HIPAA, PCI-DSS, dan Peraturan Khusus Sektor

Undang-undang privasi umum seperti GDPR menetapkan standar dasar untuk semua sektor, tetapi industri tertentu menangani data yang sangat sensitif sehingga Government memberlakukan persyaratan tambahan yang khusus untuk sektor tersebut. Data kesehatan berkaitan dengan keputusan hidup atau mati. Data keuangan dapat memungkinkan Fraud dan pencurian identitas. Data kartu pembayaran mendorong kejahatan siber global. Peraturan khusus sektor menetapkan standar minimum yang diaudit secara independen, dengan sanksi yang dirancang untuk memastikan bahwa kepatuhan tidak sekadar dianggap sebagai biaya menjalankan bisnis.

Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) adalah undang-undang federal US yang mengatur perlindungan Informasi Kesehatan yang Dilindungi (PHI). PHI mencakup informasi apa pun yang mengidentifikasi pasien dan berkaitan dengan kondisi kesehatan, perawatan, atau pembayaran mereka. HIPAA berlaku bagi entitas yang tercakup (penyedia layanan kesehatan, program kesehatan, dan lembaga kliring layanan kesehatan) serta rekanan bisnis mereka (vendor yang memiliki akses ke PHI, seperti penyedia cloud, perusahaan penagihan, dan sistem EHR). Rekanan bisnis harus menandatangani Perjanjian Rekanan Bisnis (BAA).

Aturan Keamanan HIPAA secara khusus membahas PHI elektronik (ePHI) dan mewajibkan entitas yang tercakup untuk menerapkan perlindungan administratif, fisik, dan teknis. Perlindungan administratif mencakup penunjukan petugas keamanan, pelatihan Workforce, dan rencana kontingensi. Perlindungan fisik mencakup controls akses Facility dan pemusnahan Device. Perlindungan teknis mewajibkan controls akses, controls audit, Encrypt transmisi, dan verifikasi integritas. Berbeda dengan PCI-DSS, HIPAA menggunakan istilah "addressable" untuk beberapa Requirements—artinya organisasi harus menerapkannya atau mendokumentasikan alasan bahwa alternatif yang digunakan setara.

Aturan Pemberitahuan Pelanggaran HIPAA mewajibkan entitas yang tercakup untuk memberi tahu individu yang terdampak dalam waktu 60 hari sejak ditemukannya pelanggaran PHI yang tidak diamankan. Secretary HHS juga harus diberi tahu; jika pelanggaran berdampak pada 500 orang atau lebih di suatu negara bagian, pemberitahuan harus dilakukan dalam waktu 60 hari dan harus mencakup pemberitahuan media yang menonjol. Pelanggaran yang berdampak pada kurang dari 500 orang dilaporkan setiap tahun. PHI yang tidak diamankan adalah Data yang belum dienkripsi atau dimusnahkan sesuai panduan HHS—PHI yang telah dienkripsi tetapi mengalami pelanggaran tidak memicu Requirements pemberitahuan.

Sanksi HIPAA dibagi ke dalam tingkatan berdasarkan tingkat kesalahan. Tingkat 1: $100–$50.000 per pelanggaran, hingga $25.000 per kategori per tahun (tidak mengetahui adanya pelanggaran). Tingkat 2: $1.000–$50.000 per pelanggaran (penyebab yang wajar). Tingkat 3: $10.000–$50.000 (kelalaian yang disengaja, telah diperbaiki). Tingkat 4: $50.000 per pelanggaran (kelalaian yang disengaja, tidak diperbaiki). Sanksi pidana berdasarkan HIPAA dapat mencapai $250.000 dan hukuman penjara 10 tahun untuk pelanggaran yang disengaja. Pelanggaran Anthem pada 2018 menghasilkan penyelesaian sebesar $115 juta, sedangkan pelanggaran Kronos pada 2021 memicu beberapa penyelidikan OCR.

PCI-DSS (Payment Card Industry Data Security Standard) bukanlah undang-undang—ini adalah standar kontraktual yang dibuat oleh merek kartu utama (Visa, Mastercard, Amex, Discover, JCB) melalui PCI Security Standards Council. Setiap organisasi yang menyimpan, memproses, atau mengirimkan Data pemegang kartu wajib mematuhinya. Versi saat ini adalah PCI-DSS v4.0 (dirilis pada 2022). Ketidakpatuhan dapat mengakibatkan denda dari merek kartu ($5.000–$100.000 per bulan), peningkatan biaya transaksi, dan pada akhirnya kehilangan kemampuan untuk menerima Payment kartu—yang dapat mengancam kelangsungan hidup sebagian besar pedagang.

PCI-DSS disusun menjadi 12 Requirements dalam enam area tujuan. Membangun dan Maintain jaringan yang aman: firewall, tanpa kata sandi bawaan. Protect Data pemegang kartu: Encrypt transmisi, Restrict penyimpanan. Maintain program manajemen kerentanan: antivirus, pengembangan yang aman. Menerapkan kontrol akses yang kuat: hak akses paling sedikit, IDs unik, akses Physical. Memantau dan menguji jaringan: logging, deteksi penyusupan, pengujian penetrasi. Maintain kebijakan Security informasi: kebijakan tertulis, kesadaran Security. Penguasaan keenam area ini mencakup seluruh 12 Requirements.

Requirements kepatuhan PCI-DSS disesuaikan dengan volume transaksi. Tingkat 1: 6 juta atau lebih transaksi kartu per tahun—mewajibkan penilaian tahunan di lokasi oleh Qualified Security Assessor (QSA) dan pemindaian jaringan setiap tiga bulan oleh Approved Scanning Vendor (ASV). Tingkat 2: 1–6 juta transaksi—Self-Assessment Questionnaire (SAQ) tahunan. Tingkat 3: 20.000–1 juta transaksi e-commerce—SAQ tahunan. Tingkat 4: kurang dari 20.000 transaksi e-commerce—SAQ tahunan, dengan pemindaian triwulanan yang disarankan. Pedagang yang lebih besar menghadapi Requirements penilaian yang lebih ketat.

Selain HIPAA dan PCI-DSS, beberapa undang-undang spesifik sektor lainnya muncul dalam ujian Security+ . GLBA (Gramm-Leach-Bliley Act): lembaga keuangan wajib Protect informasi keuangan Consumer dan menerapkan program Security informasi tertulis. FERPA: lembaga pendidikan wajib Protect records pendidikan Student. COPPA: situs web wajib memperoleh persetujuan orang tua sebelum mengumpulkan Data dari Children berusia di bawah 13 tahun. SOX (Sarbanes-Oxley): perusahaan terbuka wajib Maintain records keuangan yang akurat dengan controls internal; sistem IT yang mendukung pelaporan keuangan termasuk dalam ruang lingkup SOX.

Kepatuhan dibuktikan melalui dokumentasi (kebijakan, prosedur, penilaian Risk), bukti teknis (laporan pemindaian, hasil pengujian penetrasi, logs akses), dan wawancara (auditor memverifikasi bahwa staf memahami dan mengikuti prosedur yang terdokumentasi). Penilaian QSA (PCI) dan Audit HIPAA (OCR) sama-sama memerlukan pengumpulan bukti yang teratur. Banyak organisasi menggunakan platform GRC (Governance, Risk, and Compliance) untuk memusatkan bukti controls, melakukan mapping controls ke berbagai kerangka kerja, dan membuat laporan siap audit kapan saja.

Organisasi sering kali beroperasi di bawah beberapa kerangka regulasi secara bersamaan. Sistem Payment rumah sakit dapat menghadapi Requirements HIPAA, PCI-DSS, dan GLBA pada waktu yang sama. Program kepatuhan yang cerdas mencari tumpang tindih controls—misalnya controls Encrypt yang memenuhi Perlindungan Teknis HIPAA, PCI-DSS Requirement 4, dan ISO 27001 Annex A secara bersamaan. Mapping controls lintas kerangka kerja mengurangi duplikasi upaya dan memungkinkan organisasi membuktikan kepatuhan secara efisien selama beberapa audit menggunakan artefak bukti yang sama.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari lesson ini.

Dalam lesson ini Anda mempelajari: HIPAA Protect PHI melalui perlindungan administratif, fisik, dan teknis dengan pemberitahuan pelanggaran dalam 60 hari; PCI-DSS adalah standar kontraktual dengan 12 Requirements dan tingkat kepatuhan berdasarkan volume transaksi; serta regulasi spesifik sektor lainnya (GLBA, FERPA, COPPA, SOX) yang masing-masing membahas jenis Data tertentu dengan kewajiban spesifik sektor. Selanjutnya kita akan membahas prinsip privasi sejak tahap perancangan dan kebijakan penyimpanan Data.