Sağlık Kuruluşlarının Yanlış Yaptığı Uyumluluk Kabulü
Bulut YZ araçları kullanan her sağlık kurululuşu hukuk ekibinden aynı tavsiyeyi alır: satıcıyla bir İş Ortağı Anlaşması (BAA) imzalayın ve HIPAA kapsamında koruma altına alınırsınız.
BAA zorunluluğu gerçektir. HIPAA'nın Gizlilik Kuralı, kapsam dahilindeki varlıkların iş ortaklarıyla — kendi adlarına korunan sağlık bilgisi (PHI) oluşturan, alan, muhafaza eden veya ileten satıcılarla — BAA imzalamasını gerektirir. Klinik notlarınızı işleyen YZ satıcısının bu verilere dokunmadan önce bir BAA'ya ihtiyacı vardır.
Ancak BAA zorunluluğu, kuruluşlar arasındaki sözleşme ilişkisini ele alır. Sözleşme imzalandıktan sonra PHI'ye satıcının altyapısında ne olduğunu ele almaz.
Kritik soru bir BAA'nın olup olmadığı değildir. Satıcının PHI'ye düz metin olarak erişip erişemediği — ve bir ihlal yaşandığında bu verilere ne olduğudur.
İş Ortağı Anlaşması Gerçekte Neyi Kapsar
Bir BAA, iş ortağının şunları yapacağını taahhüt eder:
- PHI'yi yalnızca anlaşmada belirtilen amaçlar için kullanmak
- PHI'yi korumak için uygun güvenlik önlemleri almak
- Herhangi bir PHI ihlalinigraphs kapsam dahindeki varlığa bildirmek
- Anlaşmanın sona ermesinde PHI'yi iade etmek veya imha etmek
BAA sözleşmesel bir yükümlülüktür. İş ortağı PHI'yi sorumlu biçimde işlemeyi, makul güvenliği uygulamayı ve bir şeyler ters giderse kapsam dahilindeki varlığı bilgilendirmeyi taahhüt eder.
BAA'nın yapmadığı şeyler:
- İş ortağının sistemlerinin ihlal edilmesini engellemek
- İş ortağının PHI'ye şifresi çözülmüş biçimde teknik erişimini ortadan kaldırmak
- İş ortağı ihlale uğradığında kapsam dahilindeki varlığı HIPAA sorumluluğundan korumak
Bir bulut YZ satıcısı ihlale uğradığında ve sunucu taraflı depolaması hastalarınızın PHI'sini şifresi çözülebilir biçimde içerdiğinde, ihlal bildirimi yükümlülüğü BAA tarafından karşılanır — ancak PHI ifşası gerçektir, hastalar zarar görür ve imzalanan sözleşmeden bağımsız olarak kapsam dahilindeki varlık HIPAA uygulama soruşturmasıyla karşı karşıya kalır.
Sunucu Taraflı PHI Sorunu
Sağlık verilerini işleyen bulut YZ araçları temel bir mimari üzerinde çalışır: veriler satıcının sunucularına iletilir, YZ modeli tarafından orada işlenir ve sonuçlar kullanıcıya döndürülür. Bunun işleyebilmesi için satıcının altyapısının verilere YZ modelinin işleyebileceği bir biçimde erişimi olması gerekir.
Bu, ya verinin satıcının sunucularında şifresiz olduğu ya da şifrelemenin satıcının kontrol ettiği anahtarlar kullanılarak satıcı tarafından yapıldığı anlamına gelir.
Satıcı kontrolündeki şifreleme uçtan uca şifreleme değildir. Anahtarları satıcı elinde bulunduruyorsa satıcı şifreyi çözebilir. Satıcı şifreyi çözebiliyorsa, ele geçirilen bir satıcı sunucusu verilerinizi okunabilir biçimde açığa çıkarır.
BAA'ların ele almadığı mimari budur. BAA, satıcının "uygun güvenlik önlemleri" almasını gerektirir — ancak satıcı tarafından kontrol edilen sunucu taraflı şifreleme, satıcı taraflı ihlallere karşı koruma sağlamasa da bu zorunluluğu sözleşmesel olarak karşılar.
Bu koşullar altında bulut YZ tarafından işlenen sağlık verileri belirli bir risk profiline sahiptir: YZ destekli klinik dokümantasyon, fatura kodları veya bakım planları oluşturmak için kullanılan PHI, o altyapı ele geçirildiğinde okunabilecek biçimde satıcı altyapısında bulunur.
HIPAA uygulaması "ihlale uğradık ama BAA'mız vardı" ile "ihlale uğradık" arasında ayrım yapmaz. Kapsam dahilindeki varlığın hastalarının PHI'si açığa çıktı. Kapsam dahilindeki varlığın bunu koruma yükümlülüğü vardı. O korumanın teknik uygulaması, yükümlülüğün yerine getirilip getirilmediğini belirler — sözleşme değil.
Sıfır Bilgi Mimarisinin Değiştirdiği Şey
Sıfır bilgi mimarisi, sunucu taraflı erişim sorununu mimari düzeyde ele alır.
Sıfır bilgi uygulamasında PHI, kapsam dahilindeki varlığın ortamından ayrılmadan önce anonimleştirilir. YZ satıcısı anonimleştirilmiş veriler alır — hasta tanımlayıcılarının yapılandırılmış token'larla değiştirildiği klinik notlar, isim ve hesap numaralarının yerine başka değerlerin konulduğu fatura kayıtları, demografik bilgilerin kaldırıldığı bakım planları.
YZ modeli anonimleştirilmiş içeriği işler ve sonuçları döndürür. Kapsam dahilindeki varlık, sonuçları token eşlemeyi kullanarak orijinal hasta kaydıyla yeniden ilişkilendirir; bu eşleme hiçbir zaman satıcıya iletilmemiştir.
Bunun değiştirdiği şeyler:
Satıcı hiçbir zaman PHI almaz. Sıfır bilgi anonimleştirmesinden geçen klinik notlar, HIPAA tanımlı PHI tanımlayıcılarından hiçbirini — isimler, doğum tarihleri, adresler, tıbbi kayıt numaraları — içermez. Satıcının YZ modeli anonimleştirilmiş veriler üzerinde çalışır.
Satıcı ihlali hiçbir PHI'yi açığa çıkarmaz. YZ satıcısının altyapısı ele geçirilirse, orada depolanan veriler hasta tanımlanabilir bilgisi içermeyen anonimleştirilmiş içeriktir. PHI hiçbir zaman iletilmediğinden ihlal PHI ifşasıyla sonuçlanamaz.
BAA zorunlulukları daha yüksek bir standartta karşılanır. Kapsam dahilindeki varlık, BAA'nın gerektirdiğinden fazlasını yapan teknik güvenlik önlemleri uygulamıştır — sözleşme bunu gerektirdiği için değil, mimari PHI ifşasını yalnızca sözleşmeyle yasaklamak yerine teknik olarak imkânsız kıldığı için.
Gerçekte Geçerli Olan Uyumluluk Standardı
HHS Sivil Haklar Ofisi kapsamındaki HIPAA uygulaması, kapsam dahilindeki varlıkların PHI'yi korumak için makul ve uygun güvenlik önlemleri uygulayıp uygulamadığına odaklanır. "Makul ve uygun", PHI'ye yönelik risk, tehlikeye girme olasılığı ve mevcut güvenlik önlemlerinin maliyeti gözetilerek değerlendirilir.
BAA kapsamında PHI işleyen bulut YZ satıcıları ihlale uğradı. Risk varsayımsal değil. Uygulama soruşturmacılarının sorduğu soru şudur: kapsam dahilindeki varlık, satıcı ilişkilerinin bilinen risk profilini ele alan güvenlik önlemleri uyguladı mı?
Bir BAA ve satıcı kontrolündeki sunucu taraflı şifrelemeye dayanan kapsam dahilindeki varlık, teknik bir soruna sözleşmesel bir yaklaşım benimsedi. Herhangi bir PHI'yi YZ satıcılarına iletmeden önce sıfır bilgi anonimleştirmesi uygulayan bir varlık ise ifşayı ortadan kaldıran teknik bir yaklaşım benimsedi.
İkinci yaklaşım, uygulama sorusunu karşılar: PHI hiçbir zaman satıcının elinde kullanılabilir biçimde bulunmadı. Bildirimi gereken bir ihlal, bildirilecek bir hasta, yanıt verilecek bir uygulama soruşturması yok — çünkü mimari başarısızlık modunu imkânsız kıldı.
Bulut YZ benimsemesini değerlendiren sağlık kuruluşları için uyumluluk çerçevesi "bir BAA al ve devam et" değildir. "PHI'nin hiçbir zaman kurtarılabilir biçimde satıcı ortamına ulaşmamasını sağla" dır. BAA sözleşmesel zorunluluğu karşılar. Sıfır bilgi mimarisi teknik olanı karşılar.
Kaynaklar: