在一個(gè)由Health Technology Transformation舉辦的在線網(wǎng)絡(luò)會(huì)議上，與會(huì)者認(rèn)為無(wú)論是健康保險(xiǎn)攜帶(HIPAA)還是HITECH 法案，都需要做風(fēng)險(xiǎn)評(píng)估，然而在實(shí)際操作中，很多涉及到醫(yī)療的舉措要么沒(méi)有風(fēng)險(xiǎn)評(píng)估，要么消極應(yīng)對(duì)。
在這次討論會(huì)上，來(lái)自伯克希爾健康系統(tǒng)的Paul Doucette認(rèn)為，安全問(wèn)題應(yīng)該首先從風(fēng)險(xiǎn)評(píng)估開(kāi)始，在醫(yī)療行業(yè)，有三大防御措施針對(duì)數(shù)據(jù)安全和管理。這個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程可以讓企業(yè)了解數(shù)據(jù)都存放在哪里、數(shù)據(jù)的形式是什么、那些數(shù)據(jù)是有價(jià)值的。隨著便攜式設(shè)備越來(lái)越多的應(yīng)用于醫(yī)療行業(yè)，風(fēng)險(xiǎn)評(píng)估這項(xiàng)工作不再簡(jiǎn)單，但倘若忽視這個(gè)，是不可能確保安全的。
Doucette 介紹說(shuō)：“我們首先需要做的就是確定那些數(shù)據(jù)存放的地方。我們的確不知道它們會(huì)在人們的電腦上或者上。一旦你允許BYOD，你會(huì)對(duì)那些數(shù)據(jù)如何涌現(xiàn)出來(lái)感到吃驚?！?/P>
Doucette 表示，伯克希爾健康系統(tǒng)一旦確認(rèn)員工在哪些地方了數(shù)據(jù)，那么這數(shù)據(jù)將會(huì)加密保存在移動(dòng)設(shè)備里。系統(tǒng)也允許安全人員通過(guò)查看系統(tǒng)日志追蹤數(shù)據(jù)的移動(dòng)。如果數(shù)據(jù)遺失或者被竊取，這些舉措對(duì)之后配合法律調(diào)查非常重要。它可以非常準(zhǔn)確的發(fā)現(xiàn)有多少個(gè)文件丟失，這些文件上的數(shù)據(jù)是什么等等，這些讓系統(tǒng)對(duì)損失進(jìn)行評(píng)估。
McAfee營(yíng)銷(xiāo)技術(shù)部總監(jiān)Kim Singletary稱(chēng)，即使在公司之間，對(duì)于風(fēng)險(xiǎn)評(píng)估也有很多誤解。比如，很多人覺(jué)得應(yīng)該每?jī)赡曜鲆淮物L(fēng)險(xiǎn)評(píng)估，而一些人認(rèn)為只需對(duì)電子數(shù)據(jù)做評(píng)估。
無(wú)論是健康保險(xiǎn)攜帶方案還是HITECH 法案，都沒(méi)有確定多久進(jìn)行一次風(fēng)險(xiǎn)評(píng)估。他們表示一個(gè)公司只需要一次“現(xiàn)在時(shí)”的安全評(píng)估。大多數(shù)安全專(zhuān)家認(rèn)為，風(fēng)險(xiǎn)評(píng)估每年需要實(shí)施一次或者公司內(nèi)部調(diào)整涉及到公司安全環(huán)境時(shí)，比如在健康機(jī)構(gòu)里，電子健康記錄更新時(shí)也需要進(jìn)行評(píng)估。還有一些人覺(jué)得風(fēng)險(xiǎn)評(píng)估是個(gè)持續(xù)的過(guò)程，沒(méi)有明確的開(kāi)始時(shí)間和結(jié)束時(shí)間，也不是一次性的工作。
Singletary 說(shuō)：“HIPAA的重要一點(diǎn)就是以風(fēng)險(xiǎn)評(píng)估開(kāi)始，我們從OCR(Office of Civil Rights)了解到，風(fēng)險(xiǎn)評(píng)估絕不僅僅是一次工作，它必然是一個(gè)過(guò)程”。她又補(bǔ)充道，一旦一家企業(yè)做了充分的風(fēng)險(xiǎn)評(píng)估，企業(yè)可以取長(zhǎng)補(bǔ)短，制定出更加完善的政策和技術(shù)方案。這可能大大減少數(shù)據(jù)泄露的可能，要知道拯救數(shù)據(jù)泄露是一件多么昂貴的事情。聯(lián)邦執(zhí)法部門(mén)數(shù)據(jù)泄露的打擊力度不斷加強(qiáng)。醫(yī)療機(jī)構(gòu)的數(shù)據(jù)泄露帶來(lái)的成本巨大，比如需要對(duì)被影響的病人信用卡記錄做監(jiān)控，再花費(fèi)巨資進(jìn)行市場(chǎng)營(yíng)銷(xiāo)活動(dòng)為醫(yī)院挽回顏面。
當(dāng)然，完成安全評(píng)估并不能一下子解決存在的安全漏洞。 提供IT咨詢(xún)和服務(wù)的DynTek公司銷(xiāo)售總監(jiān)Brian Zeno認(rèn)為，安全風(fēng)險(xiǎn)評(píng)估可以幫助企業(yè)識(shí)別哪些漏洞是最危險(xiǎn)的，同時(shí)使企業(yè)明白如何在現(xiàn)有的人力和物力情況下去解決這些致命漏洞。
Zeno將可用的安全控制措施分成四個(gè)方面：物理控制、設(shè)備和媒體控制、加密控制和銷(xiāo)毀控制。他說(shuō)大多數(shù)公司對(duì)物理設(shè)備接入系統(tǒng)都有較好的安全控制政策。很多設(shè)備制造商基于安全的考慮，會(huì)在設(shè)備里安裝各種和軟件。但這還不夠，尤其是當(dāng)特殊情況安全人員不使用這些軟件的時(shí)候。
企業(yè)們對(duì)加密和銷(xiāo)毀的控制還是很糾結(jié)。 Zeno說(shuō)他曾經(jīng)有過(guò)一些案例，這些公司就是不會(huì)加密任何數(shù)據(jù)，即使加密數(shù)據(jù)的過(guò)程很簡(jiǎn)單、成本很低。這個(gè)問(wèn)題正在加劇，因?yàn)楹芏喙?yīng)商并沒(méi)有制定處置廢舊電腦和設(shè)備的政策。而不當(dāng)?shù)匿N(xiāo)毀設(shè)備上加密的病人數(shù)據(jù)則會(huì)導(dǎo)致安全風(fēng)險(xiǎn)。
實(shí)行安全風(fēng)險(xiǎn)評(píng)估可以有效地確定這些控制政策是否運(yùn)作正常。相反而言，沒(méi)有采取評(píng)估則會(huì)供應(yīng)商及監(jiān)管者遇到麻煩。OCR表示將繼續(xù)推進(jìn)HIPAA和HITECH法案中涉及安全和隱私的條款，而那些沒(méi)有籌備安全條例的企業(yè)有可能在實(shí)施行動(dòng)中承擔(dān)惡果。