2013年1月14日
自生自灭
苏珊·查普曼
郑重声明
第25卷第1页
随着携带个人移动设备上班的医疗保健专业人员数量的增加，随后发生安全漏洞的风险也在增加。
随着移动技术的进步，医院和其他医疗机构越来越多地演变为自带设备(BYOD)环境。这种转换要求组织在解决设备和应用程序管理以及易受恶意攻击等问题的同时保持HIPAA兼容。
Aruba Networks的2012年医疗保健移动趋势调查显示，85%的医疗保健机构支持其医生和员工在工作中使用个人设备。然而，使用的程度各不相同。例如，53%的组织限制用户访问Internet, 24%的组织限制用户访问医院应用程序，只有8%的组织允许用户完全访问医院网络。
几乎相同比例的设施(83%)支持使用iPad。此外，65%的人支持使用iPhone和iPod touch。同样值得注意的是，在医疗保健领域，黑莓的使用超过了基于Android的设备，52%的组织支持黑莓，46%的组织支持Android。60%的医疗机构支持移动设备上的EHR应用程序。
安全问题
随着移动设备的普及，安全问题的风险也越来越大。安全培训公司KnowBe4的创始人兼首席执行官斯图•斯朱沃曼(Stu Sjouwerman)认为，BYOD的唯一可行之道是，个人医疗机构提供设备和应用程序。“不过，这对私人办公室来说非常艰难，”他表示。“在医院，这也很困难，因为负责生死存亡的医生对医疗设施及其it部门提出了一定的要求。”
当医护人员可以在工作中使用个人设备时，有一些移动工具由于其设计而比其他工具更容易管理。例如，iPad应用程序是沙盒的，这意味着每个应用程序也是它自己的存储容器。如果一个应用程序有自己的安全性，它可以在设备中被隔离。一个例子是一个应用程序，它具有电子邮件、联系人、日历、Web浏览器和一个文件存储库，可以安全地保存所有这些信息，而不需要与设备的其他部分交互。
在许多环境中，如果用户希望他们的个人移动设备在网络上，他们必须注册移动设备管理，这是基于服务器的。从那时起，应用程序将存在于设备上，并与移动设备管理签入。随着时间的推移，服务器将发送策略和配置文件，提供诸如访问设施网络之类的功能。在这种情况下，用户与医院达成协议，使用自己的设备，但需要注意的是医院可以控制对内部网络和其他功能的访问。
个人笔记本电脑带来了不同的问题。对于这些设备，所有者通常拥有管理员权限，这意味着他们可以随时更改设置以及安装和卸载应用程序。从本质上讲，医疗机构缺乏控制。
智能组织将创建一个策略，当用户将笔记本电脑带入医院环境时，他们必须允许创建一个新的管理员帐户，放弃他们的管理权限，并同意可以随时清除设备上的信息。此外，用户应该注册移动设备管理，同意密码强度要求，并定期运行防病毒和反恶意软件。
缓解这个复杂过程的一个解决方案是在用户的PC上运行虚拟机。就像远程运行计算机会话一样，这个过程使笔记本电脑保持隔离，不与计算机的其他部分交互。这也意味着没有文件驻留在笔记本电脑本身。相反，所有文件都存储在计算机的远程会话中。从本质上讲，用户在另一台计算机上，从远程位置受到控制和保护。
Sjouwerman说，尽管有流程和保障措施，BYOD给医院带来了许多风险。“IT部门经常收到不完整的行军命令，”他说。“他们必须按时完成工作，但黑客可以通过。该设施必须符合HIPAA，这意味着设备必须经过一系列应用程序控制，但这并不总是发生。这取决于It部门和对它的要求。”
Angela Dinh Rose, MHA, RHIA, CHPS, AHIMA HIM解决方案总监，同意设施提供个人设备更安全，更智能。然而，这在经济上并不总是可行的。她还指出，目前HIPAA关于受保护健康信息(PHI)的规定并不是一成不变的，留下了解释的空间。
“受保护的实体必须保护PHI，”Dinh Rose说。HIPAA安全法规保护所有电子PHI，无论介质是什么。这些法规要求设施对数据进行物理保护，并保持设备的库存记录。还必须有政策和程序来规范移动设备的使用，用户在使用设备之前应该签署用户协议。”
罗斯说，AHIMA有严格的信息技术政策。“例如，我们可以在个人设备上访问我们的电子邮件，但我们必须允许我们的设备随时被删除，”她指出。
Dinh Rose说，组织可以遵循一些安全实践指南。例如，IT可能允许通过移动设备传递信息，但不允许存储信息。此外，每隔几个月，用户可能会被要求将他们的设备带到IT部门，以确保安全性和加密功能仍然存在。
汉威律师事务所(Hunton & Williams LLP)隐私和数据安全业务主管、其纽约办事处执行合伙人丽莎•索托(Lisa Sotto)认为，商业和个人技术工具往往是混合在一起的，在可预见的未来，这种趋势将继续下去。“企业鼓励员工购买自己的设备;它要便宜得多。”“但移动设备带来了更大的恶作剧机会，而且看到正在发生的事情的能力也降低了。”
移动设备的普及已经改变了安全格局。索托表示:“我们需要对移动设备上的商业数据进行加密，并且无论设备位于何处，都能将这些数据从设备上删除。“因此，即使设备丢失或被盗，我们也可以采取必要的预防措施，确保数据的完整性。”
根据Sotto的说法，越来越多的客户采用了审计跟踪功能来跟踪谁在查看和更改数据。她说:“不管你在哪里访问数据，只要你是通过雇主的网络访问，就会有强有力的审计追踪。”“我们还必须确保，在发生法律诉讼的情况下，这些设备仍可用于发现目的，并可允许医院提供诉讼中要求的文件。”这同样适用于分离。如果员工离开公司，我们需要能够检索设备上的业务数据。”
恶意攻击风险
专家一致认为，在BYOD环境下，打击不法行为是一个问题。索托说:“我们正面临网络安全攻击，因为网络犯罪分子寻求获取个人数据和知识产权。“在医疗环境中，自带设备的回报和危险之间存在着不稳定的平衡。”
对安全的最大威胁之一，特别是在BYOD环境中，是社会工程，黑客利用这种技术来利用人类的弱点来获取信息。Sjouwerman说:“网络犯罪分子进入个人设备的两种主要方式是发送电子邮件，这些电子邮件要么必须打开以防止负面后果，要么免费提供给你一些东西。”“一旦毫无戒心的用户打开这样的附件，就可以访问所有者的密码，或者恶意软件可以感染设备。后者不仅可以感染个人的个人设备，还可以通过网络传播到每一台移动设备。”
Sjouwerman列出的可能导致安全漏洞的BYOD“陷阱”包括:弱密码;未加密的数据(特别危险，因为移动设备容易被盗);访问社交媒体，这是众所周知的社会工程攻击的“滋生地”;缺乏病毒和恶意软件防护;以及连接到未知的无线网络。
他说:“只有一小部分IT部门完全意识到移动设备经常访问他们的网络。”“这使得很难对员工进行适当的安全协议和可接受的使用政策培训，也很难对他们进行安全意识培训。所有这些都增加了发生破坏性数据泄露的危险。”
Sjouwerman补充说，如果用户被黑客入侵，从上到下处理漏洞是很重要的。IT安全专家需要分析被访问的数据类型及其保密级别。他说:“一旦医院暴露在污染中，后果不堪设想。”“这样做的代价可能不值得。也就是说，对于这些事件仍然有保险是负担得起的。医院应该注意投保。”
Sotto和Sjouwerman强调，培训对于在BYOD环境下保护信息安全至关重要。两者都指出，在这种类型的环境中，人是人工防火墙，必须具备保持信息安全的知识。
索托说:“问题在于，移动设备的安全并没有跟上移动设备犯罪的步伐。”“钱在哪里，犯罪分子就去哪里，钱在流动，所以意识到风险是至关重要的。BYOD是一个重大的模式转变。这是一场正在进行的安全与可用性之战，而可用性正在取得胜利。”
移动设备安全最容易被忽视的一个方面是确保医疗机构认真对待它。“HIPAA要求进行安全意识培训，这有助于确保人们不会被社会工程欺骗，”Sjouwerman说。“但通常医院将这种培训视为年度性骚扰研讨会。我们测试客户，每个月给他们发两封假邮件，看是否有人打开。如果用户确实打开了可疑的电子邮件，我们就会安排额外的培训。”
随着移动设备变得越来越复杂，对渴望最新和最好的普通公众越来越有吸引力，医疗机构的情况似乎只会变得更加复杂。
“移动设备仍然是一个热门话题，”索托说。“每次有新的问题出现，(隐私专家)都必须想出新的办法。但我们还处于起步阶段，我们没有完美的解决方案。”
-苏珊·查普曼是洛杉矶的作家和作家。
未加密的教训
去年10月,每日进展报道称，弗吉尼亚大学(UVa)医学中心的一名值班药剂师丢失了一个手持设备，其中包含1500多份未加密的患者医疗记录。根据医疗中心2012年12月1日发布的一份通知，该设备上的信息可能包括“病人的姓名、地址、诊断、药物和医疗保险识别号码，在某些情况下是社会安全号码”等详细信息。
受影响的患者是2012年9月接受连续家庭输液治疗的患者，以及2007年8月至2012年9月接受家庭静脉注射服务的个人。弗吉尼亚大学表示，这一事件可能会影响1846份医疗记录。然而，该医疗中心也表示，该设备很可能是丢失了，而不是被盗，而且数据(不包括银行或信用卡信息)没有被访问或使用。
“丢失的设备是一个现实，”AHIMA医疗保健解决方案主任、医疗保健协会、卫生保健中心主任Angela Dinh Rose说。“这在任何组织中都很容易发生。确保所有受保护的健康信息(PHI)在其所在位置得到保护非常重要。组织必须拥有所有设备的完整清单，并且必须确保PHI没有存储在设备上，因为并非所有手持设备都具有加密功能。”
弗吉尼亚大学医疗中心目前正在对其所有手持设备进行加密，并于2012年11月30日开始通知患者安全漏洞，并于12月3日开设了一个专门的呼叫中心。负责医院和诊所运营的副总裁罗伯特·“博”·科菲尔德说每天的进步延迟通知是必要的，以便有时间进行“法医工作，以准确识别设备上的信息，并遵守与通知要求相关的各种州和联邦法规”。
- - - - - - SC
