كيف تمتثل لقانون HIPAA في اختبار البرمجيات؟

إخلاء المسؤولية - تتناول المقالة فقط المجالات الرئيسية لاختبار برامج الامتثال لقانون HIPAA وليس عناصر مثل الضمانات المادية مثل عدم نشر البرامج على محطة العمل ذات الشاشات المفتوحة. لاحظ أيضًا أن الاستراتيجية ستعتمد على متطلبات التطبيق ، مما يعني أنها لن تكون قابلة للتطبيق على جميع التطبيقات.

تقع مؤسسات الرعاية الصحية ضحية لحالات خرق البيانات على نطاق واسع بمعدل ينذر بالخطر. يمكن رؤية أحد الأمثلة البارزة على ذلك في حالة هجوم الفدية من مركز Yuma الإقليمي الطبي الذي كشف بيانات أكثر من 700000 فرد في أبريل 2022. ويتضح أيضًا العدد المتزايد لحالات خرق البيانات من الرسم البياني أدناه.

مع تزايد القلق من الأرقام على المستوى السنوي ، تتجه المنظمات الطبية نحو برامج مصممة بإجراءات حماية بيانات لا يمكن الوصول إليها لتخزين ونقل بياناتها الطبية. تلتزم المنظمات بجميع متطلبات الامتثال لقانون HIPAA بالإضافة إلى قضاء وقت طويل في ضمان سلامة وأمن برامج الرعاية الصحية المبنية .

هذا يضع الكثير من التركيز على اختبار البرامج المتوافقة مع HIPAA. ماذا سيحدث إذا لم تختبر برامج الرعاية الصحية مع التركيز على الامتثال لقانون HIPAA؟ سيؤدي عدم الامتثال لاختبار برنامج HIPAA إلى فتح التطبيق أمام تسرب البيانات واستخدامه غير القانوني. بالإضافة إلى ذلك ، سيؤدي ذلك إلى عقوبات شديدة من وزارة الصحة والخدمات الإنسانية الأمريكية.

هذا هو السبب في أنه من الضروري أن يقضي فريق تطوير برامج الرعاية الصحية وقتًا في بناء تطبيق متوافق مع HIPAA مع زيادة التركيز على اختبار البرامج.

في Appinventiv ، في دورنا كشركة لتطوير برامج الرعاية الصحية ، نجحنا في تطوير واختبار ونشر تطبيقات الرعاية الصحية التي تمس العديد من أصحاب المصلحة ، دون مثيل خرق واحد.

في هذه المقالة ، سنناقش الطرق المختلفة للتحقق من امتثال HIPAA في طلبك من خلال الاختبار. لكن دعونا أولاً نلقي نظرة على سبب تزايد صعوبة بناء برنامج متوافق مع HIPAA.

لماذا يصعب إنشاء برنامج متوافق مع HIPAA؟

بينما يحافظ كل مقدم خدمة رعاية صحية على الأمن في بؤرة التركيز لضمان الامتثال لقانون HIPAA ، فإن تعقيد القطاع يكون لدرجة أن هناك أوقاتًا تظل فيها بعض العناصر دون معالجة. إليك ما يحدث عادةً في حالة عدم وجود قائمة مراجعة لبرامج الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA).

• الكثير من البيانات للحماية

قبل إنشاء بنية حول حماية البيانات ، يحتاج المطورون إلى فهم كامل لما يشكل معلومات حساسة. في نظام الرعاية الصحية ، قد يكون تقييم ذلك أمرًا صعبًا لأن البيانات يتم تخزينها بتنسيقات مختلفة عبر مواقع متعددة مثل مواقع التخزين المادية وأنظمة السجلات الصحية الإلكترونية ومراكز البيانات والأجهزة المحمولة ومكاتب البائعين وما إلى ذلك.

• نقص الموارد حول الامتثال HIPAA

يتطلب بناء برنامج متوافق مع HIPAA إضافة محامين ومهندسي أنظمة وخبراء في الأمن السيبراني وخبراء طبيين في الفريق. يساهمون جميعًا في معرفة ووقت واسعين في المشروع - وهو أمر غير ممكن دائمًا بسبب تكلفة تطوير تطبيق الرعاية الصحية الثابتة والجدول الزمني .

• منصات الوصول إلى البيانات المتعددة

يجب حماية جميع المنصات في نظام الرعاية الصحية بإجراءات أمنية موحدة. ومع ذلك ، تتكون البنية التحتية للمستشفى من نقاط نهاية للمستخدم الحقيقي والرقمي ، ومراكز البيانات ، والخوادم ، والموارد السحابية ، وما إلى ذلك لإنشاء بنية تحتية أمنية موحدة ، فمن الضروري النظر في تطوير MDM لتأمين البيانات الحساسة.

• انخفاض المرونة

يمكن أن تصبح البرامج التي تم إنشاؤها مع وضع متطلبات الأمان المتعددة في الاعتبار جامدة في طبيعتها ، ومع ذلك ، تحتاج مؤسسات الرعاية الصحية إلى المرونة لتكون قادرة على إدارة تجارب المرضى والأطباء. يؤدي هذا إلى موقف يتعين فيه على المطورين إدارة المرونة والامتثال لقانون HIPAA دون المساومة على تجربة الرعاية الصحية.

• تحتاج إلى إعادة تقييم تنفيذ HIPAA

لا ينتهي اختبار الامتثال HIPAA بالتطبيق الجاري نشره. تتغير باستمرار عناصر متعددة مثل تهديدات الأمن السيبراني ومتطلبات HIPAA واحتياجات تكنولوجيا المعلومات الخاصة بمؤسسة الرعاية الصحية ، ولضمان بقاء برنامجك متوافقًا ، ستحتاج إلى إجراء عمليات تدقيق منتظمة وتحديث المستندات.

الآن وقد نظرنا في العناصر التي تجعل من الصعب إنشاء تطبيق متوافق مع HIPAA ، فقد حان الوقت للنظر في الحلول أيضًا من خلال النظر في مجالات اختبار برنامج الامتثال HIPAA ثم طرق الإجابة ، ما هي عملية اختبار الامتثال HIPAA؟

استراتيجيات ومجالات اختبار برنامج HIPAA

لسهولة الفهم ، نقسم عادةً اختبار برنامج الامتثال HIPAA إلى 5 مجالات رئيسية. من المهم معرفة ما هي هذه المجالات للإجابة عن كيفية التأكد من أن البرنامج متوافق مع HIPAA؟

مصادقة المستخدم

عادة ، يمكن أن تكون مصادقة المستخدم أيًا من هذه - على أساس الملكية مثل بطاقات الهوية ، والقائمة على المعرفة مثل معرف المستخدم / كلمة المرور ، والقياسات الحيوية مثل بصمات الأصابع أو مسح الوجه. يتجاوز اختبار البرامج على هذا الصعيد ضمان مسار تسجيل دخول ناجح لكل دور وينظر في -

• فشل تسجيل الدخول بسبب -
  • معرف المستخدم وكلمة المرور فارغين
  • معرف المستخدم وكلمة المرور غير صالحين
  • حساب منتهي الصلاحية أو محظور
• حساب مغلق
• نجاح تسجيل الدخول بعد تغيير كلمة المرور
• انتهت مهلة الخمول لتسجيل الدخول
• بيانات تسجيل الدخول غير مخزنة في ذاكرة التطبيق

بالإضافة إلى ذلك ، فإنه يساعد في إنشاء بنية قياسية لبيانات الاختبار ، على سبيل المثال ، <اسم المريض الأول> <اسم المستخدم> <اسم الاختبار> <التاريخ> <الوقت>. سيساعد هذا في تحديد المستخدمين بسلاسة.

الإفصاح عن المعلومات

عادةً ما يعمل الكشف عن المعلومات مع فئتين - الوصول المستند إلى الدور وتخصيص المريض. بموجب الأول ، يتم تجميع المستخدمين في فئات منطقية بمستويات وصول محددة ، وفي حالة الأخيرة ، يقوم المشرف بتعيين المرضى لمقدم الرعاية الصحية لفترة محددة.

سيكون من المفيد تصميم حالات الاختبار التي تحدد من يمكنه عرض / تعديل / إضافة / حذف المعلومات التي لم يتم الوصول إليها. بالإضافة إلى ذلك ، يجب عليك إنشاء ممارسة حيث بمجرد إلغاء تثبيت التطبيق ، يجب إزالة جميع معلومات EPHI وحذفها من النظام. يجب أن يكون الإفصاح الصحيح عن المعلومات جزءًا أساسيًا من قائمة مراجعة برامج الامتثال لقانون إخضاع التأمين الصحي لقابلية النقل والمساءلة (HIPAA).

مسارات المراجعة

عند النظر في جزء مسارات التدقيق من اختبار برنامج HIPAA ، فإليك العوامل التي يجب النظر فيها.

• يجب أن يحتوي كل إدخال في مسار التدقيق على المعلومات التالية -
  • تاريخ ووقت العمل
  • معرف أو اسم المستخدم الذي يقوم بالإجراء
  • مستوى وصول المستخدم
  • معرّف سجل المريض الذي حدث فيه الإجراء
  • الإجراء الذي تم تنفيذه أو محاولة القيام به
  • الحدث المحدد الذي تم إجراؤه منه (على سبيل المثال ، الدفع أو رسم المريض)
  • الموقع أو معرّف النظام الذي حدث الإجراء من خلاله

• يجب أن تتوافق الإدخالات مع متطلبات الأمان الخاصة بالبرنامج ويجب إجراء عملية التدقيق ليتم تتبعها بسهولة من أجل التحقيق في المستقبل.
• يجب عدم إزالة الإدخالات من مسار المراجعة.
• يجب تصميم مسار التدقيق ليتم عرضه بواسطة حسابات مستخدمين محددة.
• يجب مراقبة جميع محاولات خرق الأمن في مسار التدقيق.
• يجب تشفير مسار التدقيق.

عمليات نقل البيانات

يعد نقل البيانات مجالًا رئيسيًا آخر لاختبار الامتثال HIPAA حيث يجب ضمان الأمان أثناء -

• الوصول إلى البيانات بين الأجهزة المادية والأجهزة المحمولة حيث تم تثبيت التطبيق
• نقل البيانات إلى جهاز خارجي وموقع
• نقل البيانات إلى موقع التخزين دون اتصال.

أثناء عمليات نقل البيانات ، من المهم أيضًا ملاحظة أنه عادةً ما يتم تشفير البيانات (والتي لن يتم فك تشفيرها إلا من قبل المستخدمين المصرح لهم). فيما يلي أفضل ممارسات تشفير البيانات التي يجب أن تكون جزءًا من متطلبات الامتثال HIPAA.

• قم بتأمين مفاتيح التشفير لمنع المستخدمين غير المصرح لهم من استخدام بيانات النظام.
• تشفير البيانات الحساسة ، بغض النظر عن مكان تخزينها داخل النظام.
• تحليل أداء الخوارزمية أثناء تشفير البيانات بانتظام.

معلومات عن استخدام البيانات الصحيح

أخيرًا ، يجب أن يوفر التطبيق تفاصيل استخدام البيانات قبل الوصول إليها. بناءً على التطبيق ، يمكن أن يكون في شكل صفحة تعليمات لكل عملية تتضمن EPHI أو إنشاء إصدار تدريب من التطبيق يسمح للمستخدمين بمعرفة كيفية عمل البرنامج قبل منح حق الوصول إلى EPHI التراكمي.

إذن هذه هي المجالات الخمسة الحاسمة لاختبار برنامج الامتثال HIPAA ، ولكن كيف يمكننا ضمان تطبيقه في عملية تطوير تطبيقات الرعاية الصحية؟

ما هي الخطوات اللازمة لتحقيق الامتثال HIPAA والحفاظ عليه في اختبار البرامج؟

دعنا نكتشف في القسم التالي.

خطوات لتحقيق الامتثال HIPAA والحفاظ عليه في اختبار البرامج

في Appinventiv ، عندما نبني تطبيقًا للرعاية الصحية ، نجعل متطلبات برنامج HIPAA جزءًا من دورة التطوير الشاملة ، وخاصة الاختبار. فيما يلي بعض الطرق التي نضمن بها نفس الشيء.

1. مراقبة الدخول

تماشياً مع متطلبات الامتثال لقانون نقل التأمين الصحي والمسؤولية (HIPAA) ، يجب السماح لأي مستخدم فقط بالوصول إلى المعلومات التي يحتاجها لإكمال مهمة محددة. يمكن تحقيق هذا المستوى الصارم من التحكم في الوصول من خلال الأوضاع السبعة التالية:

• قائمة التحكم في الوصول التي تتيح للمستخدم الوصول إلى وحدات / تطبيقات / مناطق محددة.
• اسم ورقم مميز لتحديد وتتبع هوية كل مستخدم داخل النظام.
• وصول يحركه المستخدم يتطلب مصادقة ثنائية لدخول النظام.
• الوصول المستند إلى الدور الذي يعتمد على دور المستخدمين في البحث عن حقوق الوصول وتحديدها.
• الوصول المستند إلى السياق الذي يحد من الوصول إلى أوقات أو تواريخ محددة في شبكة أو نظام معلومات معين.
• عملية مخصصة لحالة الطوارئ لجمع ePHI الحرجة.
• العمليات الإلكترونية التي ستفرض تسجيل الخروج التلقائي للجلسة الإلكترونية بعد وقت عدم نشاط محدد مسبقًا.
• تشفير وفك تشفير ePHI.

2. اختبار سلامة العقل

الجزء الأول من بروتوكول اختبار برنامج HIPAA الذي نتبعه هو إجراء اختبار سلامة حيث نبحث عن العيوب في معايير الامتثال HIPAA للتطبيق. أنها تنطوي على النظر في مجالات مثل -

• لكل دور أو علاقة عالية الخطورة ، نتحقق مما إذا كان مستخدم دور معين قادرًا على المصادقة بسهولة ، أو يتم منحه إمكانية الوصول إلى العرض والتعديل والحذف ، أو عدم الوصول إلى عملية مكون تطبيق معين. بمجرد تنفيذ جميع الإجراءات ، يتم تسجيلها في مسار المراجعة.
• يتم التحقق من عمليات التشفير لمناطق مثل إدخالات مسار التدقيق و EPHI في قاعدة البيانات.

3. مصفوفة الأدوار

بافتراض أن التطبيق يستخدم الوصول المستند إلى الدور ، يصبح من المهم تحديد الأدوار في النظام ومستوى الوصول الذي يمكنهم الحصول عليه في التطبيق. يتم تنفيذ هذه الخطوة عادةً من خلال التحدث إلى العملاء الذين يخبروننا بمستوى المخاطرة بناءً على الكشف عن المعلومات وتكرار الاستخدام وفرصة الخطأ وتأثير الخطأ.

عندما نجري اختبار سلامة العقل ، يساعد مخطط مثل هذا في تحديد مستويات المخاطر المرتبطة بكل علاقة والتأكد من العثور على المشكلات وإصلاحها بشكل استباقي.

4. حالات الاختبار

الخطوة الثالثة التي نتبعها في اختبار برنامج الامتثال HIPAA هي بناء حالات اختبار مفصلة حيث يتم تقسيم حركات المستخدم إلى مستوى الإجراء والنتائج. دعنا نوضحها بمثال على تطبيق مواعيد الطبيب.