audit - 审计追踪和实现HIPAA最佳实践

Closed. This question needs to be more focused。它当前不接受答案。

想改善这个问题吗？更新问题，使其仅关注editing this post一个问题。

4年前关闭。

Improve this question

从数据库设计开始，是否有用于HIPPA的审计跟踪实现的最佳实践。

最佳答案

符合HIPAA要求访问控制，信息完整性，审核控制，用户身份验证和传输安全性。与其他合规性法规相似，有必要使用软件，硬件或其他方法来监视和捕获包含或使用电子PHI的信息系统中的用户 Activity 。必须确保电子PHI的安全性和完整性，以防止任何未经授权的访问，修改和删除

“根据国会在HIPAA中的要求，隐私规则涵盖:

•健康计划

•卫生信息交换所

•以电子方式进行某些财务和行政交易的医疗保健提供者。这些电子交易是秘书根据HIPAA采纳的标准，例如电子账单和资金转账。”

为了能够满足HIPAA要求，实体必须不断审核和报告与包含敏感PHI记录的数据库和对象有关的所有访问尝试和事件。
监督者根据卫生机构实体的结构，定期对HIPAA遵守情况进行验证，以确保其有效性。验证频率取决于最新的验证报告，如果以前或一直保持HIPAA正面合规性，则验证频率会降低
HIPAA法案要求未严格解决数据库和IT安全性的方法。但是，根据有关提供患者健康信息的完整性， secret 性，隐私性和可用性的法规要求，以下步骤可确保符合HIPAA:

•定义并记录每个卫生机构员工所需的权限

•定期检查数据库对象的权限配置并修改访问权限，以维护PHI记录的完整性， secret 性和准确性

•审核保存并提供PHI记录的系统

•分析审核信息，该信息定期显示与PHI记录相关的事件，并在需要时采取措施

为了遵守HIPAA法规，建议采取以下一般措施:

•一个安全且不断受到控制的SQL Server环境。为SQL Server系统安全性提供对系统事件的连续审核，无论事件是内部事件还是外部事件。通过执行未经授权方不可更改的严格规则来确保这一点。将规则应用于与 secret PHI数据(登录，数据库，用户，表等)相关的所有SQL Server对象

设置规则后，审核并定期分析与安全性有关的所有事件-特别要注意SQL Server对象的权限更改，以及使用PHI记录访问数据库/表

•无论用户的来源是(内部还是外部)，与数据库/表访问权限更改相关时，都必须监视他/她的操作并将其记录在适当的审核报告中。行政人员的行为也必须记录在案–审计时，普通用户和管理员之间不得有任何区别

•使用安全且经过官方验证的硬件和软件。注意常见的安全配置遗漏，例如默认登录名和密码，入侵者在攻击尝试中经常使用这些遗漏

修改SQL Server上所有默认系统提供的安全性参数。如果可能，请勿使用混合模式(同时启用Windows和SQL Server身份验证)，仅切换到Windows身份验证。 Windows身份验证用于访问SQL Server时，可确保Windows密码策略-检查密码历史记录以及密码长度和有效期。 Windows密码策略的最重要功能是登录锁定–在多次连续的失败登录尝试后，它将被锁定以供进一步使用

•捕获的审计信息的任何更改或篡改必须是显而易见的，无论是由外部还是内部的。需要在合规性，入侵防御和潜在的安全漏洞调查方面进行篡改尝试监视

关于audit - 审计追踪和实现HIPAA最佳实践，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/1076613/

上一篇：在StackPanel中时，WPF ToolBar Separator缩小为零

下一篇：c++ - std::cout 如何将数字类型转换为基数 10？

database-design - 使用自然键，或使用代理键和审计表来审计/更改日志

c# - Telerik 开放访问审计追踪

linux - Hipaa 兼容服务器

java - Hibernate envers - 嵌套对象的加载历史

kubernetes - --audit-policy-file标志上没有此类文件或目录错误

linux - Bash 脚本 : How to check if there's is only one root id?

c# - 审计用户在 WinFormApplication 上的窗口事件

google-cloud-platform - 如何签署适用于 Google Cloud 平台的 HIPAA BAA？

ios - 从哪里开始在 AWS 上使用符合 HIPAA 标准的 iOS 应用程序？