HIPAA Logging Krav

The Health Information Bærbarhet og Accountability Act ( HIPAA ) Security Rule kom inn endelig virkning i 2006 krever 18 beskyttelsestiltak standarder for hvordan helsepersonell og forsikringsselskap administrere pasientopplysninger . Alle dekket enheter må være i full overensstemmelse , eller de kan stå overfor søksmål , tap av virksomheten og - for Medicare deltakere - sanksjoner fra Centers for Medicare Services . I 2009 , The American Recovery og reinvestering Act styrket push for HIPAA compliance ved å gi det amerikanske Department of Health and Human Services mandat til å fremme utviklingen av et landsdekkende interoperable Health IT -infrastruktur Provider Fleksibilitet

HIPAA Audit Controls regler videreføres , " Entities ha fleksibilitet til å implementere standarden i en måte som er tilpasset deres behov som anses nødvendig av sine egne risikoanalyser . " Dette etterlater noen gråsone som hver berørt part eller organisasjon må bestemme for seg selv når du utvikler datamaskin innlogging og utlogging prosedyrer , blant annet informasjonsteknologi prosedyrer . Men med så mange fasiliteter og bedrifter som arbeider med den føderale regjeringen til å overholde , har felles standarder dukket opp .
Generelle hendelser

Information system-servere må være i stand til å fange opp og ta opp logging data for langsiktige poster. Spesielt bør hendelser knyttet til logging inkludere vellykkede og mislykkede innloggingsforsøk , utlogging , endringer i brukerkontoer , endringer i rettighetsnivåer , bruk av privilegerte kontoer og verktøy , tidsavbrudd, tilfeller av overdreven mislykkede pålogginger og eventuelle hendelser der en bruker logger ut og en annen logger seg umiddelbart etterpå .
overvåkingsaktiviteter

Systemadministratorer har spesielt ansvar for å sikre logging etterlevelse . Mistenkelige hendelser som for eksempel flere mislykkede pålogginger eller påloggings angrep mot systemet krever oppfølging med etterforskningen . Brukere bør være nødvendig å ha veldig sterke og generelt komplekse passord . Mistenkelige hendelser bør gjennomgås med myndighetene . Systemer bør relatere endringer i systemer og filer til brukeren som utførte dem .
Generelle kontroller

Organisasjoner trenger å ha detaljerte registreringer av hvilket system som er i stand til logging som biter av informasjon . De må også holde nøye oversikt over hvilke brukere som utfører hvilke oppgaver i hvilke systemer . Brukernavn bør gi systemadministratorer og organisasjonslederemed et revisjonsspor som viser hva hver enkelt bruker har gjort i hver enkelt system .