अस्पताल के कर्मचारियों के WiFi के लिए HIPAA तकनीकी सुरक्षा उपाय: Security Rule वास्तव में क्या आवश्यक बनाता है

45 CFR 164.312 पर पांच HIPAA सुरक्षा नियम तकनीकी सुरक्षा मानक अस्पताल के कर्मचारियों के WiFi पर लागू होते हैं। वे एक्सेस कंट्रोल, ऑडिट कंट्रोल, इंटीग्रिटी, व्यक्ति या संस्था प्रमाणीकरण और ट्रांसमिशन सुरक्षा हैं। आप उन्हें 802.1X और प्रमाणपत्र-आधारित EAP-TLS पहचान, ऑडिट लॉग के रूप में RADIUS Accounting, और प्रत्येक स्टाफ SSID पर WPA3-Enterprise एन्क्रिप्शन के साथ पूरा करते हैं।

HIPAA तकनीकी सुरक्षा उपायों को स्टाफ WiFi से क्या आवश्यकताएं हैं?

स्टाफ WiFi एक HIPAA-अनुपालन वाले स्वास्थ्य सेवा नेटवर्क की वायरलेस नींव है। चिकित्सक पहियों पर बने वर्कस्टेशन पर इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड खोलते हैं। वे हैंडहेल्ड उपकरणों पर दवा के बारकोड स्कैन करते हैं और नैदानिक संचार बैज पर कॉल लेते हैं। वह अधिकांश ट्रैफ़िक एक स्टाफ SSID को पार करता है। Purple का स्टाफ WiFi उस SSID को पासवर्ड के बजाय एक पहचान परत के रूप में मानता है, और सुरक्षा नियम आपको उसी दिशा में आगे बढ़ाता है।

सुरक्षा नियम इलेक्ट्रॉनिक संरक्षित स्वास्थ्य जानकारी (ePHI) की सुरक्षा करता है जिसे आप बनाते हैं, प्राप्त करते हैं, बनाए रखते हैं या प्रसारित करते हैं (45 CFR 164.306(a))। यह आवश्यकताओं को प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपायों में विभाजित करता है। तकनीकी सुरक्षा उपायों में पांच मानक शामिल हैं। आपका स्टाफ WLAN ePHI प्रसारित करता है, इसलिए ये पांचों वायरलेस परत तक पहुंचते हैं।

आगे पढ़ने से पहले दो शब्द मायने रखते हैं। एक "आवश्यक" (required) कार्यान्वयन विनिर्देश को लिखे अनुसार लागू किया जाना चाहिए। एक "संबोधनीय" (addressable) को तब लागू किया जाना चाहिए यदि वह उचित और उपयुक्त हो। यदि ऐसा नहीं है, तो आप दस्तावेज प्रस्तुत करते हैं कि क्यों और एक समतुल्य उपाय अपनाते हैं (45 CFR 164.306(d))। संबोधनीय वैकल्पिक नहीं है, और एक खुले रेडियो लिंक पर एन्क्रिप्शन के खिलाफ शायद ही कोई विश्वसनीय तर्क होता है।

जनवरी 2025 में, HHS ने प्रस्तावित नियम निर्माण का एक नोटिस प्रकाशित किया जो संबोधनीय श्रेणी को हटा देगा। यह पारगमन में ePHI के एन्क्रिप्शन और मल्टी-फैक्टर प्रमाणीकरण को अनिवार्य बना देगा। जब आप अपने अगले जोखिम विश्लेषण का दायरा तय करें तो इसकी स्थिति की जांच करें। अभी सख्त पाठ के अनुसार डिज़ाइन करने से बाद में दूसरे माइग्रेशन से बचा जा सकता है।

एक साझा WiFi पासफ़्रेज़ सुरक्षा नियम में विफल क्यों होता है?

एक WPA2-PSK (प्री-शेयर कुंजी) नेटवर्क व्यक्ति का नहीं, बल्कि पासफ़्रेज़ का प्रमाणीकरण करता है। इसे जानने वाला हर नर्स, पोर्टर, एजेंसी लोकम और ठेकेदार नेटवर्क के लिए समान दिखता है। 164.312(a)(2)(i) पर "अद्वितीय उपयोगकर्ता पहचान" एक आवश्यक विनिर्देश है। यह आपसे प्रत्येक व्यक्ति को एक विशिष्ट नाम या संख्या प्रदान करने के लिए कहता है, ताकि आप उनकी पहचान कर सकें और उनकी गतिविधि का अनुसरण कर सकें। एक साझा पासफ़्रेज़ ऐसा नहीं कर सकता, और कोई भी दस्तावेज़ इस तथ्य को नहीं बदल सकता।

यह विफलता अन्य मानकों में भी फैलती है:

• ऑडिट नियंत्रण। लॉग एक MAC पता और एक IP लीज रिकॉर्ड करता है, न कि कर्मचारियों का कोई नामांकित सदस्य। वर्तमान iOS और Android रिलीज़ डिफ़ॉल्ट रूप से MAC पतों को रैंडमाइज़ करते हैं, जो इसे और भी कमजोर बनाता है।
• व्यक्ति या संस्था प्रमाणीकरण। पासफ़्रेज़ जानने से पहचान के बारे में कुछ साबित नहीं होता है। पासफ़्रेज़ स्टिकी नोट्स, शिफ्ट रोस्टर और ग्रुप मैसेज के जरिए लीक होते हैं।
• ट्रान्समिशन सुरक्षा। पासफ़्रैज़ रखने वाला कोई भी व्यक्ति जो किसी डिवाइस के फोर-वे हैंडशेक को कैप्चर करता है, वह उसकी सेशन कीज़ प्राप्त कर सकता है। फिर वे उस डिवाइस के ट्रैफिक को डिक्रीप्ट कर सकते हैं। पुराने पासफ़्रैज़ वाला एक पूर्व कर्मचारी एन्क्रिप्शन सीमा के अंदर ही रहता है।
• समाप्ति। 164.308(a)(3)(ii)(C) अपेक्षा करता है कि रोज़गार समाप्त होने पर एक्सेस भी समाप्त हो जाए। एक साझा की (key) के साथ, एक व्यक्ति को हटाने का मतलब है सभी के लिए की (key) को बदलना।

यह अंतिम बिंदु PSK रोटेशन को एक दिखावा बना देता है। रोटेशन हर डिवाइस को बाधित करता है, इसलिए यह शायद ही कभी होता है। रोटेशन के बीच जाने वाला हर व्यक्ति एक्सेस बनाए रखता है।

पांच मानक वायरलेस नियंत्रणों से कैसे मेल खाते हैं?

एक्सेस कंट्रोल - 164.312(a)(1)

मानक ePHI तक एक्सेस को उन लोगों और सॉफ़्टवेयर तक सीमित करता है जिन्हें एक्सेस अधिकार दिए गए हैं। वायरलेस लेयर पर, IEEE 802.1X इसका कार्यान्वयन है। यह एक पोर्ट-आधारित एक्सेस कंट्रोल मानक है जो प्रत्येक डिवाइस को नेटवर्क से तब तक बाहर रखता है जब तक कि वह अपनी पहचान साबित न कर दे। एक RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस) सर्वर उस पहचान की जांच करता है।

EAP-TLS (एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रांसपोर्ट लेयर सिक्योरिटी) के साथ, पहचान एक नामित व्यक्ति या प्रबंधित डिवाइस को जारी किया गया X.509 प्रमाणपत्र है। RADIUS फिर एक नीति लौटाता है: VLAN, भूमिका और एक्सेस सूची। एक वार्ड नर्स क्लिनिकल VLAN पर पहुंचती है। एक सुविधा ठेकेदार एक ऐसे सेगमेंट पर पहुंचता है जो केवल भवन प्रबंधन तक पहुंचता है।

दो और विशिष्टताएं WiFi को स्पर्श करती हैं। स्वचालित लॉगऑफ़ (एड्रेसेबल) सेशन टाइमआउट और पुनः-प्रमाणीकरण अंतराल से मेल खाता है। आपातकालीन एक्सेस (आवश्यक) का अर्थ एक प्रलेखित योजना है कि यदि RADIUS सेवा अनुपलब्ध हो जाती है तो क्या होगा।

ऑडिटर क्या देखता है: आपकी एक्सेस कंट्रोल नीति, प्रत्येक SSID की सूची उसकी ऑथेंटिकेशन विधि के साथ, और कोई व्यक्ति कैसे एक्सेस प्राप्त करता है और खोता है। यह दिखाने की अपेक्षा करें कि ePHI ले जाने वाला कोई भी SSID साझा की (key) का उपयोग नहीं करता है।

ऑडिट नियंत्रण - 164.312(b)

मानक के लिए ऐसे तंत्र की आवश्यकता होती है जो ePHI वाले या उनका उपयोग करने वाले सिस्टम में गतिविधि को रिकॉर्ड और जांचते हैं। इसमें कोई कार्यान्वयन विशिष्टता नहीं है, इसलिए विधि आपकी है। वायरलेस के लिए, RADIUS एकाउंटिंग (RFC 2866) ऑडिट लॉग है।

प्रत्येक सेशन स्टार्ट, इंटरिम-अपडेट और स्टॉप रिकॉर्ड उत्पन्न करता है। एट्रिब्यूट सीधे ऑडिटर के प्रश्नों के उत्तर देते हैं:

• कौन: User-Name, प्रमाणपत्र या डायरेक्टरी पहचान।
• कौन सा डिवाइस: Calling-Station-Id, क्लाइंट MAC पता।
• कहां: Called-Station-Id, एक्सेस पॉइंट और SSID।
• कब और कितने समय के लिए: Event-Timestamp और Acct-Session-Time।
• यह क्यों समाप्त हुआ: Acct-Terminate-Cause।

रिकॉर्डिंग मानक का आधा हिस्सा है। जांच करना दूसरा आधा हिस्सा है, और 164.308(a)(1)(ii)(D) के लिए सूचना प्रणाली गतिविधि की नियमित समीक्षा की आवश्यकता होती है। अपने SIEM (सुरक्षा सूचना और ईवेंट प्रबंधन) प्लेटफॉर्म में एकाउंटिंग रिकॉर्ड स्ट्रीम करें। फिर समीक्षा को शेड्यूल करें और प्रलेखित करें।

ऑडिटर क्या देखता है: एक नमूना तिथि सीमा के लिए एक निर्यात और प्रमाण कि कोई इसकी समीक्षा करता है। 164.316(b)(2)(i) के लिए आवश्यक दस्तावेज़ों को छह साल तक बनाए रखने की आवश्यकता होती है। कई संगठन लॉग साक्ष्यों पर भी यही समय-सीमा लागू करते हैं।

अखंडता - 164.312(c)(1)

यह मानक ePHI को अनुचित परिवर्तन या विनाश से सुरक्षित रखता है। रेडियो लिंक पर, AES-CCMP हर फ्रेम में एक संदेश अखंडता जांच जोड़ता है। WPA3-Enterprise, प्रोटेक्टेड मैनेजमेंट फ्रेम्स (IEEE 802.11w) को भी अनिवार्य बनाता है। ये जाली डीऑथेंटिकेशन फ्रेम को रोकते हैं, जो क्लिनिकल उपकरणों को नेटवर्क से हटाने का एक सामान्य तरीका है। WPA3-Enterprise 192-बिट मोड AES-GCMP-256 पर स्थानांतरित हो जाता है।

TKIP, जो कि विरासत WPA सिफर है, एक कमजोर अखंडता जांच पर निर्भर करता है। IEEE ने 802.11-2012 में TKIP को अमान्य (deprecated) कर दिया।

ऑडिटर क्या देखता है: नियंत्रक सिफर सेटिंग्स जो केवल AES दिखाती हैं, TKIP अक्षम है और प्रबंधन फ्रेम सुरक्षा चालू है।

व्यक्ति या इकाई प्रमाणीकरण - 164.312(d)

मानक के अनुसार आपको यह सत्यापित करना होगा कि एक्सेस की मांग करने वाला व्यक्ति या इकाई वही है जिसका दावा किया गया है। यह PEAP-MSCHAPv2 की तुलना में EAP-TLS के पक्ष में मुख्य तर्क है।

PEAP (सुरक्षित EAP) एक TLS टनल के भीतर एक उपयोगकर्ता नाम और पासवर्ड एक्सचेंज को सुरक्षित रखता है। यदि कोई क्लाइंट सर्वर प्रमाणपत्र सत्यापन को छोड़ देता है, तो एक अनधिकृत एक्सेस प्वाइंट आपके नेटवर्क का रूप धारण कर सकता है। यह MS-CHAPv2 एक्सचेंज को कैप्चर करता है, जिसे ऑफ़लाइन क्रैक किया जा सकता है। Microsoft सुरक्षा सलाहकार 2743314 इसका दस्तावेजीकरण करता है। यह सर्वर प्रमाण पत्र सत्यापन या प्रमाणपत्र-आधारित प्रमाणीकरण की ओर बढ़ने की सिफारिश करता है। Microsoft यह भी दस्तावेज करता है कि Windows Defender Credential Guard सहेजे गए क्रेडेंशियल्स के साथ MS-CHAPv2 के लिए एकल साइन-ऑन को रोकता है।

EAP-TLS पारस्परिक प्रमाणपत्र प्रमाणीकरण करता है। डिवाइस यह साबित करता है कि उसके पास एक निजी कुंजी है, और सर्वर अपनी पहचान साबित करता है। फ़िशिंग के लिए कोई पासवर्ड नहीं है। निजी कुंजी डिवाइस के TPM (ट्रस्टेड प्लेटफॉर्म मॉड्यूल) या सुरक्षित एन्क्लेव में गैर-निर्यात योग्य (non-exportable) रह सकती है। चिकित्सा उपकरण भी इकाइयों के रूप में गिने जाते हैं, और सक्षम उपकरण अपने स्वयं के प्रमाण पत्र ले जा सकते हैं।

ऑडिटर क्या देखता है: आप प्रत्येक एक्सेस मार्ग पर पहचान को कैसे सत्यापित करते हैं। "कर्मचारी WiFi पासवर्ड जानते हैं" कोई उत्तर नहीं है। प्रमाण पत्र जारी करने की प्रक्रिया दिखाएं, जो HR जॉइनर रिकॉर्ड से जुड़ी हो, और जाने वालों के लिए निरसन (revocation) चरण दिखाएं।

ट्रांसमिशन सुरक्षा - 164.312(e)(1)

यह मानक पारगमन में ePHI तक अनधिकृत पहुंच से सुरक्षा प्रदान करता है। इसके दो विनिर्देश, अखंडता नियंत्रण और एन्क्रिप्शन, दोनों ही एड्रेसेबल हैं। TKIP के साथ WPA2-Enterprise विफल रहता है, क्योंकि सिफर अमान्य है। IEEE 802.11n उच्च-थ्रूपुट दरों से TKIP को भी बाहर करता है। AES-CCMP के साथ WPA2-Enterprise आज बचाव योग्य है। WPA3-Enterprise अब तैनात करने के लिए सही कॉन्फ़िगरेशन है।

HHS उल्लंघन मार्गदर्शन गति में ePHI को तब सुरक्षित मानता है जब एन्क्रिप्शन NIST SP 800-52, 800-77 या 800-113 का पालन करता है। वे प्रकाशन TLS, IPsec और SSL VPNs को कवर करते हैं। रेडियो पर WPA3 अपने आप में ट्रैफ़िक को उस सुरक्षित बंदरगाह में नहीं रखता है। एप्लिकेशन-लेयर TLS अभी भी मायने रखता है।

ऑडिटर क्या देखता है: हर स्टाफ SSID पर एन्क्रिप्शन सेटिंग्स और विरासत SSID सेवानिवृत्ति का एक रिकॉर्ड।

कौन से वायरलेस कॉन्फ़िगरेशन टिकते हैं?

iPSK (आइडेंटिटी प्री-शेयर्ड की) प्रत्येक डिवाइस या डिवाइस समूह को एक ही SSID पर अपना पासफ़्रेज़ देता है।

कॉन्फ़िगरेशन	विशिष्ट पहचान	ऑडिट ट्रेल	प्रमाणन	ट्रांसिट में एन्क्रिप्शन	ऑडिट स्थिति
शेयर किया गया WPA2-PSK, TKIP	कोई नहीं - एक शेयर किया गया गुप्त	केवल MAC और IP	पासफ़्रेज़ का ज्ञान	पुराना सिफर	विफल
शेयर किया गया WPA2-PSK, AES	कोई नहीं - एक शेयर किया गया गुप्त	केवल MAC और IP	पासफ़्रेज़ का ज्ञान	AES; कोई भी कुंजी धारक कैप्चर किए गए सत्रों को डिक्रीप्ट कर सकता है	ePHI तक कर्मचारियों की पहुँच के लिए विफल
प्रति डिवाइस iPSK	प्रति डिवाइस, न कि प्रति व्यक्ति	नामी डिवाइस कुंजी	डिवाइस कुंजी का कब्ज़ा	AES-CCMP	दस्तावेजी कंपनसेटिंग नियंत्रण वाले बिना हेड वाले नैदानिक उपकरणों के लिए स्वीकार्य
WPA2-Enterprise, PEAP-MSCHAPv2	प्रति व्यक्ति	प्रति सत्र उपयोगकर्ता नाम	पासवर्ड; यदि प्रमाण पत्र सत्यापन बंद है तो उजागर होता है	AES-CCMP	लागू सत्यापन और माइग्रेशन योजना के साथ बचाव योग्य
WPA2-Enterprise, EAP-TLS	प्रति व्यक्ति या डिवाइस	प्रति सत्र प्रमाण पत्र पहचान	पारस्परिक प्रमाण पत्र	AES-CCMP	मजबूत
WPA3-Enterprise, EAP-TLS	प्रति व्यक्ति या डिवाइस	प्रति सत्र प्रमाण पत्र पहचान	पारस्परिक प्रमाण पत्र	AES-CCMP के साथ अनिवार्य PMF	लक्ष्य कॉन्फ़िगरेशन
WPA3-Enterprise 192-बिट, EAP-TLS	प्रति व्यक्ति या डिवाइस	प्रति सत्र प्रमाण पत्र पहचान	पारस्परिक प्रमाण पत्र, 384-बिट ECC	AES-GCMP-256 के साथ PMF	उच्चतम आश्वासन; पहले डिवाइस सहायता की पुष्टि करें

एक OCR ऑडिटर अस्पताल के वायरलेस नेटवर्क पर क्या देखता है?

HHS का नागरिक अधिकार कार्यालय (OCR) HIPAA लागू करता है। इसके निरीक्षण मुख्य रूप से दस्तावेजों पर आधारित होते हैं। ऑडिटर स्पेक्ट्रम विश्लेषक लेकर आपके वार्डों में नहीं घूमते। वे नीतियों, कॉन्फ़िगरेशन और रिकॉर्ड का अनुरोध करते हैं, और फिर यह जांचते हैं कि रिकॉर्ड नीति से मेल खाते हैं या नहीं।

जोखिम विश्लेषण से शुरुआत करें। दिसंबर 2020 में प्रकाशित OCR की 2016 - 2017 HIPAA ऑडिट उद्योग रिपोर्ट में पाया गया कि अधिकांश ऑडिट की गई कवर की गई संस्थाएं जोखिम विश्लेषण और जोखिम प्रबंधन को प्रभावी ढंग से लागू करने में विफल रहीं। एक जोखिम विश्लेषण जो WLAN को बाहर करता है वह एक आसान निष्कर्ष है।

आवश्यकता	OCR क्या देखना चाहता है	वायरलेस साक्ष्य जो इसका उत्तर देते हैं
जोखिम विश्लेषण, 164.308(a)(1)(ii)(A)	ePHI को संभालने वाली प्रणालियों और प्रत्येक के लिए खतरों की सूची	प्रत्येक SSID, इसकी प्रमाणन विधि, VLAN और डिवाइस श्रेणियां
पहुँच नियंत्रण, 164.312(a)(1)	प्रमाण कि प्रत्येक व्यक्ति के पास एक विशिष्ट पहचानकर्ता है	802.1X और EAP-TLS कॉन्फ़िगरेशन; शून्य शेयर-कुंजी SSIDs जो ePHI ले जाते हैं
ऑडिट नियंत्रण, 164.312(b)	लॉग और समीक्षा का साक्ष्य	एक नमूना तिथि सीमा के लिए RADIUS Accounting निर्यात; SIEM समीक्षा रिकॉर्ड
अखंडता, 164.312(c)(1)	ePHI को परिवर्तन से कैसे सुरक्षित रखा जाता है	कंट्रोलर सिफर सेटिंग्स: केवल AES, PMF आवश्यक
प्रमाणन, 164.312(d)	प्रत्येक मार्ग पर पहचान को कैसे सत्यापित किया जाता है	HR रिकॉर्ड से जुड़ा प्रमाण पत्र जारी करना और निरस्तीकरण प्रक्रिया
ट्रांसमिशन सुरक्षा, 164.312(e)(1)	एन्क्रिप्शन का निर्णय, यदि लागू नहीं किया गया है तो औचित्य के साथ	WPA3-Enterprise कॉन्फ़िगरेशन और पुराना SSID सेवानिवृत्ति रिकॉर्ड
समाप्ति, 164.308(a)(3)(ii)(C)	प्रमाण कि छोड़ने वाले व्यक्ति पहुँच खो देते हैं	HR छोड़ने की तारीखों के विरुद्ध सेट निरस्तीकरण टाइमस्टैम्प

मरीजों और आगंतुकों के नेटवर्क के बारे में भी सवालों की उम्मीद करें। ऑडिटर्स यह देखना चाहते हैं कि यह ePHI तक नहीं पहुंच सकता है।

मेडिकल उपकरण और मरीजों का WiFi, कर्मचारियों के WiFi के साथ कहां स्थित हैं?

क्या इन्फ्यूजन पंप और इमेजिंग उपकरण दायरे में आते हैं?

यह दायरे से जुड़ा सवाल है जो कई हेल्थकेयर IT टीमों को उलझा देता है। परीक्षण यह है कि क्या उपकरण ePHI को बनाता है, प्राप्त करता है, बनाए रखता है या ट्रांसमिट करता है। स्मार्ट इन्फ्यूजन पंप जो EHR के साथ मरीज से जुड़े ऑर्डर का आदान प्रदान करते हैं, वे इसके दायरे में आते हैं। PACS को DICOM अध्ययन भेजने वाले इमेजिंग तौर-तरीके और केंद्रीय स्टेशन पर स्ट्रीम करने वाले टेलीमेट्री मॉनिटर भी इसके दायरे में हैं। वैक्सीन फ्रिज तापमान लॉगर में कोई मरीज डेटा नहीं होता है और यह ePHI के दायरे से बाहर रहता है।

कठिनाई यह है कि दायरे में आने वाले कई उपकरण 802.1X, EAP-TLS या WPA3 नहीं चला सकते हैं। FDA का 2023 प्रीमार्केट साइबर सुरक्षा मार्गदर्शन नए उपकरण प्रस्तुतियों पर लागू होता है। आपका स्थापित बेस वैसा ही रहता है जैसा वह है।

VLAN सेगमेंटेशन जोखिम को कैसे नियंत्रित करता है

VLAN (वर्चुअल LAN) साझा हार्डवेयर पर तार्किक रूप से अलग नेटवर्क सेगमेंट है। क्लिनिकल IoT को समर्पित SSIDs या iPSK समूहों पर रखें, जो प्रति उपकरण वर्ग एक VLAN से मैप किए गए हों। इसके बाद फायरवॉल नियम प्रत्येक वर्ग को केवल उसके नामित सर्वरों तक पहुंचने की अनुमति देते हैं, जैसे कि पंप सर्वर या PACS। कर्मचारियों के उपकरण सीधे पंपों तक नहीं पहुंच सकते, और पंप कर्मचारियों के VLAN तक नहीं पहुंच सकते।

HHS 405(d) हेल्थ इंडस्ट्री साइबरसिक्योरिटी प्रैक्टिस प्रकाशन सामान्य नेटवर्क से चिकित्सा उपकरणों को अलग करने की सिफारिश करता है। अपने जोखिम विश्लेषण में सेगमेंटेशन को उन उपकरणों के लिए क्षतिपूर्ति नियंत्रण के रूप में दर्ज करें जो प्रमाणपत्र द्वारा प्रमाणित नहीं हो सकते। iPSK और MAC प्रमाणित उपकरणों के लिए भी RADIUS रिकॉर्ड रखें, ताकि प्रत्येक उपकरण वर्ग ऑडिट लॉग में दिखाई दे।

मरीज और आगंतुक नेटवर्क

आपके मरीज और आगंतुक नेटवर्क में कोई ePHI नहीं होता है, लेकिन यह Captive Portal पर व्यक्तिगत डेटा एकत्र करता है। Captive Portal वह वेब पेज है जो एक आगंतुक को ऑनलाइन होने से पहले दिखाई देता है। ऑडिटर्स पूछेंगे कि उस नेटवर्क को क्लिनिकल सेगमेंट से कैसे अलग किया गया है। SecurePass, जो Purple Guest WiFi का सुरक्षा ऐड ऑन है, मरीजों और आगंतुकों के लिए समान पहचान आधारित दृष्टिकोण लाता है।

दो व्यावहारिक परिदृश्य

एक काउंटी अस्पताल अपने साझा कर्मचारी पासफ्रेज को सेवानिवृत्त करता है

स्थिति। 350 बेड वाले काउंटी संचालित अस्पताल पर विचार करें। इसका स्टाफ SSID WPA2-PSK चलाता था, और पासफ्रेज वर्षों से एजेंसी नर्सों के साथ साझा किया गया था। इन्फ्यूजन पंप एक ही नेटवर्क पर स्थित थे। वार्षिक जोखिम विश्लेषण ने विशिष्ट पहचान को अपूर्ण के रूप में चिह्नित किया।

क्या किया गया। प्रबंधित वर्कस्टेशन और हैंडहेल्ड EAP-TLS में स्थानांतरित हो गए, MDM प्लेटफॉर्म के माध्यम से Microsoft Entra ID पहचानों के लिए प्रमाणपत्र जारी किए गए। RADIUS नीति ने Entra ID समूह द्वारा VLANs आवंटित किए। अकाउंटिंग रिकॉर्ड्स साप्ताहिक दस्तावेज समीक्षा के साथ SIEM में स्ट्रीम हुए। पंप एक पृथक VLAN पर iPSK में स्थानांतरित हो गए, जिन्हें केवल पंप सर्वर तक पहुंचने की अनुमति दी गई। कर्मचारियों के व्यक्तिगत फोन केवल इंटरनेट वाले SSID पर स्थानांतरित कर दिए गए।परिणाम. ePHI ले जाने वाले नेटवर्क पर साझा रहस्य दो से घटकर शून्य हो गए। "रात 02:00 बजे मेडिकेशन रूम एक्सेस पॉइंट पर कौन था?" यह प्रश्न अब एक एकल SIEM क्वेरी बन गया। पहले इसका मतलब DHCP लीज और बैज लॉग का हाथ से मिलान करना था। कार्य छोड़ने वाले कर्मचारियों की पहुंच अब उनका सर्टिफिकेट रद्द होने और Microsoft Entra ID समूह सदस्यता हटा दिए जाने पर तुरंत समाप्त हो जाती है। कोई अन्य डिवाइस इससे प्रभावित नहीं होता है।

एक फार्मेसी श्रृंखला 60 स्टोरों में कर्मचारियों की पहुंच को एकीकृत करती है

स्थिति. 60 स्टोरों वाली एक क्षेत्रीय फार्मेसी श्रृंखला पर विचार करें, जिनमें से प्रत्येक में एक डिस्पेंसरी और क्लिनिक रूम है। फार्मेसी HIPAA के तहत आने वाली संस्थाएं हैं। कार्ड भुगतान भी PCI-DSS को इसके दायरे में लाता है। प्रत्येक स्टोर डिस्पेंसरी टर्मिनलों, टैबलेट और कर्मचारियों के फोन के लिए एक ही साझा पासफ्रेज चलाता था। नए स्टोर Cisco Meraki और पुराने स्टोर Ubiquiti UniFi चलाते थे।

क्या किया गया था. प्रत्येक स्टोर को EAP-TLS के साथ एक 802.1X स्टाफ SSID मिला, जिसे एक क्लाउड RADIUS सेवा के खिलाफ प्रमाणित किया गया था। किसी भी एक्सेस पॉइंट को बदला नहीं गया। अकाउंटिंग रिकॉर्ड एक केंद्रीय लॉग में प्रवाहित हुए। Retail खरीदार एक अलग अतिथि नेटवर्क पर रहे।

परिणाम. स्टोर स्तर के साझा पासफ्रेज 60 से घटकर शून्य हो गए, और पासफ्रेज बदलने की विजिट भी खत्म हो गई। नियंत्रण का एक सेट अब HIPAA विशिष्ट पहचान और PCI-DSS v4.0 आवश्यकता 8.2.1 का जवाब देता है, जिसके लिए प्रत्येक व्यक्ति के लिए एक विशिष्ट पहचान पत्र आवश्यक है।

HIPAA जोखिम विश्लेषण में वायरलेस नियंत्रणों की सीमाएं क्या हैं?

WiFi नियंत्रण केवल एक हॉप की सुरक्षा करते हैं। EHR एक्सेस कंट्रोल, एप्लिकेशन लेयर TLS और एंडपॉइंट एन्क्रिप्शन बाकी का भार संभालते हैं। HIPAA तकनीक तटस्थ है और किसी वायरलेस प्रोटोकॉल का नाम नहीं लेता है, इसलिए आपके जोखिम विश्लेषण को प्रत्येक विकल्प की व्याख्या करनी होगी।

पुराने डिवाइस सीमा तय करते हैं। WPA3-Enterprise ट्रांजिशन मोड WPA2 क्लाइंट्स को कनेक्टेड रखता है, लेकिन यह उस SSID पर WPA2 की कमजोरियों को भी बनाए रखता है। सक्षम डिवाइस के लिए WPA3-ओनली SSID चलाएं और एक तय योजना के तहत ट्रांजिशन SSID को हटा दें।

सर्टिफिकेट्स को एक जीवनचक्र की आवश्यकता होती है। एक समाप्त हो चुका RADIUS सर्वर सर्टिफिकेट एक ही बार में हर क्लाइंट को ऑफलाइन कर देता है। नवीनीकरण को स्वचालित करें और समाप्ति तिथियों की निगरानी करें।

रोमिंग में ट्यूनिंग की आवश्यकता होती है। प्रत्येक एक्सेस पॉइंट पर एक पूर्ण 802.1X एक्सचेंज देरी जोड़ता है, जिसे वॉइस बैज सबसे पहले महसूस करते हैं। फास्ट BSS ट्रांजिशन (802.11r) इसे छोटा करता है। 802.11r and 802.11k on Android: fast roaming deployment on Cisco Meraki, HPE Aruba and Ubiquiti UniFi देखें। Meraki संपत्तियों पर, Cisco Meraki 802.11r adaptive vs enabled: fixing roaming on MR access points देखें।

अंत में, पब्लिक लॉ 116-321 HHS को जुर्माना तय करते समय पिछले 12 महीनों से आपके पास मौजूद मान्यता प्राप्त सुरक्षा प्रथाओं पर विचार करने का निर्देश देता है। अपने वायरलेस नियंत्रणों को 405(d) प्रथाओं के साथ मैप करने से यहां मदद मिलती है।

अपने अगले जोखिम विश्लेषण से पहले आपको क्या करना चाहिए?

1. प्रत्येक SSID, उसकी प्रमाणीकरण विधि, सिफर और VLAN की सूची बनाएं।
2. डिवाइस को प्रबंधित स्टाफ, व्यक्तिगत स्टाफ, नैदानिक IoT या अतिथि के रूप में वर्गीकृत करें।
3. निर्देशिका समूहों द्वारा संचालित नीति के साथ, प्रबंधित डिवाइस को EAP-TLS पर ले जाएं।
4. TKIP को अक्षम करें, PMF की आवश्यकता रखें और WPA3-Enterprise शेड्यूल करें।
5. अपने SIEM में RADIUS Accounting को स्ट्रीम करें, समीक्षा को दस्तावेजीकृत करें और प्रतिधारण निर्धारित करें।
6. क्लिनिकल IoT को डिवाइस क्लास के अनुसार विभाजित करें और क्षतिपूर्ति नियंत्रणों को दस्तावेजीकृत करें।
7. सिफर और SSID परिवर्तनों के बाद कवरेज को पुन: मान्य करें। WiFi Site Surveys: A Practical Planning Guide इसकी विधि निर्धारित करता है।
8. साक्ष्य संलग्न करते हुए प्रत्येक निर्णय को जोखिम विश्लेषण में लिखें।

Purple का Staff WiFi EAP-TLS, प्रति-व्यक्ति VLAN नीति और केंद्रीकृत क्लाउड RADIUS accounting के साथ 802.1X प्रदान करता है। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet हार्डवेयर पर काम करता है। Microsoft Entra ID, Okta और Google Workspace नए जुड़ने वालों, स्थानांतरित होने वालों और छोड़ने वालों को प्रबंधित करते हैं। Purple ISO 27001 प्रमाणित है और 80,000+ लाइव स्थानों पर काम करता है, जिसमें 2024 में 440 मिलियन लॉगिन शामिल हैं (Purple डेटा)। हमारे Healthcare पेज पर और Why your next WiFi upgrade doesn't need new hardware में अधिक पढ़ें।

यदि आप एक साथ कई फ़्रेमवर्क संभालते हैं तो Purple का Staff WiFi अवलोकन, मरीज और आगंतुक नेटवर्क के लिए SecurePass, और हमारे ISO 27001 और SOC 2 स्टाफ WiFi अनुपालन गाइड भी देखें।

अक्सर पूछे जाने वाले प्रश्न

क्या HIPAA के लिए WPA3-Enterprise आवश्यक है, या WPA2-Enterprise स्वीकार्य है?

नहीं, HIPAA WPA3-Enterprise या किसी अन्य प्रोटोकॉल का नाम नहीं लेता है। AES-CCMP और EAP-TLS के साथ WPA2-Enterprise आज भी जोखिम विश्लेषण में बचाव योग्य है। TKIP के साथ WPA2 स्वीकार्य नहीं है, क्योंकि IEEE ने 802.11-2012 में उस सिफर को हटा दिया था। नए स्टाफ SSIDs पर WPA3-Enterprise लागू करें जहां डिवाइस इसका समर्थन करते हैं, और बाकी के लिए एक दिनांकित योजना दस्तावेजीकृत करें। HHS का प्रस्तावित सुरक्षा नियम अपडेट ट्रांजिट में एन्क्रिप्शन को अनिवार्य बना देगा, इसलिए अभी से उस मानक के अनुसार डिजाइन करें।

यदि हम जोखिम विश्लेषण में इसे दस्तावेजीकृत करते हैं तो क्या हम कर्मचारियों के लिए एक साझा पासफ्रेज रख सकते हैं?

नहीं, ePHI तक कर्मचारियों की पहुंच के लिए नहीं। 164.312(a)(2)(i) पर विशिष्ट उपयोगकर्ता पहचान एक आवश्यक विनिर्देश है, इसलिए दस्तावेज़ीकरण इसे प्रतिस्थापित नहीं कर सकता है। एक साझा पासफ़्रेज़ किसी की पहचान नहीं करता है, और प्रत्येक छोड़ने वाला कर्मचारी अगले रोटेशन तक पहुंच बनाए रखता है। साझा या प्रति-डिवाइस कुंजियां केवल हेडलेस क्लिनिकल उपकरणों के लिए स्वीकार्य रहती हैं। उन उपकरणों को VLAN विभाजन और आपके जोखिम विश्लेषण में लिखे गए क्षतिपूर्ति नियंत्रणों की भी आवश्यकता होती है।

क्या हमें 802.1X और EAP-TLS पर जाने के लिए नए एक्सेस पॉइंट्स की आवश्यकता है?

नहीं, 802.1X और EAP-TLS उन एंटरप्राइज एक्सेस पॉइंट्स पर चलते हैं जो अधिकांश अस्पतालों के पास पहले से मौजूद हैं। Purple का क्लाउड RADIUS Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet के साथ काम करता है। यह कार्य प्रमाणपत्र जारी करने, निर्देशिका एकीकरण और RADIUS नीति में निहित है, हार्डवेयर में नहीं। यदि आप WPA3 पर भी जा रहे हैं तो केवल एक रेडियो जांच की योजना बनाएं, क्योंकि पुराने एक्सेस पॉइंट्स को फ़र्मवेयर अपडेट की आवश्यकता हो सकती है।

हमें HIPAA के लिए वायरलेस एक्सेस लॉग कितने समय तक रखने चाहिए?

यदि आप एक रक्षात्मक डिफ़ॉल्ट चाहते हैं तो उन्हें छह साल तक रखें। 164.316(b)(2)(i) पर HIPAA का दस्तावेज़ीकरण नियम आवश्यक दस्तावेज़ों के छह वर्ष के प्रतिधारण की मांग करता है। कई संगठन इसके पीछे ऑडिट लॉग साक्ष्य पर भी वही अवधि लागू करते हैं। अपने अनुपालन प्रमुख के साथ अवधि की पुष्टि करें, क्योंकि राज्य का कानून अधिक समय की मांग कर सकता है। RADIUS Accounting रिकॉर्ड्स को ऐसे सिस्टम में स्टोर करें जिसे आप व्यक्ति, डिवाइस और तारीख की सीमा के अनुसार क्वेरी कर सकें।

क्या WiFi पर चिकित्सा उपकरण तकनीकी सुरक्षा उपायों के दायरे में आते हैं?

हाँ, यदि उपकरण ePHI बनाता है, प्राप्त करता है, बनाए रखता है या ट्रांसमिट करता है। EHR से जुड़े स्मार्ट इन्फ्यूजन पंप, PACS को अध्ययन भेजने वाली इमेजिंग मोडैलिटीज और टेलीमेट्री मॉनिटर सभी योग्य हैं। जो उपकरण EAP-TLS नहीं चला सकते, वे समर्पित VLANs से संबंधित हैं, जहाँ संभव हो iPSK का उपयोग करते हैं। फ़ायरवॉल नियमों को प्रत्येक डिवाइस वर्ग को उसके नामित सर्वर तक सीमित करना चाहिए। अपने जोखिम विश्लेषण में क्षतिपूर्ति नियंत्रण के रूप में रिकॉर्ड विभाजन दर्ज करें।

क्या OCR ऑडिटर हमारे मरीज और विज़िटर WiFi के बारे में पूछेगा?

हाँ, स्टाफ WiFi के साथ-साथ मरीज और विज़िटर नेटवर्क के बारे में भी सवालों की उम्मीद करें। ऑडिटर प्रमाण चाहते हैं कि यह ePHI ले जाने वाले क्लिनिकल सेगमेंट तक नहीं पहुँच सकता है। वे यह भी पूछ सकते हैं कि Captive Portal व्यक्तिगत डेटा को कैसे संभालता है। नेटवर्क डिज़ाइन, फ़ायरवॉल नियम और साइन-इन पर एकत्र किया गया डेटा दिखाएं। SecurePass, जो Purple Guest WiFi का सुरक्षा ऐड-ऑन है, मरीजों और विज़िटर्स के लिए पहचान-आधारित पहुँच का विस्तार करता है।

क्या Purple, Microsoft Entra ID, Okta और Google Workspace के साथ एकीकृत होता है?

हाँ, Purple का Staff WiFi, Microsoft Entra ID, Okta और Google Workspace के साथ एकीकृत होता है। निर्देशिका समूह RADIUS नीति को संचालित करते हैं, इसलिए किसी व्यक्ति की भूमिका तय करती है कि वे किस VLAN तक पहुँचते हैं। सही समूह में जोड़े जाने पर नए जुड़ने वाले व्यक्तियों को पहुँच मिलती है। समूह बदलने पर बदलने वाले उपयोगकर्ताओं का VLAN बदल जाता है। जब आप उनका प्रमाणपत्र रद्द करते हैं और उनकी समूह सदस्यता हटाते हैं, तो छोड़ने वाले अपनी पहुँच खो देते हैं, और ऑडिट ट्रेल के लिए हर चरण रिकॉर्ड किया जाता है।