casa |  | Saúde e Doença >  | Indústria da Saúde | Medicare

Requisitos de Registro (Logging) HIPAA

Contexto

HIPAA Security Rule (vigente 2006) exige 18 padrões de salvaguarda para gestão de informações de pacientes por provedores/seguradoras. Entidades cobertas devem estar em conformidade total ou enfrentam processos, perda de negócios e — para participantes Medicare — sanções do CMS. American Recovery and Reinvestment Act 2009 fortaleceu HIPAA dando ao HHS mandato para infraestrutura nacional interoperável de Health IT.

Flexibilidade do Provedor

Regras de Controle de Auditoria HIPAA: "Entidades têm flexibilidade para implementar padrão de forma apropriada às suas necessidades conforme suas análises de risco." Área cinzenta que cada organização decide ao desenvolver procedimentos de login/logout, entre outros de TI. Padrões comuns emergiram com tantas instalações trabalhando com governo federal.

Eventos Gerais a Registrar

Servidores de sistemas de informação devem capturar/registrar dados de log para registros de longo prazo. Eventos de log incluem: tentativas de login bem-sucedidas e falhas, logouts, alterações em contas de usuário, mudanças de nível de privilégio, uso de contas/ferramentas privilegiadas, timeouts, falhas excessivas de login, eventos onde um usuário faz logout e outro login imediatamente após.

Atividades de Monitoramento

Administradores de sistema têm responsabilidades especiais para conformidade de logs. Eventos suspeitos (múltiplas falhas de login, ataques de login) requerem acompanhamento com investigação. Usuários devem ter senhas fortes e complexas. Eventos suspeitos revisados com gestão. Sistemas devem correlacionar mudanças em sistemas/arquivos ao usuário que as realizou.

Controles Gerais

Organizações precisam: registros detalhados de qual sistema registra quais informações; rastreamento cuidadoso de quais usuários executam quais tarefas em quais sistemas. Logins devem prover trilha de auditoria mostrando o que cada usuário fez em cada sistema.