Die Sicherheitsvorschriften von HIPAA verpflichten betroffene Einrichtungen und Geschäftspartner zur Durchführung regelmäßiger technischer Sicherheitsprüfungen. KENSAI automatisiert Schwachstellenbewertungen, Risikoanalysen und die Erstellung von Nachweisen zur Erfüllung der HIPAA-Anforderungen — zum Schutz von Patientendaten und zur Vermeidung siebenstelliger Bußgelder.
HIPAA-Bewertung starten → Demo buchenDie HIPAA-Sicherheitsvorschriften (45 CFR Teil 164) legen drei Kategorien von Schutzmaßnahmen für den Schutz elektronischer geschützter Gesundheitsinformationen (ePHI) fest: administrative, physische und technische. Schwachstellenbewertungen fallen hauptsächlich unter die technischen Schutzmaßnahmen und die Anforderung zur Risikoanalyse im Rahmen der administrativen Schutzmaßnahmen.
Durchführung einer präzisen und umfassenden Bewertung der potenziellen Risiken und Schwachstellen für die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI. Dies erfordert ausdrücklich die Identifizierung technischer Schwachstellen.
Durchführung einer regelmäßigen technischen und nichttechnischen Evaluierung als Reaktion auf umgebungsbedingte oder betriebliche Änderungen, die sich auf die Sicherheit von ePHI auswirken. Regelmäßige Schwachstellenscans erfüllen diese Anforderung.
Implementierung eines Mechanismus zur Ver- und Entschlüsselung von ePHI. Schwachstellenbewertungen sollten überprüfen, ob die Verschlüsselung auf allen Systemen, die ePHI enthalten, ordnungsgemäß implementiert ist.
Implementierung von Hardware-, Software- und Verfahrensmechanismen zur Aufzeichnung und Überprüfung von Aktivitäten in Informationssystemen, die ePHI enthalten. Protokolle von Schwachstellenscans tragen zu den Audit-Nachweisen bei.
Das HHS OCR hat seit 2008 HIPAA-Strafen in Höhe von mehr als 130 Millionen US-Dollar verhängt. Das höchste einzelne Bußgeld betrug 16 Millionen US-Dollar (Anthem Inc.). Das Versäumnis, eine angemessene Risikoanalyse — einschließlich einer Schwachstellenbewertung — durchzuführen, wurde bei der Mehrheit der Durchsetzungsmaßnahmen als Verstoß angeführt. Im Jahr 2024 begann das OCR, im Rahmen von Untersuchungen Nachweise über Penetrationstests zu verlangen.
| System | Bewertungshäufigkeit | Wesentliche Risikobereiche |
|---|---|---|
| EHR-/EMR-Systeme | Vierteljährlich und nach Änderungen | Authentifizierung, SQL-Injection, Zugriffskontrollen |
| Patientenportal | Vierteljährlich und nach Änderungen | Schwachstellen in Webanwendungen, Sitzungsverwaltung, Datenoffenlegung |
| Medizinische IoT-Geräte | Mindestens jährlich | Standardzugangsdaten, unverschlüsselte Protokolle, Firmware |
| Netzwerkinfrastruktur | Vierteljährlich | Segmentierung, Verschlüsselung, Fernzugriff |
| Systeme von Geschäftspartnern | Jährlich und bei BAA-Prüfungen | Drittanbieterrisiken, Datenverarbeitung, Zugriffskontrollen |
| Cloud / SaaS | Kontinuierlich | Fehlkonfigurationen, IAM, Datenspeicherort |
Automatisierte Scans aller Systeme, die ePHI enthalten, erkennen Schwachstellen unmittelbar nach ihrem Auftreten und nicht erst bei planmäßigen Bewertungen.
KENSAI ordnet Schwachstellen dem Risiko einer Offenlegung von ePHI zu und hilft Ihnen, Behebungsmaßnahmen anhand der tatsächlichen Auswirkungen auf Patientendaten zu priorisieren.
Erstellen Sie auditfähige Berichte, die den Abschnitten der HIPAA-Sicherheitsvorschriften zugeordnet sind — bereit für OCR-Untersuchungen und interne Audits.
Spezialisierte Scans für vernetzte medizinische Geräte, DICOM-Systeme und klinische IoT-Geräte identifizieren Schwachstellen, die speziell in Umgebungen des Gesundheitswesens auftreten.
Überprüft, ob ePHI-Systeme ordnungsgemäß vom allgemeinen Netzwerkzugriff isoliert sind — eine entscheidende HIPAA-Anforderung für mehrschichtige Sicherheitsmaßnahmen.
Erweitern Sie die Schwachstellenbewertung mit KENSAIs Verwaltung externer Angriffsflächen auf externe Geschäftspartner.
Viele Organisationen vermischen diese beiden Anforderungen. Die HIPAA-Risikoanalyse erfordert beides:
| Schwachstellenbewertung | Penetrationstests |
|---|---|
| Automatisierte Scans identifizieren bekannte Schwachstellen | Manuelle Ausnutzung bestätigt die tatsächlichen Auswirkungen |
| Breite Abdeckung aller Systeme | Gezielte Prüfung der Systeme mit dem höchsten Risiko |
| Kontinuierlich oder häufig (mindestens vierteljährlich) | Jährlich oder nach größeren Änderungen |
| Kann von internen Teams durchgeführt werden | Erfordert üblicherweise externe Prüfer |
| KENSAI automatisiert dies | Erkenntnisse von KENSAI bestimmen den Umfang des Penetrationstests |
KENSAI bietet Organisationen im Gesundheitswesen kontinuierliche Schwachstellenbewertungen, eine HIPAA-konforme Berichterstattung und die erforderlichen Audit-Nachweise zur Belegung der Compliance. Bereitstellung innerhalb von Stunden statt Wochen.
Kostenlose Bewertung starten → Mit einem Experten für Sicherheit im Gesundheitswesen sprechen