Technologische HIPAA-Schutzmaßnahmen für das WLAN des Krankenhauspersonals: Was die Security Rule tatsächlich fordert

Fünf technische Schutzmaßnahmen der HIPAA-Sicherheitsregel gemäß 45 CFR 164.312 gelten für das WiFi von Krankenhausmitarbeitern. Es handelt sich um Zugangskontrolle, Audit-Kontrollen, Integrität, Personen- oder Entitätsauthentifizierung und Übertragungssicherheit. Sie erfüllen diese mit 802.1X und zertifikatbasierter EAP-TLS-Identität, RADIUS Accounting als Audit-Protokoll und WPA3-Enterprise-Verschlüsselung auf jeder Mitarbeiter-SSID.

Was verlangen die technischen HIPAA-Schutzmaßnahmen vom Mitarbeiter-WiFi?

Das Mitarbeiter-WiFi ist das drahtlose Fundament eines HIPAA-konformen Netzwerks im Gesundheitswesen. Medizinisches Personal öffnet die elektronische Krankenakte auf mobilen Arbeitsstationen. Sie scannen Medikamenten-Barcodes auf Handhelds und nehmen Anrufe auf klinischen Kommunikations-Badges entgegen. Der Großteil dieses Datenverkehrs läuft über eine Mitarbeiter-SSID. Das Mitarbeiter-WiFi von Purple behandelt diese SSID als Identitätsebene und nicht als Passwort - und die Sicherheitsregel drängt Sie in dieselbe Richtung.

Die Sicherheitsregel schützt elektronische geschützte Gesundheitsdaten (ePHI), die Sie erstellen, empfangen, verwalten oder übertragen (45 CFR 164.306(a)). Sie unterteilt die Anforderungen in administrative, physische und technische Schutzmaßnahmen. Die technischen Schutzmaßnahmen umfassen fünf Standards. Ihr Mitarbeiter-WLAN überträgt ePHI, sodass alle fünf die drahtlose Ebene betreffen.

Zwei Begriffe sind wichtig, bevor Sie weiterlesen. Eine "erforderliche" Umsetzungsanforderung muss wie vorgegeben implementiert werden. Eine "adressierbare" Anforderung muss implementiert werden, wenn dies angemessen und zweckmäßig ist. Ist dies nicht der Fall, dokumentieren Sie die Gründe und ergreifen eine gleichwertige Maßnahme (45 CFR 164.306(d)). Adressierbar bedeutet nicht optional, und bei einer offenen Funkverbindung gibt es selten ein glaubwürdiges Argument gegen eine Verschlüsselung.

Im Januar 2025 veröffentlichte das HHS einen Entwurf für eine Regelung, die die Kategorie der adressierbaren Anforderungen aufheben würde. Damit würden die Verschlüsselung von ePHI bei der Übertragung und die Multi-Faktor-Authentifizierung zur Pflicht. Überprüfen Sie den Status, wenn Sie Ihre nächste Risikoanalyse durchführen. Wer sich schon jetzt am strengeren Text orientiert, vermeidet später eine zweite Migration.

Warum erfüllt ein gemeinsam genutztes WiFi-Passwort nicht die Sicherheitsregel?

Ein WPA2-PSK-Netzwerk (Pre-Shared Key) authentifiziert das Passwort, nicht die Person. Jede Pflegekraft, jeder Transporteur, jeder Vertretungsarzt und jeder externe Dienstleister, der es kennt, sieht für das Netzwerk identisch aus. Die "Eindeutige Benutzeridentifikation" gemäß 164.312(a)(2)(i) ist eine erforderliche Vorgabe. Sie verlangt von Ihnen, jeder Person einen eindeutigen Namen oder eine eindeutige Nummer zuzuweisen, damit Sie diese identifizieren und ihre Aktivitäten nachverfolgen können. Ein gemeinsam genutztes Passwort kann das nicht leisten, und keine Dokumentation ändert etwas an dieser Tatsache.

Das Versagen erstreckt sich auch auf die anderen Standards:

• Audit-Kontrollen. Das Protokoll erfasst eine MAC-Adresse und eine IP-Zuweisung, aber kein benanntes Personalmitglied. Aktuelle iOS- und Android-Versionen randomisieren MAC-Adressen standardmäßig, was selbst diese Information schwächt.
• Personen- oder Entitätsauthentifizierung. Das Wissen um ein Passwort beweist nichts über die Identität. Passwörter werden über Klebezettel, Schichtpläne und Gruppennachrichten weitergegeben.
• Übertragungssicherheit. Jeder, der den Passsatz besitzt und den Four-Way-Handshake eines Geräts abfängt, kann dessen Session Keys ableiten. Dadurch kann der Datenverkehr dieses Geräts entschlüsselt werden. Ein ehemaliger Mitarbeiter mit dem alten Passsatz bleibt innerhalb der Verschlüsselungsgrenze.
• Kündigung. 164.308(a)(3)(ii)(C) sieht vor, dass der Zugriff endet, wenn das Beschäftigungsverhältnis endet. Bei einem gemeinsam genutzten Schlüssel bedeutet das Entfernen einer Person, dass der Schlüssel für alle geändert werden muss.

Dieser letzte Punkt macht die PSK-Rotation zu einer reinen Farce. Die Rotation stört jedes Gerät, weshalb sie selten durchgeführt wird. Jeder Mitarbeiter, der das Unternehmen zwischen den Rotationen verlässt, behält den Zugriff.

Wie lassen sich die fünf Standards auf WLAN-Kontrollen übertragen?

Zugriffskontrolle - 164.312(a)(1)

Der Standard beschränkt den Zugriff auf ePHI auf Personen und Software, denen Zugriffsrechte gewährt wurden. Auf der Drahtlosschicht ist IEEE 802.1X die Implementierung. Es handelt sich um einen portbasierten Zugriffskontrollstandard, der jedes Gerät vom Netzwerk fernhält, bis es seine Identität nachweist. Ein RADIUS-Server (Remote Authentication Dial-In User Service) überprüft diese Identität.

Bei EAP-TLS (Extensible Authentication Protocol - Transport Layer Security) ist die Identität ein X.509-Zertifikat, das für eine namentlich genannte Person oder ein verwaltetes Gerät ausgestellt wurde. RADIUS gibt dann eine Richtlinie zurück: VLAN, Rolle und Zugriffsliste. Eine Stationspflegekraft landet auf dem klinischen VLAN. Ein Dienstleister für Gebäudemanagement landet auf einem Segment, das nur das Gebäudemanagement erreicht.

Zwei weitere Spezifikationen betreffen WiFi. Automatische Abmeldung (adressierbar) entspricht Sitzungs-Timeouts und Re-Authentifizierungsintervallen. Notfallzugriff (erforderlich) bedeutet ein dokumentierter Plan für den Fall, dass der RADIUS-Dienst nicht erreichbar ist.

Worauf der Auditor achtet: Ihre Zugriffskontrollrichtlinie, eine Liste aller SSIDs mit deren Authentifizierungsmethode und wie eine Person Zugriff erhält und verliert. Richten Sie sich darauf ein, zu belegen, dass keine SSID, die ePHI überträgt, einen gemeinsam genutzten Schlüssel verwendet.

Audit-Kontrollen - 164.312(b)

Der Standard fordert Mechanismen zur Aufzeichnung und Überprüfung von Aktivitäten in Systemen, die ePHI enthalten oder nutzen. Er enthält keine Implementierungsspezifikationen, daher liegt die Methode bei Ihnen. Für WiFi ist RADIUS Accounting (RFC 2866) das Audit-Protokoll.

Jede Sitzung erzeugt Start-, Interim-Update- und Stop-Datensätze. Die Attribute beantworten die Fragen des Auditors direkt:

• Wer: User-Name, das Zertifikat oder die Verzeichnisidentität.
• Welches Gerät: Calling-Station-Id, die MAC-Adresse des Clients.
• Wo: Called-Station-Id, der Access Point und die SSID.
• Wann und wie lange: Event-Timestamp und Acct-Session-Time.
• Warum es beendet wurde: Acct-Terminate-Cause.

Die Aufzeichnung ist die eine Hälfte des Standards. Die Überprüfung ist die andere Hälfte, und 164.308(a)(1)(ii)(D) verlangt die regelmäßige Überprüfung der Informationssystemaktivitäten. Leiten Sie Accounting-Datensätze in Ihre SIEM-Plattform (Security Information and Event Management) ein. Aniscolfend planen und dokumentieren Sie die Überprüfung.

Worauf der Auditor achtet: Einen Export für einen Stichproben-Datumsbereich und Nachweise dafür, dass jemand diesen überprüft. 164.316(b)(2)(i) verlangt eine sechsjährige Aufbewahrung der erforderlichen Dokumentation. Viele Organisationen wenden denselben Zeitraum auf Log-Nachweise an.

Integrität - 164.312(c)(1)

Der Standard schützt ePHI vor unbefugter Änderung oder Vernichtung. Auf der Funkstrecke fügt AES-CCMP jedem Frame eine Nachrichtenintegritätsprüfung hinzu. WPA3-Enterprise macht zudem Protected Management Frames (IEEE 802.11w) zur Pflicht. Diese blockieren gefälschte Deauthentifizierungs-Frames, ein häufiger Weg, um klinische Geräte aus dem Netzwerk zu werfen. Der 192-Bit-Modus von WPA3-Enterprise wechselt zu AES-GCMP-256.

TKIP, die veraltete WPA-Chiffre, basiert auf einer schwachen Integritätsprüfung. Die IEEE hat TKIP bereits in 802.11-2012 als veraltet eingestuft.

Wonach der Auditor sucht: Controller-Verschlüsselungseinstellungen, die ausschließlich AES anzeigen, deaktiviertes TKIP und aktivierten Management Frame Protection.

Authentifizierung von Personen oder Entitäten - 164.312(d)

Der Standard verlangt den Nachweis, dass eine Person oder Entität, die Zugriff sucht, auch diejenige ist, die sie vorgibt zu sein. Dies ist das Kernargument für EAP-TLS gegenüber PEAP-MSCHAPv2.

PEAP (Protected EAP) hüllt einen Austausch von Benutzername und Passwort in einen TLS-Tunnel. Wenn ein Client die Validierung des Serverzertifikats überspringt, kann ein gefälschter Access Point Ihr Netzwerk imitieren. Er erfasst den MS-CHAPv2-Austausch, der offline geknackt werden kann. Die Microsoft-Sicherheitsempfehlung 2743314 dokumentiert dies. Sie empfiehlt die Validierung von Serverzertifikaten oder den Wechsel zu einer zertifikatsbasierten Authentifizierung. Microsoft dokumentiert außerdem, dass Windows Defender Credential Guard Single Sign-On für MS-CHAPv2 mit gespeicherten Anmeldeinformationen blockiert.

EAP-TLS führt eine gegenseitige Zertifikatsauthentifizierung durch. Das Gerät weist nach, dass es einen privaten Schlüssel besitzt, und der Server beweist seine eigene Identität. Es gibt kein Passwort, das per Phishing abgefangen werden könnte. Der private Schlüssel kann nicht exportierbar im TPM (Trusted Platform Module) oder in der Secure Enclave des Geräts liegen. Medizinische Geräte gelten ebenfalls als Entitäten, und leistungsfähige Geräte können eigene Zertifikate tragen.

Wonach der Auditor sucht: Wie Sie die Identität auf jedem Zugriffsweg überprüfen. "Mitarbeiter kennen das WiFi-Passwort" ist keine gültige Antwort. Zeigen Sie das Verfahren zur Zertifikatsausstellung, verknüpft mit der HR-Einstellungsakte, sowie den Widerrufsschritt für ausscheidende Mitarbeiter.

Übertragungssicherheit - 164.312(e)(1)

Der Standard schützt vor unbefugtem Zugriff auf ePHI während der Übertragung. Seine beiden Spezifikationen, Integritätskontrollen und Verschlüsselung, sind beide umzusetzen. WPA2-Enterprise mit TKIP reicht nicht aus, da die Chiffre veraltet ist. IEEE 802.11n schließt TKIP zudem von hohen Durchsatzraten aus. WPA2-Enterprise mit AES-CCMP ist heute vertretbar. WPA3-Enterprise ist die Konfiguration, die jetzt eingesetzt werden sollte.

Die HHS-Leitlinie für Datenschutzverletzungen behandelt ePHI in Übertragung als gesichert, wenn die Verschlüsselung NIST SP 800-52, 800-77 oder 800-113 folgt. Diese Publikationen decken TLS, IPsec und SSL VPNs ab. WPA3 auf der Funkstrecke allein bringt den Datenverkehr noch nicht in diesen sicheren Hafen. TLS auf Anwendungsebene ist weiterhin wichtig.

Wonach der Auditor sucht: Verschlüsselungseinstellungen auf jeder Mitarbeiter-SSID und ein Nachweis über die Stillegung veralteter SSIDs.

Welche WLAN-Konfigurationen halten stand?

iPSK (Identity Pre-Shared Key) gibt jedem Gerät oder jeder Gerätegruppe eine eigene Passphrase auf einer einzelnen SSID.

Konfiguration	Eindeutige Identifizierung	Audit-Trail	Authentifizierung	Verschlüsselung bei der Übertragung	Audit-Bewertung
Gemeinsames WPA2-PSK, TKIP	Keine - ein gemeinsames Geheimnis	Nur MAC und IP	Kenntnis der Passphrase	Veraltete Chiffre	Nicht bestanden
Gemeinsames WPA2-PSK, AES	Keine - ein gemeinsames Geheimnis	Nur MAC und IP	Kenntnis der Passphrase	AES; jeder Schlüsselinhaber kann aufgezeichnete Sitzungen entschlüsseln	Nicht bestanden für Personalzugriff auf ePHI
iPSK pro Gerät	Pro Gerät, nicht pro Person	Benannter Geräteschlüssel	Besitz des Geräteschlüssels	AES-CCMP	Akzeptabel für bildschirmlose klinische Geräte mit dokumentierten kompensierenden Kontrollen
WPA2-Enterprise, PEAP-MSCHAPv2	Pro Person	Benutzername pro Sitzung	Passwort; gefährdet, wenn Zertifikatsvalidierung deaktiviert ist	AES-CCMP	Vertretbar mit erzwungener Validierung und einem Migrationsplan
WPA2-Enterprise, EAP-TLS	Pro Person oder Gerät	Zertifikatsidentität pro Sitzung	Gegenseitiges Zertifikat	AES-CCMP	Stark
WPA3-Enterprise, EAP-TLS	Pro Person oder Gerät	Zertifikatsidentität pro Sitzung	Gegenseitiges Zertifikat	AES-CCMP plus obligatorisches PMF	Zielkonfiguration
WPA3-Enterprise 192-Bit, EAP-TLS	Pro Person oder Gerät	Zertifikatsidentität pro Sitzung	Gegenseitiges Zertifikat, 384-Bit-ECC	AES-GCMP-256 plus PMF	Höchste Sicherheit; zuerst Geräteunterstützung prüfen

Worauf achtet ein OCR-Auditor bei einem drahtlosen Krankenhausnetzwerk?

Das HHS Office for Civil Rights (OCR) setzt HIPAA durch. Seine Überprüfungen basieren hauptsächlich auf Dokumenten. Auditoren gehen nicht mit einem Spektrumanalysator durch Ihre Stationen. Sie fordern Richtlinien, Konfigurationen und Nachweise an und prüfen dann, ob die Nachweise mit der Richtlinie übereinstimmen.

Beginnen Sie mit der Risikoanalyse. Der HIPAA-Audit-Branchenbericht 2016-2017 des OCR, veröffentlicht im Dezember 2020, ergab, dass die meisten auditierten abgedeckten Einheiten Risikoanalysen und Risikomanagement nicht effektiv umgesetzt haben. Eine Risikoanalyse, die das WLAN ausklammert, ist eine einfache Beanstandung.

Anforderung	Was das OCR sehen möchte	Drahtlos-Nachweis, der die Frage beantwortet
Risikoanalyse, 164.308(a)(1)(ii)(A)	Inventar der Systeme, die ePHI verarbeiten, und Bedrohungen für jedes einzelne	Jede SSID, ihre Authentifizierungsmethode, VLAN und Geräteklassen
Zugriffskontrolle, 164.312(a)(1)	Nachweis, dass jede Person eine eindeutige Kennung hat	802.1X- und EAP-TLS-Konfiguration; keine SSIDs mit gemeinsam genutztem Schlüssel, die ePHI übertragen
Audit-Kontrollen, 164.312(b)	Protokolle und Nachweise der Überprüfung	RADIUS Accounting-Export für einen Stichprobenzeitraum; SIEM-Überprüfungsnachweise
Integrität, 164.312(c)(1)	Wie ePHI vor Veränderung geschützt wird	Controller-Chiffre-Einstellungen: Nur AES, PMF erforderlich
Authentifizierung, 164.312(d)	Wie die Identität auf jedem Pfad überprüft wird	Zertifikatsausstellung und -widerrufsverfahren verknüpft mit HR-Datensätzen
Übertragungssicherheit, 164.312(e)(1)	Verschlüsselungsentscheidung mit Begründung, falls nicht umgesetzt	WPA3-Enterprise-Konfiguration und Nachweis der Außerbetriebnahme veralteter SSIDs
Beendigung, 164.308(a)(3)(ii)(C)	Nachweis, dass Ausscheidende den Zugriff verlieren	Widerrufs-Zeitstempel abgeglichen mit HR-Austrittsdaten

Rchnen Sie auch mit Fragen zum Patienten- und Besuchernetzwerk. Prüfer möchten sicherstellen, dass dieses keinen Zugriff auf ePHI hat.

Wo ordnen sich medizinische Geräte und Patienten-WiFi neben dem Mitarbeiter-WiFi ein?

Fallen Infusionspumpen und Bildgebungsgeräte in den Anwendungsbereich?

Das ist die Frage zur Abgrenzung, über die viele IT-Teams im Gesundheitswesen stolpern. Der Maßstab ist, ob das Gerät ePHI erstellt, empfängt, verwaltet oder überträgt. Intelligente Infusionspumpen, die patientenbezogene Verordnungen mit der elektronischen Krankenakte austauschen, fallen in den Anwendungsbereich. Das gilt auch für Bildgebungsmodalitäten, die DICOM-Studien an PACS senden, und Telemetriemonitore, die an eine Zentrale streamen. Ein Temperaturlogger für Impfstoffkühlschränke überträgt keine Patientendaten und liegt außerhalb des ePHI-Anwendungsbereichs.

Die Schwierigkeit besteht darin, dass viele betroffene Geräte kein 802.1X, EAP-TLS oder WPA3 ausführen können. Die Pre-Market-Cybersecurity-Richtlinie der FDA von 2023 gilt für Anträge neuer Geräte. Ihre installierte Basis bleibt, wie sie ist.

Wie VLAN-Segmentierung das Risiko eindämmt

Ein VLAN (Virtual LAN) ist ein logisch getrenntes Netzwerksegment auf gemeinsamer Hardware. Platzieren Sie klinisches IoT auf dedizierten SSIDs oder iPSK-Gruppen, die einer VLAN pro Geräteklasse zugewiesen sind. Firewall-Regeln erlauben jeder Klasse dann nur den Zugriff auf ihre benannten Server, wie den Pumpenserver oder PACS. Mitarbeitergeräte können Pumpen nicht direkt erreichen, und Pumpen können das Mitarbeiter-VLAN nicht erreichen.

Die Veröffentlichung "Health Industry Cybersecurity Practices" der HHS 405(d) empfiehlt die Segmentierung medizinischer Geräte von allgemeinen Netzwerken. Erfassen Sie die Segmentierung in Ihrer Risikoanalyse als kompensierende Steuerung für Geräte, die sich nicht per Zertifikat authentifizieren können. Bewahren Sie RADIUS-Protokolle auch für iPSK- und MAC-authentifizierte Geräte auf, damit jede Geräteklasse im Audit-Log erscheint.

Das Patienten- und Besuchernetzwerk

Ihr Patienten- und Besuchernetzwerk überträgt keine ePHI, erfasst aber personenbezogene Daten am Captive Portal. Ein Captive Portal ist die Webseite, die ein Besucher sieht, bevor er online geht. Prüfer werden fragen, wie dieses Netzwerk von klinischen Segmenten isoliert ist. SecurePass, das Sicherheits-Add-on für Purple Guest WiFi, bringt denselben identitätsbasierten Ansatz für Patienten und Besucher.

Zwei Praxisszenarien

Ein Bezirkskrankenhaus schafft seine geteilte Mitarbeiter-Passphrase ab

Situation. Betrachten wir ein kommunales Krankenhaus mit 350 Betten. Seine Mitarbeiter-SSID nutzte WPA2-PSK, und die Passphrase wurde jahrelang mit Zeitarbeitskräften aus der Pflege geteilt. Infusionspumpen befanden sich im selben Netzwerk. Die jährliche Risikoanalyse ergab, dass die eindeutige Identifizierung nicht erfüllt war.

Was getan wurde. Verwaltete Workstations und Handhelds wurden auf EAP-TLS umgestellt, wobei Zertifikate über die MDM-Plattform für Microsoft Entra ID-Identitäten ausgestellt wurden. Die RADIUS-Richtlinie wies VLANs nach Entra ID-Gruppe zu. Abrechnungsprotokolle wurden an das SIEM gestreamt, verbunden mit einer wöchentlichen dokumentierten Überprüfung. Pumpen wurden auf iPSK in einem isolierten VLAN umgestellt, mit Zugriff ausschließlich auf den Pumpenserver. Private Smartphones der Mitarbeiter wurden in eine reine Internet-SSID verschoben.

Ergebnis. Shared Secrets in Netzwerken mit ePHI sanken von zwei auf null. "Wer war um 02:00 Uhr am Access Point des Medikamentenraums?" wurde zu einer einzigen SIEM-Abfrage. Zuvor bedeutete dies, DHCP-Leases manuell mit Ausweisprotokollen abzugleichen. Ausscheidende Mitarbeiter verlieren nun den Zugriff, wenn ihr Zertifikat widerrufen und die Entra ID-Gruppenmitgliedschaft entfernt wird. Kein anderes Gerät ist davon betroffen.

Eine Apothekenkette vereinheitlicht den Personalzugang in 60 Filialen

Situation. Betrachten Sie eine regionale Apothekenkette mit 60 Filialen, die jeweils über eine Rezeptur und einen Behandlungsraum verfügen. Apotheken sind von HIPAA betroffene Einheiten. Kartenzahlungen bringen zudem PCI-DSS ins Spiel. Jede Filiale nutzte ein einziges Shared Passphrase für Terminal-Computer, Tablets und Diensttelefone. Neuere Filialen nutzten Cisco Meraki, ältere Filialen Ubiquiti UniFi.

Was getan wurde. Jede Filiale erhielt eine 802.1X-Personal-SSID mit EAP-TLS, authentifiziert über einen zentralen Cloud-RADIUS-Dienst. Es wurden keine Access Points ausgetauscht. Abrechnungsdaten flossen in ein zentrales Protokoll. Einzelhandelskunden blieben in einem separaten Gäste-WiFi.

Ergebnis. Shared Passphrases auf Filialebene sanken von 60 auf null, ebenso wie die Einsätze zur Passphrase-Rotation. Ein einziges Steuerungsset erfüllt nun die Anforderungen der HIPAA für eindeutige Identifikation und die PCI-DSS v4.0-Anforderung 8.2.1, die eine eindeutige ID für jede Person vorschreibt.

Wo liegen die Grenzen von WLAN-Kontrollen bei einer HIPAA-Risikoanalyse?

WiFi-Kontrollen schützen einen einzelnen Hop. EHR-Zugriffskontrollen, TLS auf Anwendungsebene und Endpunkte its-Verschlüsselung tragen den Rest der Last. HIPAA ist technologieneutral und nennt kein bestimmtes WLAN-Protokoll, daher muss Ihre Risikoanalyse jede Entscheidung begründen.

Legacy-Geräte bilden die Untergrenze. Der WPA3-Enterprise-Übergangsmodus hält WPA2-Clients verbunden, belässt aber auch WPA2-Schwachstellen auf dieser SSID. Betreiben Sie eine reine WPA3-SSID für fähige Geräte und nehmen Sie die Übergangs-SSID nach einem festen Zeitplan außer Betrieb.

Zertifikate benötigen einen Lebenszyklus. Ein abgelaufenes RADIUS-Serverzertifikat nimmt alle Clients gleichzeitig offline. Automatisieren Sie die Erneuerung und überwachen Sie Ablaufdaten.

Roaming erfordert Feineinstellung. Ein vollständiger 802.1X-Austausch an jedem Access Point sorgt für Verzögerungen, die Sprach-Badges zuerst bemerken. Fast BSS Transition (802.11r) verkürzt dies. Siehe 802.11r und 802.11k auf Android: Fast-Roaming-Bereitstellung auf Cisco Meraki, HPE Aruba und Ubiquiti UniFi. Für Meraki-Umgebungen siehe Cisco Meraki 802.11r adaptive vs enabled: Roaming-Probleme auf MR Access Points beheben.

Schließlich weist das US-Gesetz Public Law 116-321 das HHS an, anerkannte Sicherheitspraktiken zu berücksichtigen, die Sie in den vorangegangenen 12 Monaten angewendet haben, wenn Strafen festgelegt werden. Die Zuordnung Ihrer WLAN-Kontrollen zu den 405(d)-Praktiken hilft hierbei.

Was sollten Sie vor Ihrer nächsten Risikoanalyse tun?

1. Erfassen Sie jede SSID, ihre Authentifizierungsmethode, Verschlüsselung und VLAN.
2. Klassifizieren Sie Geräte als verwaltetes Personal, privates Personal, klinisches IoT oder Gast.
3. Migrieren Sie verwaltete Geräte zu EAP-TLS, wobei die Richtlinien durch Verzeichnisgruppen gesteuert werden.
4. Deaktivieren Sie TKIP, erzwingen Sie PMF und planen Sie WPA3-Enterprise ein.
5. Streamen Sie RADIUS-Accounting in Ihr SIEM, dokumentieren Sie die Überprüfung und legen Sie Aufbewahrungsfristen fest.
6. Segmentieren Sie klinische IoT-Geräte nach Geräteklasse und dokumentieren Sie kompensierende Kontrollen.
7. Revalidieren Sie die Abdeckung nach Änderungen an Verschlüsselungen und SSIDs. WiFi Site Surveys: A Practical Planning Guide beschreibt die Methode.
8. Halten Sie jede Entscheidung in der Risikoanalyse fest, inklusive beigefügter Nachweise.

Staff WiFi von Purple bietet 802.1X mit EAP-TLS, personenspezifische VLAN-Richtlinien und zentralisiertes Cloud-RADIUS-Accounting. Es setzt als Zusatzschicht auf Hardware von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet auf. Microsoft Entra ID, Okta und Google Workspace steuern die Prozesse für neue, wechselnde und ausscheidende Mitarbeiter. Purple ist ISO 27001-zertifiziert und wird an über 80.000 aktiven Standorten eingesetzt, mit 440 Millionen Anmeldungen im Jahr 2024 (Purple-Daten). Lesen Sie mehr auf unserer Healthcare-Seite und unter Why your next WiFi upgrade doesn't need new hardware.

Siehe auch die Übersicht zu Staff WiFi von Purple, SecurePass für das Patienten- und Besuchernetzwerk sowie unsere Compliance-Leitfäden für Staff WiFi nach ISO 27001 und SOC 2, falls Sie mehrere Frameworks gleichzeitig anwenden.

Häufig gestellte Fragen

Erfordert HIPAA WPA3-Enterprise, oder ist WPA2-Enterprise akzeptabel?

Nein, HIPAA nennt weder WPA3-Enterprise noch ein anderes Protokoll explizit. WPA2-Enterprise mit AES-CCMP und EAP-TLS bleibt in einer Risikoanalyse weiterhin vertretbar. WPA2 mit TKIP ist es nicht, da die IEEE diese Verschlüsselung bereits in 802.11-2012 verabschiedet hat. Richten Sie WPA3-Enterprise auf neuen Mitarbeiter-SSIDs ein, sofern die Geräte dies unterstützen, und dokumentieren Sie einen datierten Plan für den Rest. Das vorgeschlagene Update der HHS Security Rule würde eine Verschlüsselung bei der Übertragung zur Pflicht machen - planen Sie daher bereits jetzt nach diesem Standard.

Können wir ein gemeinsam genutztes Passwort für Mitarbeiter beibehalten, wenn wir es in der Risikoanalyse dokumentieren?

Nein, nicht für den Mitarbeiterzugriff auf ePHI. Die eindeutige Benutzeridentifikation gemäß 164.312(a)(2)(i) ist eine verbindliche Vorgabe, die nicht durch Dokumentation ersetzt werden kann. Ein gemeinsam genutztes Passwort identifiziert niemanden, und jeder ausscheidende Mitarbeiter behält den Zugriff bis zur nächsten Änderung. Gemeinsame oder gerätespezifische Schlüssel bleiben nur für headless-klinische Geräte akzeptabel. Diese Geräte benötigen zudem eine VLAN-Segmentierung und die in Ihrer Risikoanalyse festgelegten kompensierenden Kontrollen.

Benötigen wir neue Access Points, um auf 802.1X und EAP-TLS umzusteigen?

Nein, 802.1X und EAP-TLS laufen auf den Enterprise Access Points, die die meisten Krankenhäuser bereits besitzen. Das Cloud-RADIUS von Purple funktioniert mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Die Arbeit liegt in der Zertifikatsausstellung, der Verzeichnisintegration und den RADIUS-Richtlinien, nicht in der Hardware. Planen Sie eine Funkprüfung nur dann ein, wenn Sie gleichzeitig auf WPA3 umsteigen, da ältere Access Points möglicherweise Firmware-Updates benötigen.

Wie lange sollten wir WLAN-Zugriffsprotokolle für HIPAA aufbewahren?

Bewahren Sie diese sechs Jahre lang auf, wenn Sie einen rechtssicheren Standard anstreben. Die Dokumentationsregel von HIPAA gemäß 164.316(b)(2)(i) schreibt eine sechsjährige Aufbewahrungsfrist für erforderliche Dokumentationen vor. Viele Organisationen wenden denselben Zeitraum auf die dahinterliegenden Audit Log Nachweise an. Bestätigen Sie den Zeitraum mit Ihrer Compliance Leitung, da staatliche Gesetze längere Fristen vorschreiben können. Speichern Sie RADIUS Accounting Datensätze in einem System, das Sie nach Person, Gerät und Datumsbereich abfragen können.

Fallen medizinische Geräte im WiFi unter die technischen Schutzmaßnahmen?

Ja, wenn das Gerät ePHI erstellt, empfängt, verwaltet oder überträgt. Intelligente Infusionspumpen, die mit der elektronischen Patientenakte verknüpft sind, Bildgebungsmodalitäten, die Studien an PACS senden, und Telemetriemonitore erfüllen alle diese Voraussetzungen. Geräte, auf denen EAP-TLS nicht ausgeführt werden kann, gehören auf dedizierte VLANs und sollten nach Möglichkeit iPSK nutzen. Firewall Regeln sollten jede Geräteklasse auf ihre benannten Server beschränken. Erfassen Sie die Segmentierung als kompensierende Maßnahme in Ihrer Risikoanalyse.

Wird ein OCR Auditor nach unserem Patienten und Besucher WiFi fragen?

Ja, rechnen Sie mit Fragen zum Patienten und Besuchernetzwerk neben dem Mitarbeiter WiFi. Auditoren verlangen den Nachweis, dass dieses keine klinischen Segmente mit ePHI erreichen kann. Sie können auch fragen, wie das Captive Portal mit personenbezogenen Daten umgeht. Zeigen Sie das Netzwerkdesign, die Firewall Regeln und die bei der Anmeldung erfassten Daten. SecurePass, das Sicherheits Add-on für Purple Guest WiFi, erweitert den identitätsbasierten Zugriff auf Patienten und Besucher.

Lässt sich Purple mit Microsoft Entra ID, Okta und Google Workspace integrieren?

Ja, Staff WiFi von Purple lässt sich mit Microsoft Entra ID, Okta und Google Workspace integrieren. Verzeichnisgruppen steuern die RADIUS Richtlinie, sodass die Rolle einer Person entscheidet, welches VLAN sie erreicht. Neue Mitarbeiter erhalten Zugriff, sobald sie der richtigen Gruppe hinzugefügt werden. Bei Rollenwechseln ändert sich das VLAN, wenn sich ihre Gruppe ändert. Ausscheidende Mitarbeiter verlieren den Zugriff, wenn Sie deren Zertifikat widerrufen und ihre Gruppenmitgliedschaft entfernen - wobei jeder Schritt für den Audit Trail protokolliert wird.