ePHI, das im Ruhezustand verschlüsselt werden sollte.
164.312(a)(2)(iv) (Verschlüsselung und Entschlüsselung) ist die umsetzbare Spezifikation der HIPAA-Sicherheitsregel für die Verschlüsselung elektronisch geschützter Gesundheitsinformationen (ePHI). Umsetzbar bedeutet, dass Sie sie umsetzen, wenn es vernünftig und angemessen ist, oder dokumentieren, warum nicht, und eine gleichwertige Schutzmaßnahme einführen. In der Praxis bedeutet das für die meisten Systeme, die ePHI speichern, Verschlüsselung im Ruhezustand, und dies wird durch die Bereitstellung der Speicher im Code festgelegt.
The shapes the same control failure takes.
Die Verschlüsselung im Ruhezustand wird schwächer, wenn ein ePHI-Speicher ohne sie bereitgestellt oder geändert wird. Die wiederkehrenden Muster:
Ein neuer ePHI-Speicher hat keine Verschlüsselung
Eine Datenbank, ein Bucket oder ein Volume, das ePHI speichern soll, wird ohne Verschlüsselung im Ruhezustand bereitgestellt und ohne dokumentierte alternative Schutzmaßnahme.
Eine Verschlüsselungskonfiguration wird entfernt
Eine serverseitige Verschlüsselungs- oder Schlüsselkonfiguration für einen ePHI-Speicher wird bei einer Bereinigung gelöscht, in der Annahme, dass die Standardeinstellung ausreichend ist.
ePHI landet an einem ungeschützten Ort
ePHI wird in einen Cache, ein Log, eine temporäre Datei oder einen Export geschrieben, der nicht verschlüsselt ist, und verbreitet sich so in einen ungeschützten Speicher.
Ein Backup oder Export ist unverschlüsselt
Ein Backup oder Datenexport von ePHI wird ohne Verschlüsselung erstellt, sodass eine Kopie ungeschützt außerhalb des Hauptspeichers liegt.
Schlüsselverwaltung macht die Verschlüsselung unwirksam
Die Verschlüsselung ist nominal aktiviert, aber der Schlüssel wird falsch behandelt (hartcodiert, zu weit verbreitet), sodass der Schutz, den sie bieten soll, nicht greift.
Verschlüsselung im Ruhezustand, deaktiviert für eine Patientendatenbank.
Eine PostgreSQL-Datenbank speichert Patientenakten. Um die Wiederherstellung aus einem unverschlüsselten Snapshot zu vereinfachen, wird eine Änderung vorgenommen, die die Instanz auf storage_encrypted = false setzt. Die Wiederherstellung wird einfacher, und die Patientenakten liegen nun unverschlüsselt im Ruhezustand (eine RDS-Instanz ist standardmäßig nicht verschlüsselt).
resource "aws_db_instance" "patient_records" { engine = "postgres"- storage_encrypted = true+ storage_encrypted = false}Dies deaktiviert die Verschlüsselung im Ruhezustand für eine Datenbank, die Patientenakten (ePHI) speichert. 164.312(a)(2)(iv) ist die umsetzbare Spezifikation für die Verschlüsselung von ePHI. Das Deaktivieren ohne dokumentierte gleichwertige Schutzmaßnahme lässt ePHI unverschlüsselt im Ruhezustand. Behalten Sie storage_encrypted aktiviert oder dokumentieren Sie, warum eine gleichwertige Maßnahme vorhanden ist.
Die Verschlüsselung von ePHI wird am Speicher und an der Entscheidung überprüft.
Eine HIPAA-Prüfung überprüft, wie ePHI im Ruhezustand geschützt wird: ob die Speicher verschlüsselt sind und, da die Spezifikation umsetzbar ist, ob eine Entscheidung gegen die Verschlüsselung bewertet und mit einer gleichwertigen Schutzmaßnahme dokumentiert wurde. Eine Änderung, die die Verschlüsselung deaktiviert oder einen ePHI-Speicher ohne sie einrichtet, ist die Lücke dahinter, und sie ist im Diff der Infrastruktur- oder Speicherkonfiguration sichtbar.
Eine Prüfung, kein HIPAA-Programm.
heygrc markiert Änderungen, die eine technische HIPAA-Schutzmaßnahme betreffen, und zitiert die CFR-Referenz, damit die Korrektur im Pull Request erfolgt. Es führt keine Risikoanalyse durch und dokumentiert keine Entscheidungen zu umsetzbaren Spezifikationen. Es erkennt den Moment, in dem ein ePHI-Speicher die Verschlüsselung im Ruhezustand verliert oder nie hatte, im Diff.