健康保險可攜性及責任法案 （HIPAA） 成立於 1996 年，旨在保護敏感健康資訊的私隱及安全。
目錄
HIPPA 安全規則
HIPAA 安全規則保護 HIPAA 私隱規則所涵蓋的部分資訊。從本質而言，它專注於機構需要採取哪些措施來保護以電子防護的健康資訊（e-PHI）。
安全規則並未規定採用那些安全措施或那些措施有效。然而，它們確實需要三個標準來實施，也稱為保障措施：
行政管理：需要進行風險分析，以確定機構需要採取哪些安全措施。這應該是一個持續的過程。
物理：這是指儲存 e-PHI 的辦公室的安全性。保安措施必須包括設施存取及管控措施，以及工作站及裝置的保安。
技術：防火牆、加密及數據備份等措施均用於確保 e-PHI 安全，保障措施必須包括存取管控、審計管控、完整性管控及傳輸安全。
近期醫療數據外洩
根據 2022 年 SonicWall 網絡威脅報告，2021 年，醫療業界的惡意程式數量繼續大幅飆升，達 121%。而物聯網惡意程式攻擊的最大數量亦發生在醫療保健界，年增長達 71%。
為了解惡意程式可能帶來的重大影響，請參考過去幾年一些違反 HIPAA 規則及保護措施的行為。
Rehoboth McKinley Christian Health Care Services （RMCHCS）
在 2021 年 5 月 ，超過 205000 名 RMCHCS 患者獲通知其資料外洩，迫使醫院的電子健康記錄操作停運。RMCHCS 是被從 2020 年開始一直專門針對醫療行業的 Conti 勒索程式集團所攻擊。
後來，Conti 黑客在 1 月 21 日至 2 月 5 日的兩週時間內從系統盜取了包括社會保障號碼、護照和患者的受保護健康資訊等資料。RMCHCS 報稱已立即通知執法部門，但他們直至 4 月底才開始發出通知，令事件更受關注。
由於這是勒索程式攻擊，因此明顯缺乏技術保障及定期風險評估。雖然 RMCHCS 確實通知病人違規事件，但未有及時進行知會已進一步損害個人安全和 e-PHI 的完整性。患者應及時收到通知，以便他們關閉或更改資料、更新入口網站或銀行資料，或申請新護照。
One Touchpoint
2022 年 4 月 28 日，美國威斯康辛州郵件及印刷商 Hartland 遭到勒索程式攻擊。逾 34 間機構的超過 260 萬人受影響。
事後發現，OneTouchPoint 的伺服器早在一天前已被入侵，令敏感資料面臨風險。超過六星期後，OneTouchPoint 始披露，洩漏的檔案包含客戶資料及現有與前任員工的敏感資料。這包括客戶、員工和訂購者的醫療保健號碼、姓名、地址及客戶的診斷和藥單。這導致許多 OneTouchPoint 客戶需要自費為會員提供信用監控及身份盜竊保護服務。
事件並導致 OneTouchPoint 面臨最少一宗針對資料外洩事故的集體訴訟。
如何保持 HIPAA 合規
為協助 HIPAA 在網絡保安領域內遵守法規，OCR 將 HIPAA 與美國國家標準與技術架構研究所（NIST）的要求配對。作為業界最獲認可的標準之一，如果您已經符合 NIST 標準，則更容易符合 HIPAA。
為確保維持高標準及意識，許多企業都會提供 HIPAA 合規培訓及證書。包括 OCR 在內，有不少諮詢機構都會提供培訓，包含不同培訓單元以協助必須遵守 HIPAA 的各個機構。
HIPPA 合規 – 最佳實務守則
以下最佳實務守則可幫助您實現合規：
了解 HIPAA 規則
HIPAA 私隱規則決定如何在醫療保健行業使用和披露受保護健康資訊。該規則讓您了解患者的權利，包括查閱其病歷及要求更正的權利。
HIPAA 安全規則為您提供保護客戶受保護健康資訊所需的技術、實體裝置及行政保障。
HIPAA 違規通報規則要求患者、媒體及美國衛生及公共服務部在發生數據違規時獲得通知。
進行風險評估
這涉及識別機構收集、處理及儲存的所有受保護健康資訊。您的風險評估還應識別機構的漏洞，這些漏洞可能會讓受保護健康資訊面臨風險。這包括已知的內部或外部網絡威脅、實體裝置被盜或遺失，以及機構基於網絡風險指數而受攻擊可能性。
實施政策及程序
根據您的風險評估結果，制定並實施應對所識別風險的政策和程序。這包括存取管控、數據備份及恢復、事件回應及員工安全意識培訓等領域。定期檢討及更新這些政策及程序，以確保它們保持相關性。
培訓員工
確保您的員工了解貴機構的政策和程序。處理受保護健康資訊的所有員工必須知道如何保護這些資訊，並了解違規的後果。為確保員工緊貼最新威脅，並熟悉保護受保護健康資訊的最佳做法，他們必須定期接受保安意識培訓。
監控及審計
經常檢討機構的保安措施、進行滲透測試及進行漏洞評估。這將讓您和團隊及時了解受保護健康資訊的新興風險或威脅，以及如何正確處理違規行為。定期審計是保持合規和做好準備的關鍵。
產品管理副總裁 Scott Sargeant 是一名經驗豐富的技術領導廠商，擁有 25 年以上的經驗，一直在網絡資訊保安和資訊科技領域提供企業級解決方案。