HIPAA, PCI-DSS i przepisy sektorowe

Ogólne przepisy dotyczące prywatności, takie jak RODO, ustanawiają podstawowe wymagania dla wszystkich sektorów, jednak niektóre branże przetwarzają dane tak wrażliwe, że rządy nakładają na nie dodatkowe wymagania właściwe dla danego sektora. Dane z sektora opieki zdrowotnej dotyczą decyzji, od których może zależeć życie lub śmierć. Dane finansowe umożliwiają oszustwa i kradzież tożsamości. Dane kart płatniczych napędzają globalną cyberprzestępczość. Przepisy sektorowe ustanawiają minimalne standardy, które są niezależnie kontrolowane, a kary mają zapewnić, że zgodność z przepisami nie będzie traktowana wyłącznie jako koszt prowadzenia działalności.

Health Insurance Portability and Accountability Act (HIPAA) to federalna ustawa Stanów Zjednoczonych regulująca ochronę chronionych informacji zdrowotnych (PHI). Dane PHI obejmują wszelkie informacje, które identyfikują pacjenta i dotyczą jego stanu zdrowia, leczenia lub płatności. HIPAA ma zastosowanie do podmiotów objętych przepisami (świadczeniodawców opieki zdrowotnej, ubezpieczycieli zdrowotnych i izb rozliczeniowych ochrony zdrowia) oraz ich partnerów biznesowych (dostawców mających dostęp do danych PHI, takich jak dostawcy usług chmurowych, firmy rozliczeniowe i systemy EHR). Partnerzy biznesowi muszą podpisać Business Associate Agreement (BAA).

Reguła bezpieczeństwa HIPAA dotyczy konkretnie elektronicznych informacji o stanie zdrowia (ePHI) i wymaga od podmiotów objętych przepisami wdrożenia zabezpieczeń administracyjnych, fizycznych i technicznych. Zabezpieczenia administracyjne obejmują wyznaczenie inspektora bezpieczeństwa, szkolenia pracowników oraz plany awaryjne. Zabezpieczenia fizyczne dotyczą kontroli dostępu do obiektów i utylizacji urządzeń. Zabezpieczenia techniczne wymagają kontroli dostępu, mechanizmów audytowych, szyfrowania transmisji i weryfikacji integralności. W przeciwieństwie do PCI-DSS, HIPAA stosuje w odniesieniu do niektórych wymagań termin „addressable” — oznacza to, że organizacje muszą je wdrożyć albo udokumentować, dlaczego alternatywne rozwiązanie jest równoważne.

Reguła HIPAA dotycząca powiadamiania o naruszeniach wymaga od podmiotów objętych przepisami powiadomienia osób, których to dotyczy, w ciągu 60 dni od wykrycia naruszenia niezabezpieczonych PHI. O naruszeniu należy również powiadomić Sekretarza HHS; jeśli naruszenie dotyczy co najmniej 500 osób w danym stanie, powiadomienie musi nastąpić w ciągu 60 dni i obejmować wyraźne powiadomienie za pośrednictwem mediów. Naruszenia dotyczące mniej niż 500 osób zgłasza się raz w roku. Niezabezpieczone PHI to dane, które nie zostały zaszyfrowane ani zniszczone zgodnie z wytycznymi HHS — naruszenie zaszyfrowanych PHI nie powoduje obowiązku powiadomienia.

Kary przewidziane przez HIPAA są uzależnione od stopnia zawinienia. Poziom 1: 100–50 000 USD za każde naruszenie, maksymalnie 25 000 USD rocznie za każdą kategorię (brak wiedzy o naruszeniu). Poziom 2: 1 000–50 000 USD za każde naruszenie (uzasadniona przyczyna). Poziom 3: 10 000–50 000 USD (umyślne zaniedbanie, które naprawiono). Poziom 4: 50 000 USD za każde naruszenie (umyślne zaniedbanie, którego nie naprawiono). Kary kryminalne na podstawie HIPAA mogą sięgać 250 000 USD i 10 lat pozbawienia wolności za umyślne naruszenia. Naruszenie w Anthem z 2018 roku zakończyło się ugodą na kwotę 115 mln USD, a naruszenie w Kronos z 2021 roku doprowadziło do kilku dochodzeń OCR.

PCI-DSS (Payment Card Industry Data Security Standard) nie jest ustawą — to standard umowny utworzony przez główne organizacje płatnicze (Visa, Mastercard, Amex, Discover, JCB) za pośrednictwem PCI Security Standards Council. Każda organizacja, która przechowuje, przetwarza lub przesyła dane posiadaczy kart, musi spełniać jego wymagania. Obecna wersja to PCI-DSS v4.0 (wydana w 2022 roku). Niezgodność z wymaganiami może skutkować karami nakładanymi przez organizacje płatnicze (5 000–100 000 USD miesięcznie), wyższymi opłatami transakcyjnymi, a ostatecznie utratą możliwości akceptowania płatności kartą — co dla większości sprzedawców oznacza zagrożenie istnienia.

Standard PCI-DSS jest podzielony na 12 wymagań w ramach sześciu obszarów celów. Zbudowanie i utrzymanie bezpiecznej sieci: zapory sieciowe, brak domyślnych haseł. Ochrona danych posiadaczy kart: szyfrowanie transmisji, ograniczenie przechowywania. Utrzymanie programu zarządzania podatnościami: oprogramowanie antywirusowe, bezpieczne wytwarzanie oprogramowania. Wdrożenie silnej kontroli dostępu: zasada najmniejszych uprawnień, unikalne identyfikatory, dostęp fizyczny. Monitorowanie i testowanie sieci: rejestrowanie zdarzeń, wykrywanie włamań, testy penetracyjne. Utrzymanie polityki bezpieczeństwa informacji: spisane zasady, budowanie świadomości bezpieczeństwa. Opanowanie tych sześciu obszarów obejmuje wszystkie 12 wymagań.

Wymagania dotyczące zgodności z PCI-DSS zależą od liczby transakcji. Poziom 1: ponad 6 mln transakcji kartowych rocznie — wymaga corocznej oceny na miejscu przeprowadzanej przez Qualified Security Assessor (QSA) oraz kwartalnych skanów sieci wykonywanych przez Approved Scanning Vendor (ASV). Poziom 2: 1–6 mln transakcji — coroczny Self-Assessment Questionnaire (SAQ). Poziom 3: 20 000–1 mln transakcji e-commerce — coroczny SAQ. Poziom 4: mniej niż 20 000 transakcji e-commerce — coroczny SAQ, zalecany skan kwartalny. Więksi sprzedawcy muszą spełniać bardziej rygorystyczne wymagania dotyczące oceny.

Oprócz HIPAA i PCI-DSS na egzaminie Security+ pojawia się kilka innych przepisów dotyczących poszczególnych sektorów. GLBA (Gramm-Leach-Bliley Act): instytucje finansowe muszą chronić informacje finansowe konsumentów i wdrożyć spisany program bezpieczeństwa informacji. FERPA: instytucje edukacyjne muszą chronić dokumentację edukacyjną uczniów i studentów. COPPA: strony internetowe muszą uzyskać zgodę rodzica przed gromadzeniem danych dzieci poniżej 13. roku życia. SOX (Sarbanes-Oxley): spółki publiczne muszą prowadzić dokładną dokumentację finansową i stosować kontrole wewnętrzne; systemy IT wspierające sprawozdawczość finansową wchodzą w zakres SOX.

Zgodność wykazuje się za pomocą dokumentacji (polityk, procedur, ocen ryzyka), dowodów technicznych (raportów ze skanowania, wyników testów penetracyjnych, dzienników dostępu) oraz wywiadów (audytorzy sprawdzają, czy pracownicy rozumieją udokumentowane procedury i stosują się do nich). Zarówno oceny QSA (PCI), jak i audyty HIPAA (OCR) wymagają uporządkowanego gromadzenia dowodów. Wiele organizacji korzysta z platform GRC (Governance, Risk, and Compliance), aby centralizować dowody kontroli, mapować kontrole na wiele standardów oraz na żądanie generować raporty gotowe do audytu.

Organizacje często jednocześnie podlegają wielu ramom regulacyjnym. Szpitalny system płatności może podlegać równocześnie wymaganiom HIPAA, PCI-DSS i GLBA. Dobrze zaprojektowane programy zgodności wyszukują obszary nakładania się kontroli — na przykład kontrole szyfrowania, które jednocześnie spełniają wymagania technicznych zabezpieczeń HIPAA, wymaganie 4 PCI-DSS oraz Załącznik A normy ISO 27001. Mapowanie kontroli między ramami ogranicza powielanie pracy i pozwala organizacjom sprawnie wykazywać zgodność podczas wielu audytów przy użyciu tych samych artefaktów dowodowych.

Sprawdź znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: HIPAA chroni PHI za pomocą zabezpieczeń administracyjnych, fizycznych i technicznych oraz wymaga powiadomienia o naruszeniu w ciągu 60 dni; PCI-DSS jest standardem umownym obejmującym 12 wymagań i poziomy zgodności zależne od liczby transakcji; a inne przepisy dotyczące poszczególnych sektorów (GLBA, FERPA, COPPA, SOX) dotyczą określonych rodzajów danych i nakładają obowiązki właściwe dla danego sektora. Następnie omówimy zasady ochrony prywatności już na etapie projektowania oraz zasady przechowywania danych.