HIPAA-ga ühilduvad Interneti-lahendused

HIPAA ja IoT

Asjade Internet (IoT) kasvab plahvatuslikult, mõned aruanded ennustavad selle jõudmist 38. aastal 2020 miljardit seadet. Veel ja rohkem lugusid häkkinud seadmete ilmumine, on asjade Interneti turvamise vajadus üha pakilisem, seda enam HIPAA-d silmas pidades meditsiiniseadmete tootjate jaoks.

USA tervisekindlustuse teisaldatavuse ja vastutuse seadus ehk HIPAA pole naljaasi. HIPAA kaitseb patsientide elektroonilise kaitstud terviseteabe (PHI või ePHI) turvalisust ja privaatsust ning selle täidab USA tervishoiu- ja inimteenuste ministeeriumi (DHS) kodanikuõiguste büroo (OCR). Kui otsite HIPAA-ga ühilduva digitaalse sertifikaate, vaadake meie artiklit siin.

HIPAA nõuab, et tervishoiuteenuse osutajad kaitseksid PHI-d transiidi ajal või puhkeseisundis ning selle eiramine võib põhjustada kopsakaid trahve. Trahvid HIPAA rikkumiste eest võib ulatuda 100–50,000 1.5 dollarini rikkumise kohta, maksimaalne karistus on 2019 miljonit dollarit aastas. 418. aastal viis 34.9 rikkumist XNUMX miljoni ameeriklase PHI kompromissini. 

Haigeteabe kindlustamiseks ja HIPAA-le vastavuse tagamiseks on kohe sammud kindlasti õige samm. Aastal 2019 põhjustasid võrguserveri rikkumised 30.6 miljoni inimese ohustatud teabe. 2018. aastal häkkiti Ameerika meditsiinikollektsiooni ameti (AMCA) võrguserver, mille tulemuseks oli 22 miljoni patsiendi andmed on ohustatud. Finantsmõjude ja äritegevuse kaotamise tõttu esitas AMCA 11. peatüki pankroti. 

HIPAA teabe edastamise nõuded

HIPAA ütleb teabe edastamise turvalisuse kohta järgmist:

164.312 (e) (1): Standard: edastuse turvalisus. Rakendada tehnilisi turvameetmeid, et vältida loata juurdepääsu elektroonilisele kaitstud tervisealasele teabele, mida edastatakse elektroonilise sidevõrgu kaudu.

Kuna HIPAA pidi olema tulevikukindel, jätab see selle direktiivi tähtajatu. Põhimõtteliselt peab potentsiaalsete kulukate rikkumiste eest kaitsmiseks olema olemas protokollid elektroonilise sidevõrgu kaudu edastatud teabe kaitsmiseks.

Organisatsiooni jaoks tähendab see, et kõik seadmed, mis edastavad andmeid võrgu kaudu, eriti need, mis seda teevad väljaspool ettevõtte tulemüüri, peavad kasutama autentimise ja krüptimise mehhanismi. SSL /TLS saab selle eest hoolitseda kas ühesuunalise või vastastikune autentimine. 

SSL /TLS HIPAA-ga ühilduva Interneti-ühenduse jaoks

SSL /TLS protokoll kasutab asümmeetriline krüptimine kahe arvuti vahel jagatud andmete turvalisuse tagamiseks Internetis. Lisaks on SSL /TLS tagab serveri ja / või kliendi identiteedi kinnitamise. Kõige tavalisema stsenaariumi korral, kasutades ühesuunalist autentimist, annab HTTPS-server külastaja brauserile sertifikaadi, mille on digitaalselt allkirjastanud avalikult usaldusväärne sertifikaadiasutus (CA), nagu SSL.com. 

SSL-i taga olev matemaatika /TLS veenduge, et CA digitaalallkirjastatud sertifikaate on piisavalt suure võtme suuruse tõttu praktiliselt võimatu võltsida. Avalikud pädevad asutused kontrollivad enne sertifikaatide väljaandmist taotleja isikut. Samuti peavad nad operatsioonisüsteemi ja veebibrauseri pakkujate poolt läbi viima range auditi, mis tuleb aktsepteerida ja hooldada usalduspoodides (loendid usaldusväärsed juursertifikaadid installitud koos brauseri ja OS-i tarkvaraga).

SSL ja klientide autentimine

Enamiku rakenduste jaoks on SSL /TLS kasutab serveri ühesuunalist autentimist kliendi jaoks; anonüümne klient (veebibrauser) peab veebiserveriga krüptitud seansi, mis esitab avalikult usaldusväärse SSL /TLS sertifikaat enda identifitseerimiseks SSL-i ajal /TLS käepigistus. 

Kuigi ühesuunaline autentimine on enamiku veebibrauserite jaoks täiesti vastuvõetav, on see siiski haavatav mandaadivarguste rünnakute suhtes, näiteks andmepüügi korral, mille puhul ründajad sihivad sisselogimismandaate nagu kasutajanimed ja paroolid. Phishing-rünnakud andmetel on 22% andmerikkumistest Verizoni aruanne. Täiendava kaitse saamiseks võite valida vastastikuse autentimise. Vastastikuse autentimise korral saadab server pärast käepigistuse ajal autentimist CertificateRequest sõnum kliendile. Klient vastab, saates autentimiseks serverile sertifikaadi. Mõlemad pooled on autentitud PKI, on vastastikune autentimine palju turvalisem kui traditsioonilised paroolikesksed meetodid.

Vastastikune autentimine ja IoT

Meditsiiniseadmete tootjate jaoks võib serverite ja seadmete vastastikune autentimine olla parim valik, kuna kliendi ja serveri identiteediga ei jäta midagi juhuse hooleks. Näiteks kui nutikas meditsiiniseade on Internetiga ühendatud, võib see tootjale meeldida, kui see saadab ja võtab vastu andmeid ettevõtte serveritesse ja serveritest, et kasutajad saaksid teabele juurde pääseda. Teabe sellise ohutu edastamise hõlbustamiseks võiks tootja kaaluda järgmist:

• Saatke igale seadmele unikaalne krüptovõtmete paar ja kliendisertifikaat. Kuna kogu side toimub seadme ja ettevõtte serverite vahel, võidakse neid serte privaatselt usaldada, pakkudes täiendavat paindlikkust selliste poliitikate jaoks nagu serdi eluiga.
• Esitage unikaalne seadme kood (näiteks seerianumber või QR-kood), mille kasutaja saab seadme oma kontoga sidumiseks tootja veebiportaalis või nutitelefoni rakenduses oma kasutajakonto skannida või sisestada.
• Kui seade on Interneti-ühenduse kaudu kasutaja WiFi-võrgu kaudu ühendatud, avaneb see vastastikune TLS ühendus tootja serveriga. Server autentib ennast seadmes ja taotleb seadme kliendisertifikaati, mis on seotud kasutaja kontole sisestatud unikaalse koodiga.

Mõlemad ühenduse osapooled on nüüd vastastikku autentitud ja saavad SSL-iga /TLS krüptimine rakenduskihi protokollide nagu HTTPS ja MQTT kaudu. Kasutaja saab oma veebiportaali konto või nutitelefoni rakenduse abil pääseda juurde seadmes olevatele andmetele või muuta selle sätteid. Nende kahe seadme vahel pole kunagi vaja autentimata või selge tekstiga sõnumeid.

Viimane sõna

Ärge jääge lagedale. Kui olete huvitatud SSL.com kohandatud Interneti-lahendustest, täitke lisateabe saamiseks allolev vorm.