İstatistiklere göre, 2023 yılında 93 milyondan fazla sağlık kaydı ifşa edildi veya çalındı. Bu durum, hasta verilerinin kötüye kullanılmasını ve yetkisiz paylaşımını önlemek için sağlık sektöründe siber dayanıklılığın güçlendirilmesinin önemini ortaya koymaktadır. Bunun en önemli yollarından biri de HIPAA (Health Insurance Portability and Accountability Act of 1996 – Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası) gibi sağlık sektörüne yönelik düzenlemelere uyum sağlamaktır.
HIPAA, ABD hükümeti tarafından yürürlüğe konulan bir sağlık düzenlemesidir ve ABD’deki sağlık kuruluşlarının hasta mahremiyeti ile veri koruma gerekliliklerini neden ve nasıl yerine getirmesi gerektiğini belirler.
Bu düzenleme; doktorlar, hastaneler, klinikler ve sağlık planı sağlayıcıları (örneğin sigorta şirketleri) gibi sağlık hizmeti sunucularının yanı sıra, elektronik korunan sağlık bilgilerini (ePHI) işleyen BT hizmet sağlayıcıları, veri depolama şirketleri, faturalandırma firmaları ve ABD merkezli kuruluşlarla çalışan yurt dışındaki üçüncü taraf hizmet sağlayıcıları için de geçerlidir.
HIPAA; hassas hasta sağlık bilgilerinin korunmasını, hastaların kendi sağlık verileri üzerinde kontrol sahibi olmasını, verilerin kötüye kullanılmasının önlenmesini ve ABD sağlık sisteminde gizlilik, güvenlik ile verimliliğin sağlanmasını amaçlar. Aşağıda, HIPAA’nın ePHI’nin korunmasına ilişkin gerekliliklerini inceleyebilirsiniz.
HIPAA uyumluluğunun önemi
Hasta kayıtları ve sağlık verileri son derece hassas ve gizlidir. Bir siber saldırı sonucunda bu bilgilerin açığa çıkması, yalnızca hasta güvenini sarsmakla kalmaz; aynı zamanda kurumun itibarını zedeler, iş sürekliliğini riske atar ve gelecekteki iş fırsatlarını olumsuz etkileyebilir. Büyük ölçekli veri ihlalleri ise kuruluşların kamuoyu ve düzenleyici kurumlar tarafından yakından incelenmesine neden olabilir.
HIPAA, her bir ihlal için 50.000 ABD dolarına kadar para cezası uygulanmasını öngörmektedir. Kuruluşların ePHI verilerini kasıtlı olarak kötüye kullandığının tespit edilmesi durumunda ise hapis cezası ve diğer yasal yaptırımlar söz konusu olabilir. Veri ihlalinden etkilenen kişilerin 60 gün içinde bilgilendirilmesi zorunludur. İhlalin kapsamına bağlı olarak, ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS) da bilgilendirilmelidir.
Bunun yanı sıra, kuruluşların veri koruma önlemlerinin başarısız olması durumunda uygulanacak aksiyon planını hazırlamaları ve gelecekte benzer olayların önlenmesi için alacakları düzeltici tedbirleri açıklamaları gerekir.
HIPAA ayrıca belge saklama sürelerine ilişkin gereklilikleri de tanımlar. Politika ve prosedürler, uyumluluk kayıtları, yetkilendirme belgeleri, bildirimler, risk değerlendirmeleri ve diğer HIPAA ile ilgili dokümanların en az 6 yıl saklanması tavsiye edilir. Tıbbi kayıtların yedeklerinin ne kadar süre saklanacağı belirlenirken ise FDA veya Medicare gibi eyalet ve federal düzenlemeler dikkate alınmalıdır.
Sağlık sektörünü hedef alan tehditlere karşı nasıl korunabilirsiniz?
Sağlık sektörünün karmaşık gereksinimlerini karşılayabilmek için kuruluşların gelişmiş yedekleme, hızlı kurtarma ve güçlü güvenlik özelliklerini tek bir platformda sunan güvenilir bir veri koruma çözümüne ihtiyacı vardır. Synology ActiveProtect, bu ihtiyaçları karşılamak üzere tasarlanmış kapsamlı bir veri koruma çözümüdür. HIPAA kontrol listesini inceleyin.
> Belçika’daki bir hastanenin ActiveProtect ile veri koruma altyapısını nasıl modernize edip sadeleştirdiğini keşfedin: https://sy.to/bghcs
| HIPAA gereklilikleri | HIPAA gereklilikleri nasıl karşılanır? |
| § 164.308(a)(1)(ii)(D): “Denetim günlükleri, erişim raporları ve güvenlik olayı izleme raporları gibi bilgi sistemi etkinlik kayıtlarının düzenli olarak incelenmesine yönelik prosedürler oluşturun ve uygulayın.” | Kapsamlı denetim günlükleri Veri koruma özeti |
| § 164.312(a)(1): “164.308(a)(4)’te belirtilen erişim yetkilerine sahip kişi veya yazılım programlarının elektronik korunan sağlık bilgilerini (ePHI) barındıran elektronik bilgi sistemlerine erişebilmesini sağlamak amacıyla teknik politika ve prosedürleri oluşturun ve uygulayın.” | Rol tabanlı erişim kontrolü (RBAC) |
| § 164.312(c)(1): “Elektronik korunan sağlık bilgilerinin (ePHI) yetkisiz veya uygunsuz şekilde değiştirilmesini ya da imha edilmesini önlemek amacıyla politika ve prosedürleri oluşturun ve uygulayın.” | Veri manipülasyonunu önlemek için yerleşik değiştirilemezlik Veri izolasyonu için yerleşik air-gapping |
| § 164.312(c)(2): “Elektronik korunan sağlık bilgilerinin (ePHI) yetkisiz şekilde değiştirilmediğini veya imha edilmediğini doğrulamak için elektronik mekanizmalar oluşturun ve uygulayın.” | Kendi kendini onaran yapı Otomatik yedek doğrulama Felaket kurtarma testleri |
| § 164.312(d): “Elektronik korunan sağlık bilgilerine (ePHI) erişim talebinde bulunan kişi veya kuruluşun, iddia ettiği kişi ya da kuruluş olduğunu doğrulamaya yönelik prosedürleri oluşturun ve uygulayın.” | Mevcut çok faktörlü kimlik doğrulama (MFA) yöntemleriyle entegre olabilen SSO |
| § 164.312(e)(2)(ii): “Uygun görülen durumlarda, elektronik korunan sağlık bilgilerinin (ePHI) şifrelenmesini sağlayacak bir mekanizma oluşturun ve uygulayın.” | Uçtan uca veri iletim güvenliği |
| § 164.530(j)(2): “Kapsam dahilindeki kuruluşlar, bu bölümün gerekliliklerine uyum sağlamak amacıyla uygulamaya koydukları politika ve prosedürleri, oluşturuldukları tarihten veya son kez yürürlükte oldukları tarihten hangisi daha geç ise, o tarihten itibaren altı yıl boyunca yazılı veya elektronik ortamda saklamak zorundadır.” | Veri saklama politikaları Yedek kopyaları veya katmanlı verileri saklamak için uzaktan depolama seçenekleri |
Denetim günlükleri ve raporlar: HIPAA’nın sağlık kuruluşlarının aktiviteyi incelemek için denetim günlükleri ve denetim raporları gibi prosedürler uygulamasını gerektirmesi doğrultusunda, ActiveProtect kullanıcıların logları görüntüleyip dışa aktararak düzenli denetimler yapmasına olanak tanır. Ayrıca kullanıcılar; aktivite günlükleri, gelişmiş sistem logları ve benzeri faaliyet özetlerine de erişebilir.
Kullanıcılar ayrıca ActiveProtect’in log yönlendirme (log forwarding) özelliklerini kullanarak logları merkezi bir yapıda toplayabilir, organizasyonların süreçlerden haberdar olmasını sağlayabilir, gizli riskleri ortaya çıkarabilir ve verilerinin güvenliğini artırabilir.
Erişim kontrolleri: HIPAA’nın yalnızca yetkili kullanıcıların erişimine izin veren teknik politika ve prosedürler uygulanmasını gerektirmesi doğrultusunda, ActiveProtect BT ekiplerinin kullanıcı yetkilerini en az ayrıcalık prensibine göre atamasına imkan tanır. Kullanıcılara sunucu erişimi, yedekleme veya geri yükleme yönetimi ya da yalnızca görüntüleme yetkileri atanabilir.
Veri dayanıklılığı: HIPAA’nın ePHI’nin değiştirilmesi veya silinmesine karşı koruma gerekliliği kapsamında, ActiveProtect verilerin değiştirilememesini veya silinememesini sağlayan yerleşik değiştirilemezlik (immutability) özelliği ve kullanıcıların verilerini güvenli, izole bir konumda saklamasına imkân tanıyan air-gapping yetenekleri sunar.
Veri bütünlüğü korumaları: HIPAA’nın ePHI’nin değiştirilmediğini veya imha edilmediğini doğrulayabilecek elektronik mekanizmalar gerektirmesi doğrultusunda ActiveProtect; kendi kendini onarma (self-healing), otomatik yedek doğrulama ve DR (felaket kurtarma) testleri için yerleşik hiper yönetici (hypervisor) gibi özellikler içerir.
Self-healing yetenekleri, hataları veya bozuk verileri proaktif olarak tespit edip düzeltir. ActiveProtect ayrıca doğru bir kopyanın korunduğundan emin olmak için yedekleri otomatik olarak doğrular.
Buna ek olarak ActiveProtect’in yerleşik hypervisor’ı, kullanıcıların üretim ortamını etkilemeden felaket kurtarma stratejilerini test edebileceği bir sandbox ortamı oluşturmasına olanak tanır. Daha fazla bilgi edinin
Kullanıcı kimlik doğrulama: HIPAA’nın kullanıcı kimliğinin doğrulanmasını gerektirmesi doğrultusunda ActiveProtect, kullanıcı kimlik doğrulama özellikleri de sunar. Kullanıcılar Windows AD ve LDAP entegrasyonu ile merkezi kullanıcı yönetimi sağlayabilir. ActiveProtect ayrıca SSO (tek oturum açma) desteği sunar. SSO etkinleştirildiğinde, mevcut MFA yöntemleri SSO/MFA sunucusu üzerinden kullanılabilir. Daha fazla bilgi edinin
Aktarımda ve depolamada güvenli veri: HIPAA, ePHI verilerinin şifrelenmesini önerir. ActiveProtect ile yedekleme sırasında farklı şifreleme yöntemleri kullanılır. ActiveProtect, verileri uçtan uca güvenli veri aktarımı ile korur. Veriler uzak depolama alanına aktarılırken AES-256 şifreleme kullanılır.
Veri saklama gereksinimleri: HIPAA verilerin en az 6 yıl saklanmasını şart koştuğu için ActiveProtect kullanıcıların veri saklama politikaları tanımlamasına ve yedek kopyaları korumak veya katmanlı verileri saklamak için bulut ya da yerel uzak depolama seçeneklerinden yararlanmasına olanak tanır.
Synology ActiveProtect ile sağlık verilerinizi nasıl koruyabileceğinizi öğrenin.