Revisione e valutazione del radar

Una violazione dei dati è un grosso problema per un'organizzazione sanitaria, indipendentemente dal tipo di incidente. Affrontare le conseguenze di una violazione o di un incidente di sicurezza può essere un processo stimolante, impegnativo e, spesso, caotico. Radar, proveniente dalle persone esperte di privacy di ID Experts, aiuta le organizzazioni a creare un piano di risposta agli incidenti in caso di violazione dei dati e a monitorare ogni passaggio man mano che viene risolto. Gli autori di attacchi informatici possono violare la rete e accedere a dati sensibili o un dipendente potrebbe aver perso accidentalmente un laptop contenente documenti contenenti informazioni relative alla salute. Un server configurato in modo errato può avere inavvertitamente esposto file a persone esterne all'organizzazione e un impiegato dell'ospedale canaglia può accedere ai registri dei pazienti e condividerli con persone non autorizzate. Tutti questi incidenti sono soggetti a una serie di regolamenti di conformità, leggi statali e federali e standard di settore; e Radar rende il processo complesso più semplice.

ID Experts posiziona Radar come lo strumento di "gestione degli incidenti sulla privacy" appositamente progettato per le organizzazioni sanitarie come ospedali, cliniche e piani sanitari. La piattaforma si concentra sulle normative HIPAA (Health Insurance Portability Accountability Act) e HITECH (Health Information Technology for Economic and Clinical Health) nonché sulle leggi statali sulla notifica delle violazioni dei dati.

Il radar è simile ai sistemi Co3 in quanto entrambe le piattaforme aiutano gli amministratori a gestire le violazioni dei dati e identificare i passaggi per identificare il difetto, risolvere il problema, informare le vittime e verificare che il problema sia stato risolto. Co3 Systems è fortemente basato su procedure guidate, copre una gamma più ampia di regolamenti rispetto alla sola assistenza sanitaria e non si limita alle sole violazioni dei dati.

RADAR è diverso dalle altre piattaforme in quanto esegue una valutazione del rischio specifica per incidente, come l'utilizzo di quattro fattori dalla norma finale HIPAA, che è richiesto dalle leggi federali e statali per la conformità. RADAR ha incorporato queste regole di valutazione nel software, rendendo più semplice per gli addetti alla privacy e alla conformità valutare ogni incidente in modo coerente.

Cosa fa il radar

Le aziende, focalizzate sulla prevenzione di violazioni e perdite di dati, spesso dimenticano di pianificare lo scenario peggiore in cui la tecnologia e i processi di sicurezza falliscono. Il radar affronta in modo proattivo questo problema consentendo agli amministratori di generare un piano dettagliato di risposta agli incidenti per identificare ogni passaggio che deve verificarsi.

I manager e i team di sicurezza rispondono a una serie di domande riguardanti un particolare incidente di sicurezza o privacy e Radar restituisce un elenco di leggi statali e le normative HIPAA / HITECH si applicano alle circostanze specifiche. Il software identifica tutti coloro che devono essere avvisati.

Mentre uso spesso i termini in modo intercambiabile, la piattaforma distingue tra incidenti e violazioni. Un incidente sarebbe un dipendente che perde un laptop. Una violazione sarebbe se qualcuno scoprisse che il laptop perso e i dati del paziente esposti. Se il disco rigido fosse stato crittografato, la perdita sarebbe rimasta un incidente perché i dati erano ancora sicuri. Se avessi specificato che i dati non erano stati esposti (perché il laptop è caduto nell'oceano), Radar avrebbe contrassegnato il rapporto come "Solo documentazione" e non avrebbe generato un piano di risposta agli incidenti. Se avessi indicato che c'era la possibilità che qualcuno potesse effettivamente imbattersi nei dati (nel caso di un laptop smarrito durante una conferenza), allora Radar avrebbe generato un piano di risposta.

Considerando che le aziende che subiscono una violazione devono rispondere rapidamente, essere in grado di generare rapidamente piani di risposta agli incidenti personalizzati con un flusso di lavoro chiaro significa che l'organizzazione può rispondere in modo coerente ed efficace. La piattaforma utilizza anche chiavi con codice colore per identificare quali incidenti sono ad alto rischio e l'impatto sulla conformità HITECH.

Immissione di un incidente in Radar ID Gli esperti mi hanno consentito di accedere a Radar 2.7 e hanno pre-compilato l'account con alcuni incidenti già pronti. Dopo aver effettuato l'accesso alla piattaforma, ho fatto clic sul pulsante "Document New Incident" per creare un evento, registrando ciò che è accaduto e quindi ho giocato con il modulo di segnalazione.

Nel caso di un laptop smarrito, ho compilato un modulo dettagliato che descriveva cosa era andato perso, in quale formato erano i dati, chi era coinvolto e quanti record potrebbero essere interessati. Alcune sezioni sono state approfondite, ad esempio chiarendo la forma dei dati elettronici persi (e-mail, FTP di archiviazione portatile e altri) o se la violazione era dannosa o non dannosa e come è avvenuta.

Ho anche identificato quali elementi di dati sono stati persi, se si trattava di informazioni di identificazione personale (PII), informazioni sanitarie protette (PHI) o altre informazioni sensibili. Sarebbe stato bello poter semplicemente dire "Tutte le informazioni personali" o "Tutte le PHI" invece di scendere e fare clic su ogni singola casella di controllo, ma costringe l'amministratore a prestare davvero attenzione ai dati persi.

Potrei indicare i tipi di dati esposti, come nomi, cartelle cliniche, informazioni bancarie e altri. Tutte le aziende sono diverse, quindi sono stato in grado di specificare esattamente le normative di conformità a cui ero soggetto (o solo le migliori pratiche) e di concludere con un piano di incidenti molto personalizzato - Successivo: Gestione degli incidenti con radar