HIPAA, PCI-DSS och branschspecifika regler

Allmänna dataskyddslagar som GDPR fastställer en grundnivå för alla sektorer, men vissa branscher hanterar så känsliga data att myndigheter inför ytterligare, sektorsspecifika krav. Data inom hälso- och sjukvården påverkar beslut som kan gälla liv eller död. Finansiella data möjliggör bedrägerier och identitetsstölder. Betalkortsdata driver den globala cyberbrottsligheten. Sektorsspecifika regelverk inför minimikrav som granskas oberoende, med sanktioner utformade för att säkerställa att efterlevnad inte bara behandlas som en kostnad för verksamheten.

Health Insurance Portability and Accountability Act (HIPAA) är en amerikansk federal lag som reglerar skyddet av Protected Health Information (PHI). PHI omfattar all information som identifierar en patient och rör patientens hälsotillstånd, behandling eller betalning. HIPAA gäller covered entities (vårdgivare, sjukförsäkringsplaner och clearingorganisationer inom hälso- och sjukvården) samt deras business associates (leverantörer med åtkomst till PHI, till exempel molnleverantörer, faktureringsföretag och EHR-system). Business associates måste underteckna ett Business Associate Agreement (BAA).

HIPAA Security Rule gäller specifikt elektronisk PHI (ePHI) och kräver att berörda organisationer inför administrativa, fysiska och tekniska skyddsåtgärder. Administrativa skyddsåtgärder omfattar utnämning av säkerhetsansvarig, utbildning av personal och beredskapsplaner. Fysiska skyddsåtgärder omfattar åtkomstkontroll till lokaler och kassering av enheter. Tekniska skyddsåtgärder kräver åtkomstkontroller, granskningskontroller, kryptering av överföringar och integritetsverifiering. Till skillnad från PCI-DSS använder HIPAA termen 'addressable' för vissa krav — vilket innebär att organisationer måste införa dem eller dokumentera varför ett alternativ är likvärdigt.

HIPAA Breach Notification Rule kräver att berörda organisationer meddelar berörda personer inom 60 dagar efter att ett intrång i oskyddad PHI har upptäckts. Även HHS-sekreteraren måste underrättas. Om intrånget berör 500 eller fler personer i en delstat måste meddelandet skickas inom 60 dagar och även innehålla ett framträdande meddelande i medierna. Intrång som berör färre än 500 personer rapporteras årligen. Oskyddad PHI är data som inte har krypterats eller förstörts enligt HHS:s riktlinjer — ett intrång i krypterad PHI utlöser inte något krav på meddelande.

HIPAA-sanktionerna är indelade i nivåer utifrån graden av skuld. Nivå 1: 100–50 000 USD per överträdelse, upp till 25 000 USD per kategori och år (ingen kännedom). Nivå 2: 1 000–50 000 USD per överträdelse (rimlig grund). Nivå 3: 10 000–50 000 USD (avsiktlig försummelse som har rättats). Nivå 4: 50 000 USD per överträdelse (avsiktlig försummelse som inte har rättats). Straffrättsliga påföljder enligt HIPAA kan uppgå till 250 000 USD och 10 års fängelse vid uppsåtliga överträdelser. Anthem-intrånget 2018 resulterade i en förlikning på 115 miljoner USD, och Kronos-intrånget 2021 ledde till flera OCR-utredningar.

PCI-DSS (Payment Card Industry Data Security Standard) är ingen lag — det är en avtalsbaserad standard som har skapats av de stora kortvarumärkena (Visa, Mastercard, Amex, Discover, JCB) genom PCI Security Standards Council. Alla organisationer som lagrar, behandlar eller överför kortinnehavaruppgifter måste följa standarden. Den aktuella versionen är PCI-DSS v4.0 (utgiven 2022). Bristande efterlevnad kan leda till böter från kortvarumärkena (5 000–100 000 USD per månad), högre transaktionsavgifter och i slutändan förlust av möjligheten att ta emot kortbetalningar — något som är avgörande för de flesta handlare.

PCI-DSS är uppdelad i 12 krav inom sex målområden. Bygg och underhåll ett säkert nätverk: brandväggar, inga standardlösenord. Skydda kortinnehavaruppgifter: kryptera överföringar, begränsa lagring. Upprätthåll ett program för sårbarhetshantering: antivirus, säker utveckling. Inför stark åtkomstkontroll: minsta privilegium, unika ID:n, fysisk åtkomst. Övervaka och testa nätverk: loggning, intrångsdetektering, penetrationstester. Upprätthåll en informationssäkerhetspolicy: skriftliga policyer, säkerhetsmedvetenhet. Om ni behärskar dessa sex områden täcker det alla 12 krav.

Kraven på PCI-DSS-efterlevnad ökar med transaktionsvolymen. Nivå 1: 6 miljoner eller fler korttransaktioner per år — kräver en årlig bedömning på plats av en Qualified Security Assessor (QSA) och kvartalsvisa nätverksskanningar av en Approved Scanning Vendor (ASV). Nivå 2: 1–6 miljoner transaktioner — årligt frågeformulär för självutvärdering (SAQ). Nivå 3: 20 000–1 miljon e-handelstransaktioner — årligt SAQ. Nivå 4: färre än 20 000 e-handelstransaktioner — årligt SAQ, kvartalsvis skanning rekommenderas. Större handlare omfattas av mer omfattande bedömningskrav.

Utöver HIPAA och PCI-DSS förekommer flera andra branschspecifika lagar på Security+-provet. GLBA (Gramm-Leach-Bliley Act): finansiella institutioner måste skydda konsumenters finansiella uppgifter och införa ett skriftligt informationssäkerhetsprogram. FERPA: utbildningsinstitutioner måste skydda elevers utbildningsregister. COPPA: webbplatser måste inhämta föräldrars samtycke innan de samlar in uppgifter från barn under 13 år. SOX (Sarbanes-Oxley): börsnoterade företag måste upprätthålla korrekta ekonomiska register med interna kontroller; IT-system som stöder finansiell rapportering omfattas av SOX.

Efterlevnad visas genom dokumentation (policyer, procedurer, riskbedömningar), tekniska bevis (skanningsrapporter, resultat från penetrationstester, åtkomstloggar) och intervjuer (revisorer verifierar att personalen förstår och följer dokumenterade procedurer). QSA-bedömningar (PCI) och HIPAA-granskningar (OCR) kräver båda att bevis samlas in på ett strukturerat sätt. Många organisationer använder GRC-plattformar (Governance, Risk, and Compliance) för att centralisera kontrollbevis, koppla kontroller till flera ramverk och vid behov generera rapporter som är redo för granskning.

Organisationer verkar ofta under flera regelverk samtidigt. Ett sjukhuss betalningssystem kan exempelvis omfattas av HIPAA-, PCI-DSS- och GLBA-krav samtidigt. Smarta efterlevnadsprogram letar efter överlappande kontroller — till exempel krypteringskontroller som samtidigt uppfyller HIPAA:s tekniska skyddsåtgärder, PCI-DSS-krav 4 och bilaga A i ISO 27001. Kontrollmappning mellan ramverk minskar dubbelarbete och gör det möjligt för organisationer att effektivt visa efterlevnad under flera granskningar med samma bevisunderlag.

I den här lektionen har ni lärt er att: HIPAA skyddar PHI genom administrativa, fysiska och tekniska skyddsåtgärder samt kräver meddelande om intrång inom 60 dagar, PCI-DSS är en avtalsbaserad standard med 12 krav och efterlevnadsnivåer baserade på transaktionsvolym, och andra branschspecifika regler (GLBA, FERPA, COPPA, SOX) behandlar olika datatyper och medför branschspecifika skyldigheter. Nästa avsnitt handlar om principer för privacy by design och policyer för datalagring.