HIPAA-vereisten voor gegevensback-up uitgelegd

De Health Insurance Portability and Accountability Act (HIPAA) legt protocollen en regels op voor het bewaren en beschermen van gevoelige gebruikersgegevens in de zorg. Compliance is verplicht en het bewust overtreden van de HIPAA-regels (waaronder het openbaar maken van gezondheidsgegevens van personen) kan leiden tot forse boetes en zelfs gevangenisstraf. Het is belangrijk dat uw gegevensprocessen, uw infrastructuur en de derde partijen die u vertrouwt met de opslag en bescherming van gevoelige informatie de HIPAA-regelgeving kennen en naleven.

Dit artikel helpt u de HIPAA-vereisten voor gegevensback-up beter te begrijpen op het gebied van archivering en back-ups (inclusief versleuteling en back-ups op een externe locatie). Het legt ook de HIPAA Security Rule uit, zodat u weet wat uw verantwoordelijkheden zijn en hoe u aan de wettelijke eisen blijft voldoen.

Het belang van back-ups in de zorg

Een back-up van gegevens is cruciaal voor de continuïteit van elke organisatie en in de zorg geldt dat des te meer: informatie moet bewaard blijven om de gezondheid van patiënten te kunnen blijven waarborgen (bijvoorbeeld om hun medische voorgeschiedenis te raadplegen) en om te kunnen voldoen aan mogelijke juridische verplichtingen (zoals het terugzoeken van interne communicatie uit het verleden).

Zorggegevens zijn bovendien zeer persoonlijk en gevoelig. Het is uw verantwoordelijkheid om de privacy te beschermen van iedereen die u die gegevens heeft toevertrouwd en er zorgvuldig mee om te gaan door goed toezicht te houden, zodat de gegevens niet zonder toestemming openbaar worden of worden gedeeld.

Daarom moet u back-upbeleid en back-upinfrastructuur inrichten die zowel robuust als volledig HIPAA-compliant zijn.

De HIPAA-vereisten voor gegevensback-up en de HIPAA Security Rule

Voordat u uw HIPAA-verplichtingen kunt begrijpen, moet u bepalen of u een covered entity of een business associate bent die met ePHI werkt, zoals hieronder omschreven:

• ePHI (electronic protected health information) is alle digitaal opgeslagen of verzonden informatie over de gezondheid van een persoon of de zorg die hij of zij heeft ontvangen, waaronder aantekeningen, laboratoriumuitslagen en facturerings- en verzekeringsgegevens.
• Covered entities zijn alle partijen die ePHI verwerken en verplicht zijn de HIPAA-regelgeving na te leven – dat loopt uiteen van organisaties zoals ziekenhuizen, apotheken en verpleeghuizen tot artsen, chiropractors en psychologen.
• Business associates zijn partijen die diensten leveren waarbij ePHI wordt verwerkt voor covered entities of andere business associates, zoals it-dienstverleners, cloudplatforms en adviesbureaus.

Welke zorggegevens u moet bewaren en beschermen hangt af van de activiteiten van uw organisatie en omvat onder meer vastleggingen van beleid, procedures, personeelstrainingen, klachten, beveiligingsincidenten, toegangs- en auditlogs, risicobeoordelingen en elektronische communicatie.

Daarnaast moeten overeenkomsten en vastleggingen over de relatie tussen covered entities en business associates worden bewaard. HIPAA schrijft een bewaartermijn van 6 jaar voor, maar verschillende staats- en lokale wetten kunnen voor zorggerelateerde gegevens langere bewaartermijnen opleggen, soms tot wel 10 jaar.

Bent u een covered entity of business associate die ePHI verwerkt, dan moet u de relevante HIPAA-regelgeving naleven. Onder de HIPAA Security Rule omvatten uw verantwoordelijkheden voor de gegevens die u bewaart en waarvan u een back-up maakt onder meer:

• De vertrouwelijkheid waarborgen van alle ePHI die wordt aangemaakt, bewaard, ontvangen of verzonden.
• De integriteit van alle ePHI beschermen tegen wijziging, beschadiging of verwijdering.
• Redelijke bescherming bieden tegen te verwachten bedreigingen voor de beveiliging van ePHI.
• Beschermen tegen onbevoegde toegang tot en misbruik van gegevens.
• Waarborgen dat medewerkers en andere partijen die toegang krijgen tot ePHI zelf ook compliant zijn.

Naast de HIPAA Security Rule moet u, als u ePHI opslaat of back-upt via diensten van derden, ook op de hoogte zijn van de bijbehorende Privacy Rule voor het delen van gezondheidsgegevens.

De HIPAA Privacy Rule legt vast welke rechten een patiënt heeft om zijn of haar ePHI in te zien en te laten corrigeren en beschrijft wat covered entities en business associates moeten melden over het gebruik en delen van gegevens, evenals bij een onbedoelde openbaarmaking of een datalek.

Zodra u uw back-upprocessen, hardware en diensten heeft ingepland, doet u er goed aan de officiële HIPAA-documenten zorgvuldig door te nemen, samen met eventuele andere regionale wettelijke eisen rond zorg en gebruikersprivacy.

HIPAA-regels voor noodplannen: HIPAA-compliant back-upprocedures invoeren

HIPAA schrijft niet alleen voor welke gegevens bewaard moeten blijven, maar verplicht organisaties ook om noodmaatregelen vast te leggen, te onderhouden en regelmatig te testen, zodat zij snel en nauwkeurig weer toegang tot ePHI kunnen herstellen wanneer systemen uitvallen. HIPAA-noodplannen vereisen normen en eisen voor gegevensopslag en back-ups die de integriteit en beschikbaarheid van ePHI waarborgen.

Bij het implementeren van oplossingen die zorggegevens verwerken moet u in elk geval het volgende meenemen:

• Back-upplan: een HIPAA-compliant back-upplan betekent dat u exacte, terugzetbare kopieën van ePHI bewaart, waaronder medische dossiers, diagnostische beelden, testuitslagen en administratieve systemen. Organisaties moeten back-ups ook regelmatig testen, de gegevensintegriteit controleren en herstelprocessen valideren, zodat ePHI indien nodig succesvol kan worden teruggezet.
• Disaster recovery-plan: organisaties moeten een gedocumenteerd plan opstellen waarin staat hoe ePHI wordt hersteld vanuit back-ups na ransomware-aanvallen, hardwarestoringen, natuurrampen of storingen bij clouddiensten. Dit HIPAA-noodplan moet direct beschikbaar zijn, veilig op meer dan één locatie worden bewaard en periodiek worden getest, zodat gegevens en systemen kunnen worden hersteld wanneer dat nodig is.
• Plan voor werken in noodmodus: ePHI moet ook in een noodsituatie beschikbaar zijn (denk aan natuurrampen, beveiligingsincidenten of diefstal), door back-ups op een externe locatie en redundante systemen in te zetten die blijvende toegang tot zorggegevens mogelijk maken.
• Test- en herzieningsprocedures: naast het regelmatig testen van uw systemen en de integriteit van de gegevens zelf moet u periodiek de effectiviteit van uw back-up- en disaster recovery-plannen beproeven en deze herzien om aan nieuwe eisen of veranderingen te voldoen.
• Analyse van kritieke applicaties en gegevens: geef prioriteit aan het maken van back-ups van essentiële systemen en test regelmatig hoe effectief de herstelprocessen zijn.

Ook uw gegevensbeleid en -plannen en de bijbehorende auditlogs horen thuis in uw HIPAA-compliant back-ups, om compliance en verantwoording te kunnen aantonen.

Beste praktijken voor back-ups en aanvullende beveiligingsmaatregelen

Als u uw back-upinfrastructuur inricht voor zorgtoepassingen in de Verenigde Staten, volgt u het best de beste praktijken op het gebied van redundantie, beveiliging en versleuteling:

• Geplande, regelmatige back-ups: zorg dat back-ups automatisch volgens een schema draaien en vaak genoeg om wijzigingen in ePHI vast te leggen. Voor gegevens die vaak veranderen kunnen aparte back-upschema’s nodig zijn.
• Handmatige back-ups: u moet zonder omhaal een handmatige back-up kunnen maken wanneer daarom wordt gevraagd of wanneer er een grote systeemwijziging of software-update op stapel staat.
• Meerdere back-ups op externe locaties: zorg dat actuele back-ups extern worden bewaard voor het geval lokale kopieën bij een calamiteit verloren gaan. Dit moet aansluiten op uw back-up- en disaster recovery-plan en omvat zowel back-ups in de cloud als back-ups op fysieke media die volledig onder uw beheer blijven. Minimaal drie kopieën van de gegevens worden aanbevolen.
• Versleuteling van gegevens: alle ePHI in back-ups moet tijdens transport en in rust versleuteld zijn om HIPAA-compliant te zijn.
• Toegangsbeheer: beperk de toegang tot gegevens en back-ups tot uitsluitend bevoegde gebruikers. Role-based access control (RBAC) is een effectief model om toegang tot gevoelige bronnen te beheren. Daarnaast is tweefactorauthenticatie aan te raden om uw data-infrastructuur tegen onbevoegde toegang te beschermen.
• Fysieke beveiliging: ook de fysieke toegang tot apparaten met gevoelige zorggegevens moet worden beperkt.
• Firewall en endpointbeveiliging: bescherm uw netwerk met strikte firewallregels en gebruik endpointbeveiliging op uw apparaten om cyberaanvallen en malware te helpen voorkomen.
• Voorlichting en communicatie: teamleden moeten weten welke verantwoordelijkheden zij hebben rond gegevensprivacy en -beveiliging en zich vrij voelen om belanghebbenden te waarschuwen bij mogelijk gegevensverlies of misbruik, zodat passende maatregelen voor beperking en herstel kunnen worden genomen.

U doet er ook goed aan uw volledige IT-omgeving (inclusief medewerkers en externe partijen) en back-upinfrastructuur grondig te documenteren en regelmatig aan een beveiligingsaudit te onderwerpen, zodat alle apparaten en diensten met ePHI in beeld zijn en hun beveiliging op peil blijft.

Het is essentieel dat u zich ervan verzekert dat uw back-upprovider HIPAA-compliant is. Het blijft uw verantwoordelijkheid om te controleren of alle ePHI correct wordt behandeld, ook nadat u die aan een derde partij heeft doorgegeven.

Zo verlicht u de compliancelast en -verantwoordelijkheden van uw technische teams

Zodra u uw HIPAA-compliant strategie voor gegevensbewaring en back-ups heeft ingevoerd, inclusief versleutelde back-ups op externe locaties en regelmatige audits en tests, moet u uw verantwoordelijkheden rond gegevens periodiek opnieuw tegen het licht houden. Beoordeel daarbij welke gegevens u beheert of u nog steeds voldoet aan de HIPAA-regels voor beveiliging en privacy en welke nieuwe stappen u moet zetten.

Voor een volledig en gedetailleerd beeld van de wetgeving en de zekerheid dat u volledig compliant bent moet u uiteraard het HIPAA-document zelf in zijn geheel lezen en doorgronden – geen kleinigheid, zeker niet voor technische teams die het al druk genoeg hebben.

Daar komt bij dat HIPAA en andere wettelijke eisen rond gegevens voortdurend worden bijgewerkt en aangepast. Regelgevende kaders zoals HIPAA kunnen bovendien veranderen en verkeerd worden uitgelegd. Daarom is het essentieel om MSP’s in te schakelen en platforms te gebruiken die deze veranderende regelgeving nauwgezet volgen, zodat compliant blijven u geen extra werk kost.

Lees meer over hoe NinjaOne HIPAA-compliant remote access, backup en RMM-software samenbrengt in één IT Management-platform en hoe u daarmee compliant blijft in een voortdurend veranderend compliance- en dreigingslandschap.