIFIZIERUNG ELEKTRONISCHER GESCHÜTZTER GESUNDHEITSINFORMATIONEN (A) - § 164.312(c)(2) - adressierbar
Implementieren Sie elektronische Mechanismen, um zu bestätigen, dass elektronische geschützte Gesundheitsinformationen nicht auf unbefugte Weise verändert oder vernichtet wurden.
Aidbox erlaubt ausschließlich autorisierten Benutzern oder Diensten die Nutzung seiner APIs und stellt damit sicher, dass eine unzulässige oder versehentliche Vernichtung oder Änderung von ePHI vermieden wird. Das Protokollierungs- und Audit-Modul ermöglicht es, alle Benutzeraktivitäten zu untersuchen, sodass unerwünschte Operationen erkannt und rückgängig gemacht werden können.
STANDARD § 164.312(d) Personen- oder Entitätsauthentifizierung
Implementieren Sie Verfahren, um zu überprüfen, ob eine Person oder Entität, die Zugang zu elektronischen geschützten Gesundheitsinformationen anfordert, tatsächlich diejenige ist, die sie vorgibt zu sein.
Die Authentifizierung bestätigt, dass eine Person, die versucht, auf ePHI zuzugreifen, tatsächlich diejenige ist, die sie vorgibt zu sein. Dies wird durch den Nachweis der Identität erreicht. Es gibt verschiedene Möglichkeiten, einen Identitätsnachweis für die Authentifizierung zu erbringen, darunter Passwörter, private Schlüssel, Gerätebesitz oder sogar Biometrie.
Die Zugangskontrolle von Aidbox bietet eine sichere Authentifizierungserfahrung mit Passwort-Anmeldung sowie integrierten Abläufen zur Passwortanforderung und -bestätigung.
Für erhöhte Sicherheit bietet Aidbox Multi-Faktor-Authentifizierung (MFA) zum Schutz von Benutzerkonten vor unbefugtem Zugriff. Sie können 2FA für einen Benutzer aktivieren und mit AuthConfig, Client und AidboxConfig konfigurieren. Ein TOTP (zeitbasiertes Einmalpasswort) wird verwendet, um ein Zugriffstoken für Ihre Anwendung zu erhalten.
Für Entwicklungszwecke werden auch einfache Authentifizierungsmethoden wie Basic Auth unterstützt.
STANDARD § 164.312(e)(1) Übertragungssicherheit
Implementieren Sie technische Sicherheitsmaßnahmen zum Schutz vor unbefugtem Zugriff auf elektronische geschützte Gesundheitsinformationen, die über ein elektronisches Kommunikationsnetz übertragen werden.
- INTEGRITÄTSKONTROLLEN (A) - § 164.312(e)(2)(i) - adressierbar
Implementieren Sie Sicherheitsmaßnahmen, um sicherzustellen, dass elektronisch übermittelte elektronische geschützte Gesundheitsinformationen nicht unbemerkt unzulässig verändert werden, bis sie vernichtet sind.
Aidbox verwendet HTTP über TLS für die ePHI-Übertragung, und dieses Protokoll gewährleistet konstruktionsbedingt, dass die gesendeten Daten identisch mit den empfangenen Daten sind. Es ist kein zusätzlicher Aufwand erforderlich, um diese Spezifikation zu erfüllen, wenn Ihre Anwendung Aidbox für alle ihre Datenübertragungsanforderungen nutzt.
- VERSCHLÜSSELUNG (A) - § 164.312(e)(2)(ii) - adressierbar
Implementieren Sie einen Mechanismus zur Verschlüsselung elektronischer geschützter Gesundheitsinformationen, wann immer dies als angemessen erachtet wird.
Aidbox verwendet HTTP über TLS für die ePHI-Übertragung, und dieses Protokoll verschlüsselt alle übertragenen Daten. Die automatisierte Infrastruktur von Aidbox enthält einen SSL-Zertifikatsmanager, der SSL-Zertifikate automatisch ausstellt und aktualisiert, damit deren Ablauf nicht übersehen wird. Im Allgemeinen verwenden wir Zertifikate von Let's Encrypt, es kann jedoch jeder ACME-kompatible Anbieter konfiguriert werden. Zusätzlich ist auch die Verwendung eines vorhandenen, vom Cloud-Anbieter ausgestellten Zertifikats (beispielsweise Amazon ACM) möglich.
In den folgenden Kapiteln erläutern wir, wie Aidbox dabei hilft, administrative HIPAA-Schutzmaßnahmen abzudecken.
Starten Sie mit dem Aidbox FHIR Server für Datenspeicherung, Integrationen, Gesundheitsanalysen und mehr, oder beauftragen Sie unser Team, um Ihre Softwareentwicklungsanforderungen zu unterstützen.
Siehe auch: FHIR produktionsreif machen.
