Como cumprir a HIPAA em testes de software?

Isenção de responsabilidade – O artigo cobre apenas as principais áreas de teste de software de conformidade com a HIPAA e não elementos como proteções físicas, como a não implantação de software em estações de trabalho com telas abertas. Além disso, observe que a estratégia dependerá dos requisitos do aplicativo, o que significa que não será aplicável a todos os aplicativos.

As organizações de saúde estão sendo vítimas de instâncias de violação de dados em grande escala em um ritmo alarmante. Um exemplo notável disso pode ser visto na instância de ataque do ransomware Yuma Regional Medical Center, que expôs os dados de mais de 700.000 indivíduos em abril de 2022. O número crescente de casos de violação de dados também é evidente no gráfico abaixo.

Com os números cada vez mais preocupantes ano após ano, as organizações médicas estão se voltando para software construído com medidas de proteção de dados invioláveis ​​para armazenar e transmitir seus dados médicos. As organizações estão aderindo a todos os requisitos de conformidade com a HIPAA, além de dedicar um tempo significativo para garantir a solidez e a segurança do software de assistência médica desenvolvido .

Isso coloca muito foco no teste de software compatível com HIPAA. O que aconteceria se você não testasse o software de assistência médica com foco na conformidade com a HIPAA? A não conformidade com o teste de software HIPAA abrirá o aplicativo para vazamentos de dados e seu uso ilegal. Além disso, levará a severas punições do Departamento de Saúde e Serviços Humanos dos EUA.

Esta é a razão pela qual é necessário que sua equipe de desenvolvimento de software de assistência médica gaste tempo na criação de um aplicativo compatível com HIPAA com maior foco no teste de software.

Na Appinventiv, em nosso papel como empresa de desenvolvimento de software de saúde , desenvolvemos, testamos e implantamos com sucesso aplicativos de saúde que atingem várias partes interessadas, sem uma única instância de violação.

Neste artigo, discutiremos as várias maneiras de verificar a conformidade com a HIPAA em seu aplicativo por meio de testes. Mas primeiro vamos ver por que construir um software compatível com HIPAA está se tornando cada vez mais difícil.

Por que é difícil criar um software compatível com HIPAA?

Embora todo provedor de serviços de saúde mantenha a segurança em foco para garantir a conformidade com a HIPAA, a complexidade do setor é tamanha que há momentos em que alguns elementos permanecem sem solução. Aqui está o que normalmente acontece na ausência de uma lista de verificação de software de conformidade HIPAA.

• Muitos dados para proteger

Antes de fazer uma estrutura em torno da proteção de dados, os desenvolvedores precisam ter um entendimento completo do que constitui informação sensível. No sistema de saúde, avaliar isso pode ser difícil porque os dados são armazenados em diferentes formatos em vários locais, como locais de armazenamento físico, sistemas EHR, data centers, dispositivos móveis, escritórios de fornecedores, etc.

• Falta de recursos em conformidade com a HIPAA

Construir um software verdadeiramente compatível com HIPAA exige a adição de advogados, arquitetos de sistema, especialistas em segurança cibernética e especialistas médicos na equipe. Todos eles contribuem com amplo conhecimento e tempo no projeto - algo que nem sempre é possível devido ao custo e cronograma fixos de desenvolvimento de aplicativos de saúde .

• Múltiplas plataformas de acesso a dados

Todas as plataformas do sistema de saúde devem ser protegidas com uma medida de segurança unificada. No entanto, uma infraestrutura hospitalar consiste em endpoints de usuários reais e digitais, data centers, servidores, recursos de nuvem, etc. Para criar uma infraestrutura de segurança unificada, é necessário examinar o desenvolvimento de MDM para proteger dados confidenciais.

• Flexibilidade reduzida

O software criado com vários requisitos de segurança em mente pode ser rígido por natureza. No entanto, as organizações de saúde precisam de flexibilidade para poder gerenciar as experiências de pacientes e médicos. Isso leva a uma situação em que os desenvolvedores precisam gerenciar a flexibilidade e a conformidade com a HIPAA sem comprometer a experiência de assistência médica.

• Necessidade de reavaliar a implementação da HIPAA

O teste de conformidade HIPAA não termina com a implantação do aplicativo. Vários elementos, como ameaças de segurança cibernética, requisitos HIPAA e as necessidades de TI da organização de assistência médica, estão em constante mudança e, para garantir que seu software permaneça em conformidade, você precisará realizar auditorias regulares e atualizações de documentos.

Agora que analisamos os elementos que dificultam a criação de um aplicativo compatível com HIPAA, é hora de examinar as soluções também, examinando as áreas de teste de software de conformidade com HIPAA e, em seguida, as formas que respondem, qual é o processo de Teste de conformidade HIPAA?

Estratégias e áreas para teste de software HIPAA

Para facilitar a compreensão, normalmente dividimos o teste de software de conformidade HIPAA em 5 áreas principais. Saber quais são essas áreas é importante para responder. Como você garante que o software seja compatível com HIPAA?

Autenticação de usuário

Normalmente, a autenticação do usuário pode ser qualquer uma delas – baseada em propriedade, como cartões de identificação, baseada em conhecimento, como ID/senha do usuário, e baseada em biometria, como impressão digital ou digitalização facial. O teste de software nesta frente vai além de garantir um caminho de login bem-sucedido para cada função e analisa –

• Falha de login devido a –
  • ID de usuário e senha vazios
  • ID de usuário e senha inválidos
  • Conta expirada ou bloqueada
• conta bloqueada
• Login bem-sucedido após alteração de senha
• Tempo limite de ociosidade de login
• Dados de login não armazenados na memória do aplicativo

Além disso, é útil criar uma estrutura padrão dos dados do teste, por exemplo, <PatientFirstName><PatientLastName><TestName><Date><Time>. Isso ajudará a identificar usuários perfeitamente.

Divulgação de informação

A divulgação de informações geralmente funciona com duas categorias – acesso baseado em funções e alocação de pacientes. No primeiro, os usuários são agrupados em classes lógicas com níveis de acesso específicos e, no segundo, o supervisor designa os pacientes a uma operadora de saúde por um horário específico.

Será útil projetar casos de teste que especifiquem quem pode visualizar/modificar/adicionar/excluir informações que não foram acessadas por eles. Além disso, você deve criar uma prática em que, assim que o aplicativo for desinstalado, todas as informações do EPHI sejam removidas e excluídas do sistema. A divulgação adequada de informações deve ser uma parte fundamental da lista de verificação de software de conformidade HIPAA.

Trilhas de auditoria

Ao examinar as trilhas de auditoria que fazem parte do teste de software HIPAA, aqui estão os fatores que devem ser analisados.

• Cada entrada de trilha de auditoria deve ter as seguintes informações –
  • Data e hora da ação
  • Id ou nome do usuário que executa a ação
  • Nível de acesso do usuário
  • O ID do registro do paciente no qual a ação ocorreu
  • A ação que foi executada ou tentada
  • O evento específico a partir do qual foi realizado (por exemplo, pagamento ou prontuário do paciente)
  • O local ou id do sistema através do qual a ação aconteceu

• As entradas devem estar em conformidade com os requisitos de segurança do software e a trilha de auditoria deve ser feita para ser facilmente rastreada para investigação futura.
• As entradas não devem ser removidas da trilha de auditoria.
• A trilha de auditoria deve ser projetada para ser visualizada por contas de usuário específicas.
• Todas as tentativas de violação de segurança devem ser monitoradas na trilha de auditoria.
• A trilha de auditoria deve ser criptografada.

transferências de dados

A transferência de dados é outra área importante do teste de conformidade HIPAA, onde a segurança deve ser garantida durante –

• Acesso a dados entre dispositivos físicos e móveis onde o aplicativo está instalado
• Transferência de dados para dispositivo externo e localização
• Movimentação de dados para o local de armazenamento off-line.

Durante as transferências de dados, também é importante observar que normalmente os dados serão criptografados (que só seriam descriptografados pelos usuários autorizados). Aqui estão as melhores práticas de criptografia de dados que devem fazer parte dos requisitos de conformidade da HIPAA.

• Proteja as chaves de criptografia para impedir que usuários não autorizados usem os dados do sistema.
• Criptografe dados confidenciais, independentemente de onde eles foram armazenados dentro do sistema.
• Analise regularmente o desempenho do algoritmo durante a criptografia de dados.

Informações sobre o uso correto de dados

Por fim, o aplicativo deve fornecer detalhes de uso de dados antes de acessá-los. Com base no aplicativo, pode ser na forma de uma página de ajuda para cada operação que inclui EPHI ou criando uma versão de treinamento do aplicativo que permite aos usuários ver como o software funciona antes de dar acesso ao EPHI de acumulação.

Então, aqui estão as 5 áreas críticas do teste de software de conformidade HIPAA, mas como podemos garantir que ele seja aplicado no processo de desenvolvimento de aplicativos de assistência médica?

Quais são as etapas para alcançar e manter a conformidade com a HIPAA no teste de software?

Vamos descobrir em nossa próxima seção.

Etapas para alcançar e manter a conformidade com HIPAA em testes de software

Na Appinventiv, quando criamos um aplicativo de assistência médica, tornamos os requisitos de software HIPAA parte do ciclo de desenvolvimento de ponta a ponta, especificamente testes. Aqui estão algumas maneiras de garantir o mesmo.

1. Controle de acesso

De acordo com os requisitos de conformidade da HIPAA, qualquer usuário só deve ter permissão para acessar as informações necessárias para concluir uma tarefa específica. Alcançar este nível estrito de controle de acesso pode ser alcançado através dos seguintes sete modos:

• Uma lista de controle de acesso que dá ao usuário acesso a módulos/aplicativos/áreas específicos.
• Um nome e número distintos para identificar e rastrear a identidade de cada usuário dentro do sistema.
• Acesso orientado pelo usuário que requer autenticação de dois fatores para entrar no sistema.
• Acesso orientado por função que depende da função dos usuários para localizar e decidir os direitos de acesso.
• Acesso orientado ao contexto que limita o acesso a horários ou datas específicos em uma rede ou sistema de informação específico.
• Processo dedicado para uma situação de emergência para coletar ePHI críticos.
• Processos eletrônicos que obrigarão ao logoff automático da sessão eletrônica após um tempo de inatividade pré-definido.
• Criptografe e descriptografe o ePHI.

2. Teste de sanidade

A primeira parte do protocolo de teste de software HIPAA que seguimos é executar um teste de sanidade em que procuramos defeitos nos padrões de conformidade HIPAA do aplicativo. Envolve olhar para áreas como –

• Para cada função ou relacionamento de alto risco, verificamos se o usuário de uma função específica é capaz de se autenticar facilmente, tem acesso de exibição, modificação e exclusão ou acesso zero à operação específica do componente do aplicativo. Depois que todas as ações são executadas, elas são registradas na trilha de auditoria.
• As criptografias são verificadas para áreas como entradas de trilha de auditoria e EPHI no banco de dados.

3. Matriz de funções

Assumindo que o aplicativo usa acesso baseado em funções, torna-se importante identificar as funções no sistema e o nível de acesso que elas podem ter no aplicativo. Essa etapa geralmente é realizada conversando com os clientes que nos informam o nível de risco com base na divulgação de informações, a frequência de uso, a chance de erro e o impacto do erro.

Quando executamos testes de sanidade, um gráfico como este ajuda a identificar os níveis de risco associados a cada relacionamento e garante que os problemas sejam encontrados e corrigidos de forma proativa.

4. Casos de teste

A terceira etapa que seguimos no teste de software de conformidade HIPAA é criar casos de teste detalhados nos quais os movimentos do usuário são divididos em nível de ação e resultados. Vamos detalhá-lo com um exemplo de aplicativo de consulta médica.