Misure di protezione tecniche HIPAA per il WiFi del personale ospedaliero: cosa richiede realmente la Security Rule

Cinque standard delle tutele tecniche della HIPAA Security Rule ai sensi del 45 CFR 164.312 si applicano al WiFi del personale ospedaliero. Si tratta di controllo degli accessi, controlli di audit, integrità, autenticazione della persona o dell'entità e sicurezza della trasmissione. È possibile soddisfarli con l'identità 802.1X ed EAP-TLS basata su certificati, RADIUS Accounting come registro di audit e la crittografia WPA3-Enterprise su ogni SSID del personale.

Che cosa richiedono le tutele tecniche HIPAA al WiFi del personale?

Il WiFi del personale è la base wireless di una rete sanitaria conforme a HIPAA. I medici aprono le cartelle cliniche elettroniche su postazioni mobili. Scansionano i codici a barre dei farmaci su dispositivi portatili e rispondono alle chiamate su badge di comunicazione clinica. La maggior parte di questo traffico attraversa un SSID del personale. Il WiFi per il personale di Purple tratta questo SSID come un livello di identità anziché come una password, e la Security Rule spinge nella stessa direzione.

La Security Rule protegge le informazioni sanitarie protette elettroniche (ePHI) create, ricevute, gestite o trasmesse (45 CFR 164.306(a)). Suddivide i requisiti in tutele amministrative, fisiche e tecniche. Le tutele tecniche contengono cinque standard. La WLAN del personale trasmette ePHI, quindi tutti e cinque gli standard raggiungono il livello wireless.

Due termini sono importanti prima di proseguire. Una specifica di implementazione "obbligatoria" deve essere implementata così com'è scritta. Una specifica "indirizzabile" deve essere implementata se ragionevole e appropriata. In caso contrario, è necessario documentarne il motivo e adottare una misura equivalente (45 CFR 164.306(d)). Indirizzabile non significa opzionale, e su un collegamento radio aperto è raro trovare un'argomentazione credibile contro la crittografia.

Nel gennaio 2025, l'HHS ha pubblicato un avviso di proposta di regolamentazione che eliminerebbe la categoria indirizzabile. Renderebbe obbligatorie la crittografia delle ePHI in transito e l'autenticazione a più fattori. Verificane lo stato quando definisci l'ambito della tua prossima analisi dei rischi. Progettare in base al testo più severo ora evita una seconda migrazione in seguito.

Perché una passphrase WiFi condivisa non soddisfa la Security Rule?

Una rete WPA2-PSK (chiave precondivisa) autentica la passphrase, non la persona. Ogni infermiere, addetto alle pulizie, sostituto d'agenzia e appaltatore che la conosce appare identico alla rete. L'"identificazione univoca dell'utente" al punto 164.312(a)(2)(i) è una specifica obbligatoria. Richiede di assegnare un nome o un numero univoco a ciascuna persona, in modo da poterla identificare e seguirne l'attività. Una passphrase condivisa non può farlo e nessuna documentazione può cambiare questo dato di fatto.

Il problema si estende agli altri standard:

• Controlli di audit. Il registro memorizza un indirizzo MAC e un lease IP, non un membro specifico del personale. Le attuali versioni di iOS e Android randomizzano gli indirizzi MAC per impostazione predefinita, indebolendo ulteriormente questo elemento.
• Autenticazione della persona o dell'entità. Conoscere una passphrase non prova nulla sull'identità. Le passphrase si diffondono tramite foglietti adesivi, turni di lavoro e messaggi di gruppo.
• Sicurezza della trasmissione. Chiunque disponga della passphrase e acquisisca l'handshake a quattro vie di un dispositivo può ricavarne le chiavi di sessione, riuscendo così a decrittografare il traffico di quel dispositivo. Un ex dipendente in possesso della vecchia passphrase rimane all'interno del perimetro di crittografia.
• Cessazione dell'accesso. La norma 164.308(a)(3)(ii)(C) prevede che l'accesso termini con il concludersi del rapporto di lavoro. Con una chiave condivisa, revocare l'accesso a una persona significa dover cambiare la chiave per tutti.

Quest'ultimo punto trasforma la rotazione delle PSK in una pura formalità. La rotazione crea disservizi su ogni dispositivo, quindi viene eseguita raramente. Di conseguenza, ogni persona che lascia l'azienda tra una rotazione e l'altra conserva l'accesso.

Come si collegano i cinque standard ai controlli wireless?

Controllo degli accessi - 164.312(a)(1)

Lo standard limita l'accesso alle ePHI alle persone e ai software a cui sono stati concessi i diritti di accesso. Sul livello wireless, l'implementazione è rappresentata dallo standard IEEE 802.1X. Si tratta di uno standard di controllo degli accessi basato sulle porte che trattiene ogni dispositivo fuori dalla rete finché non dimostra la propria identità. Un server RADIUS (Remote Authentication Dial-In User Service) verifica tale identità.

Con EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), l'identità è costituita da un certificato X.509 rilasciato a una persona specifica o a un dispositivo gestito. Il server RADIUS restituisce quindi una policy: VLAN, ruolo e lista di controllo degli accessi. Un infermiere di reparto viene reindirizzato sulla VLAN clinica, mentre un manutentore esterno viene indirizzato su un segmento che raggiunge solo la gestione dell'edificio.

Altre due specifiche riguardano il WiFi. La disconnessione automatica (indirizzabile) corrisponde ai timeout di sessione e agli intervalli di riautenticazione. L'accesso di emergenza (obbligatorio) richiede un piano documentato per gestire le situazioni in cui il servizio RADIUS risulta irraggiungibile.

Cosa cerca l'auditor: la tua policy di controllo degli accessi, un elenco di tutti gli SSID con il relativo metodo di autenticazione e le modalità con cui una persona ottiene o perde l'accesso. Preparati a dimostrare che nessun SSID che trasporta ePHI utilizzi una chiave condivisa.

Controlli di audit - 164.312(b)

Lo standard richiede meccanismi che registrino ed esaminino l'attività nei sistemi che contengono o utilizzano ePHI. Non presenta specifiche di implementazione, quindi il metodo da adottare è a tua discrezione. Per le reti wireless, RADIUS Accounting (RFC 2866) rappresenta il registro di audit.

Ogni sessione genera record di Start, Interim-Update e Stop. Gli attributi rispondono direttamente alle domande dell'auditor:

• Chi: User-Name, l'identità del certificato o della directory.
• Quale dispositivo: Calling-Station-Id, l'indirizzo MAC del client.
• Dove: Called-Station-Id, l'access point e l'SSID.
• Quando e per quanto tempo: Event-Timestamp e Acct-Session-Time.
• Perché è terminata: Acct-Terminate-Cause.

La registrazione copre solo metà dello standard. L'altra metà consiste nell'esame dei dati e la norma 164.308(a)(1)(ii)(D) richiede una revisione regolare dell'attività del sistema informativo. Invia i record di accounting in streaming alla tua piattaforma SIEM (security information and event management), quindi pianifica e documenta la revisione.

Cosa cerca l'auditor: un'esportazione per un intervallo di date campione e la prova che qualcuno la esamini. La norma 164.316(b)(2)(i) richiede la conservazione per sei anni della documentazione obbligatoria. Molte organizzazioni applicano lo stesso orizzonte temporale alle prove dei log.

Integrità - 164.312(c)(1)

Lo standard protegge le ePHI da alterazioni o distruzioni improprie. Sulla connessione radio, AES-CCMP aggiunge un controllo di integrità del messaggio a ogni frame. WPA3-Enterprise rende inoltre obbligatori i Protected Management Frames (IEEE 802.11w). Questi bloccano i frame di deautenticazione contraffatti, un metodo comune per scollegare i dispositivi clinici dalla rete. La modalità WPA3-Enterprise a 192 bit passa ad AES-GCMP-256.

TKIP, il cifrario WPA legacy, si basa su un controllo di integrità debole. L'IEEE ha deprecato TKIP nello standard 802.11-2012.

Cosa cerca l'auditor: impostazioni del cifrario del controller che mostrino solo AES, TKIP disattivato e protezione dei frame di gestione attiva.

Autenticazione di persone o entità - 164.312(d)

Lo standard richiede di verificare che la persona o l'entità che richiede l'accesso sia effettivamente chi dichiara di essere. Questa è la motivazione principale a favore di EAP-TLS rispetto a PEAP-MSCHAPv2.

PEAP (Protected EAP) racchiude uno scambio di nome utente e password all'interno di un tunnel TLS. Se un client omette la convalida del certificato del server, un access point canaglia può impersonare la rete. Può intercettare lo scambio MS-CHAPv2, che può essere violato offline. L'Avviso di Sicurezza Microsoft 2743314 documenta questo rischio e raccomanda la convalida del certificato del server o il passaggio all'autenticazione basata su certificati. Microsoft documenta anche che Windows Defender Credential Guard blocca il single sign-on per MS-CHAPv2 con credenziali salvate.

EAP-TLS esegue un'autenticazione reciproca dei certificati. Il dispositivo dimostra di possedere una chiave privata e il server dimostra la propria identità. Non esiste alcuna password esposta al phishing. La chiave privata può risiedere, in modo non esportabile, nel TPM (Trusted Platform Module) del dispositivo o in un enclave sicuro. Anche i dispositivi medici contengono entità, e i dispositivi abilitati possono ospitare i propri certificati.

Cosa cerca l'auditor: le modalità con cui viene verificata l'identità su ciascun percorso di accesso. "Il personale conosce la password WiFi" non è una risposta valida. Occorre mostrare la procedura di emissione del certificato, collegata alla scheda HR dei nuovi assunti, e la fase di revoca per chi lascia l'azienda.

Sicurezza della trasmissione - 164.312(e)(1)

Lo standard protegge dall'accesso non autorizzato alle ePHI in transito. Le sue due specifiche, controlli di integrità e crittografia, sono entrambe applicabili. WPA2-Enterprise con TKIP non è conforme, poiché il cifrario è deprecato. IEEE 802.11n esclude inoltre TKIP dalle velocità ad elevato throughput. WPA2-Enterprise con AES-CCMP è difendibile allo stato attuale. WPA3-Enterprise è la configurazione ideale da implementare oggi.

Le linee guida HHS sulla violazione dei dati considerano le ePHI in transito protette quando la crittografia segue NIST SP 800-52, 800-77 o 800-113. Tali pubblicazioni coprono TLS, IPsec e VPN SSL. WPA3 sul segnale radio non inserisce, da solo, il traffico in quella condizione di protezione automatica. TLS a livello di applicazione rimane comunque fondamentale.

Cosa cerca l'auditor: impostazioni di crittografia su ogni SSID del personale e uno storico del disuso degli SSID legacy.

Quali configurazioni wireless sono davvero valide?

iPSK (identity pre-shared key) assegna a ciascun dispositivo o gruppo di dispositivi la propria passphrase su un singolo SSID.

Configurazione	Identificazione univoca	Traccia di audit	Autenticazione	Crittografia in transito	Posizione di audit
WPA2-PSK condivisa, TKIP	Nessuna - un segreto condiviso	Solo MAC e IP	Conoscenza della passphrase	Cifrario deprecato	Non conforme
WPA2-PSK condivisa, AES	Nessuna - un segreto condiviso	Solo MAC e IP	Conoscenza della passphrase	AES; qualsiasi possessore della chiave può decifrare le sessioni intercettate	Non conforme per l'accesso del personale alle ePHI
iPSK per dispositivo	Per dispositivo, non per persona	Chiave del dispositivo denominata	Possesso della chiave del dispositivo	AES-CCMP	Accettabile per dispositivi clinici headless con controlli compensativi documentati
WPA2-Enterprise, PEAP-MSCHAPv2	Per persona	Nome utente per sessione	Password; esposta se la convalida del certificato è disattivata	AES-CCMP	Difendibile con convalida forzata e un piano di migrazione
WPA2-Enterprise, EAP-TLS	Per persona o dispositivo	Identità del certificato per sessione	Certificato reciproco	AES-CCMP	Forte
WPA3-Enterprise, EAP-TLS	Per persona o dispositivo	Identità del certificato per sessione	Certificato reciproco	AES-CCMP più PMF obbligatorio	Configurazione obiettivo
WPA3-Enterprise 192-bit, EAP-TLS	Per persona o dispositivo	Identità del certificato per sessione	Certificato reciproco, ECC a 384 bit	AES-GCMP-256 più PMF	Massima garanzia; verificare prima il supporto del dispositivo

Cosa esamina un auditor OCR in una rete WiFi ospedaliera?

L'Office for Civil Rights (OCR) dell'HHS applica la normativa HIPAA. Le sue verifiche sono prevalentemente basate sulla documentazione. Gli auditor non girano per i reparti con un analizzatore di spettro. Richiedono criteri, configurazioni e registri, quindi verificano se i registri corrispondono ai criteri stabiliti.

Si parte dall'analisi dei rischi. L'HIPAA Audits Industry Report 2016-2017 dell'OCR, pubblicato a dicembre 2020, ha rilevato che la maggior parte delle entità coperte sottoposte ad audit non ha implementato l'analisi e la gestione dei rischi in modo efficace. Un'analisi dei rischi che omette la rete WLAN rappresenta un rilievo immediato.

Requisito	Cosa richiede di vedere l'OCR	Evidenza WiFi che risponde al requisito
Analisi dei rischi, 164.308(a)(1)(ii)(A)	Inventario dei sistemi che gestiscono ePHI e relative minacce	Ogni SSID, il relativo metodo di autenticazione, VLAN e classi di dispositivi
Controllo degli accessi, 164.312(a)(1)	Prova che ogni persona disponga di un identificatore univoco	Configurazione 802.1X ed EAP-TLS; zero SSID a chiave condivisa che veicolano ePHI
Controlli di audit, 164.312(b)	Log ed evidenze di revisione	Esportazione di RADIUS Accounting per un intervallo di date campione; registri di revisione SIEM
Integrità, 164.312(c)(1)	Come le ePHI sono protette dalle alterazioni	Impostazioni del cifrario del controller: solo AES, PMF richiesto
Autenticazione, 164.312(d)	Come viene verificata l'identità su ciascun percorso	Procedura di emissione e revoca dei certificati collegata ai dati delle risorse umane
Sicurezza della trasmissione, 164.312(e)(1)	Decisione sulla crittografia, con giustificazione se non implementata	Configurazione WPA3-Enterprise e registro di dismissione degli SSID legacy
Cessazione, 164.308(a)(3)(ii)(C)	Prova che le persone uscite dall'organizzazione perdano l'accesso	Timestamp di revoca impostati in base alle date di uscita dalle risorse umane

Aspettati domande anche sulla rete per pazienti e visitatori. Gli auditor vorranno verificare che non possa accedere ai dati ePHI.

Qual è la collocazione di dispositivi medici e WiFi per pazienti rispetto al WiFi per lo staff?

Le pompe per infusione e le apparecchiature di imaging rientrano nell'ambito di applicazione?

Questa è la domanda di definizione dell'ambito che mette in difficoltà molti team IT sanitari. La verifica consiste nel determinare se il dispositivo crea, riceve, conserva o trasmette ePHI. Le pompe per infusione intelligenti che scambiano con l'EHR ordini collegati ai pazienti rientrano nell'ambito. Lo stesso vale per le modalità di imaging che inviano studi DICOM ai PACS e per i monitor per telemetria che trasmettono a una stazione centrale. Un registratore di temperatura per il frigorifero dei vaccini non trasporta dati dei pazienti e rimane al di fuori dell'ambito ePHI.

La difficoltà risiede nel fatto che molti dispositivi rientranti nell'ambito non possono eseguire 802.1X, EAP-TLS o WPA3. La guida sulla cybersicurezza pre-commercializzazione della FDA del 2023 si applica alle nuove presentazioni di dispositivi. Il parco installato esistente rimane com'è.

In che modo la segmentazione VLAN limita il rischio

Una VLAN (LAN virtuale) è un segmento di rete logicamente separato su hardware condiviso. Colloca l'IoT clinico su SSID dedicati o gruppi iPSK, mappati su una VLAN per ciascuna classe di dispositivi. Le regole del firewall consentono quindi a ogni classe di raggiungere solo i server designati, come il server delle pompe o il PACS. I dispositivi dello staff non possono raggiungere direttamente le pompe e le pompe non possono raggiungere la VLAN dello staff.

La pubblicazione Health Industry Cybersecurity Practices dell'HHS 405(d) raccomanda di segmentare i dispositivi medici dalle reti generali. Registra la segmentazione nella tua analisi dei rischi come controllo compensativo per i dispositivi che non possono autenticarsi tramite certificato. Mantieni anche i registri RADIUS per i dispositivi iPSK e con autenticazione MAC, in modo che ogni classe di dispositivi appaia nel registro di audit.

La rete per pazienti e visitatori

La rete per pazienti e visitatori non trasporta dati ePHI, ma raccoglie dati personali tramite il Captive Portal. Un Captive Portal è la pagina web che un visitatore visualizza prima di accedere a Internet. Gli auditor chiederanno come tale rete sia isolata dai segmenti clinici. SecurePass, il modulo aggiuntivo di sicurezza per Purple Guest WiFi, offre lo stesso approccio basato sull'identità a pazienti e visitatori.

Due scenari pratici

Un ospedale di contea dismette la passphrase condivisa dello staff

Situazione. Si consideri un ospedale gestito dalla contea con 350 posti letto. L'SSID dello staff utilizzava WPA2-PSK e la passphrase era stata condivisa per anni con gli infermieri interinali. Le pompe per infusione si trovavano sulla stessa rete. L'analisi annuale dei rischi ha evidenziato il mancato rispetto dell'identificazione univoca.

Intervento effettuato. Le workstation gestite e i dispositivi palmari sono stati trasferiti a EAP-TLS, con certificati rilasciati tramite la piattaforma MDM alle identità Microsoft Entra ID. La policy RADIUS ha assegnato le VLAN in base al gruppo Microsoft Entra ID. I registri contabili sono stati inviati in streaming al SIEM, con una revisione documentata a cadenza settimanale. Le pompe sono state trasferite su iPSK all'interno di una VLAN isolata, autorizzata a raggiungere solo il server delle pompe. I telefoni personali dello staff sono stati spostati su un SSID con solo accesso a Internet.

Risultato. I segreti condivisi sulle reti che gestiscono ePHI sono scesi da due a zero. "Chi era connesso all'access point della sala farmaci alle 02:00?" è diventata una semplice query SIEM. In precedenza richiedeva la correlazione manuale dei lease DHCP con i log dei badge. Gli ex dipendenti ora perdono l'accesso non appena il loro certificato viene revocato e l'appartenenza al gruppo Microsoft Entra ID viene rimossa. Nessun altro dispositivo viene impattato.

Una catena di farmacie unifica l'accesso dello staff in 60 punti vendita

Situazione. Consideriamo una catena di farmacie regionale con 60 punti vendita, ciascuno dotato di un dispensario e una sala clinica. Le farmacie sono entità soggette a HIPAA. I pagamenti con carta rientrano inoltre nell'ambito del PCI-DSS. Ogni punto vendita utilizzava un'unica passphrase condivisa per i terminali del dispensario, i tablet e i telefoni dello staff. I punti vendita più recenti utilizzavano Cisco Meraki, mentre i più datati utilizzavano Ubiquiti UniFi.

Azione intrapresa. Ogni punto vendita ha ottenuto un SSID per lo staff basato su 802.1X con EAP-TLS, autenticato tramite un unico servizio RADIUS-as-a-Service in cloud. Nessun access point è stato sostituito. I log di tracciamento sono stati centralizzati in un unico registro. I clienti del settore Retail sono rimasti su una rete guest separata.

Risultato. Le passphrase condivise a livello di punto vendita sono scese da 60 a zero, eliminando la necessità di uscite tecniche per la rotazione delle password. Un unico set di controlli risponde ora ai requisiti di identificazione univoca HIPAA e al Requisito 8.2.1 del PCI-DSS v4.0, che richiede un ID univoco per ogni persona.

Quali sono i limiti dei controlli WiFi in un'analisi dei rischi HIPAA?

I controlli WiFi proteggono un solo tratta della connessione (hop). I controlli di accesso EHR, il TLS a livello applicativo e la crittografia degli endpoint gestiscono il resto del carico. La normativa HIPAA è neutrale dal punto di vista tecnologico e non specifica alcun protocollo wireless, quindi la tua analisi dei rischi deve giustificare ogni scelta.

I dispositivi legacy definiscono il livello minimo di sicurezza. La modalità di transizione WPA3-Enterprise mantiene connessi i client WPA2, ma mantiene anche le vulnerabilità del WPA2 su tale SSID. È consigliabile configurare un SSID esclusivamente WPA3 per i dispositivi compatibili e pianificare la dismissione dell'SSID in modalità di transizione.

I certificati richiedono una gestione del ciclo di vita. Un certificato del server RADIUS scaduto manda offline tutti i client contemporaneamente. Automatizza il rinnovo e monitora le date di scadenza.

Il roaming richiede un'ottimizzazione accurata. Uno scambio 802.1X completo su ogni access point introduce ritardi, percepibili anzitutto dai badge vocali. Lo standard Fast BSS transition (802.11r) riduce questa latenza. Consulta 802.11r e 802.11k su Android: deployment del roaming veloce su Cisco Meraki, HPE Aruba e Ubiquiti UniFi. Per le infrastrutture Meraki, consulta Cisco Meraki 802.11r adaptive vs enabled: risolvere il roaming sugli access point MR.

Infine, la Public Law 116-321 impone all'HHS di tenere conto delle pratiche di sicurezza riconosciute e adottate nei 12 mesi precedenti per la determinazione delle sanzioni. Mappare i controlli wireless rispetto alle pratiche 405(d) offre un vantaggio concreto in questa fase.

Cosa fare prima della prossima analisi dei rischi?

1. Censire ogni SSID, il relativo metodo di autenticazione, la cifratura e la VLAN.
2. Classificare i dispositivi in: staff gestito, staff personale, IoT clinico o guest.
3. Migrare i dispositivi gestiti a EAP-TLS, con criteri regolati dai gruppi di directory.
4. Disabilitare il TKIP, richiedere il PMF e pianificare l'adozione di WPA3-Enterprise.
5. Invia i dati di accounting RADIUS in streaming al tuo SIEM, documenta la revisione e imposta la conservazione.
6. Segmenta l'IoT clinico per classe di dispositivi e documenta i controlli compensativi.
7. Convalida nuovamente la copertura dopo le modifiche a cifratura e SSID. WiFi Site Surveys: A Practical Planning Guide definisce il metodo.
8. Registra ogni decisione nell'analisi dei rischi, allegando le relative prove.

Staff WiFi di Purple offre 802.1X con EAP-TLS, criteri VLAN per singola persona e accounting RADIUS basato su cloud centralizzato. Si integra perfettamente su hardware Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Microsoft Entra ID, Okta e Google Workspace gestiscono gli ingressi, i trasferimenti e le uscite del personale. Purple è certificata ISO 27001 ed è attiva in oltre 80.000 location reali, con 440 milioni di accessi nel 2024 (dati Purple). Scopri di più sulla nostra pagina Healthcare e nell'articolo Why your next WiFi upgrade doesn't need new hardware.

Consulta anche la panoramica su Staff WiFi di Purple, SecurePass per la rete di pazienti e visitatori, e le nostre guide alla conformità staff WiFi per ISO 27001 e SOC 2 se gestisci più standard contemporaneamente.

Domande frequenti

La normativa HIPAA richiede WPA3-Enterprise o è accettabile anche WPA2-Enterprise?

No, HIPAA non cita espressamente WPA3-Enterprise o qualsiasi altro protocollo. WPA2-Enterprise con AES-CCMP ed EAP-TLS rimane difendibile in un'analisi dei rischi allo stato attuale. WPA2 con TKIP non lo è, poiché IEEE ha deprecato tale cifrario nello standard 802.11-2012. Implementa WPA3-Enterprise sui nuovi SSID del personale dove i dispositivi lo supportano e documenta un piano datato per i restanti. L'aggiornamento proposto per la Security Rule dell'HHS renderebbe obbligatoria la crittografia in transito, quindi progetta la rete seguendo già questo standard.

Possiamo mantenere una passphrase condivisa per il personale se la documentiamo nell'analisi dei rischi?

No, non per l'accesso del personale alle ePHI. L'identificazione univoca dell'utente ai sensi del paragrafo 164.312(a)(2)(i) è una specifica obbligatoria, pertanto la documentazione non può sostituirla. Una passphrase condivisa non identifica alcuno e ogni dipendente che lascia l'azienda mantiene l'accesso fino alla rotazione successiva. Le chiavi condivise o per singolo dispositivo rimangono accettabili solo per i dispositivi clinici headless. Tali dispositivi richiedono comunque la segmentazione VLAN e i controlli compensativi prescritti nella tua analisi dei rischi.

Sono necessari nuovi access point per passare a 802.1X ed EAP-TLS?

No, 802.1X ed EAP-TLS funzionano sugli access point enterprise già presenti nella maggior parte degli ospedali. Il cloud RADIUS di Purple lavora con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Il lavoro riguarda l'emissione dei certificati, l'integrazione della directory e i criteri RADIUS, non l'hardware. Pianifica una verifica della copertura radio solo se stai passando anche a WPA3, poiché gli access point più datati potrebbero richiedere un aggiornamento del firmware.

Per quanto tempo dobbiamo conservare i log degli accessi wireless per la conformità HIPAA?

Conservali per sei anni se desideri una configurazione predefinita difendibile. La norma sulla documentazione HIPAA al punto 164.316(b)(2)(i) richiede una conservazione di sei anni per la documentazione obbligatoria. Molte organizzazioni applicano lo stesso periodo alle prove del registro di audit sottostanti. Conferma il periodo con il tuo responsabile della conformità, poiché la legge statale potrebbe richiedere tempi più lunghi. Memorizza i record di RADIUS Accounting in un sistema che puoi interrogare per persona, dispositivo e intervallo di date.

I dispositivi medici connessi al WiFi rientrano nell'ambito delle tutele tecniche?

Sì, se il dispositivo crea, riceve, gestisce o trasmette ePHI. Le pompe per infusione intelligenti collegate all'EHR, le modalità di diagnostica per immagini che inviano studi al PACS e i monitor di telemetria sono tutti idonei. I dispositivi che non possono eseguire EAP-TLS devono essere posizionati su VLAN dedicate, utilizzando iPSK dove possibile. Le regole del firewall dovrebbero limitare ogni classe di dispositivi ai soli server nominati. Registra la segmentazione come controllo compensativo nella tua analisi dei rischi.

Un revisore OCR chiederà informazioni sul nostro WiFi per pazienti e visitatori?

Sì, aspettati domande sulla rete per pazienti e visitatori insieme al WiFi del personale. I revisori vogliono la prova che non possa raggiungere i segmenti clinici che trasportano ePHI. Potrebbero anche chiedere come il Captive Portal gestisce i dati personali. Mostra la struttura della rete, le regole del firewall e i dati raccolti al momento dell'accesso. SecurePass, il componente aggiuntivo di sicurezza per Purple Guest WiFi, estende l'accesso basato sull'identità a pazienti e visitatori.

Purple si integra con Microsoft Entra ID, Okta e Google Workspace?

Sì, il WiFi per il personale di Purple si integra con Microsoft Entra ID, Okta e Google Workspace. I gruppi di directory guidano i criteri RADIUS, quindi il ruolo di una persona determina la VLAN che può raggiungere. I nuovi assunti ottengono l'accesso quando vengono aggiunti al gruppo corretto. Chi cambia ruolo cambia VLAN quando cambia il suo gruppo. Chi lascia l'azienda perde l'accesso quando si revoca il relativo certificato e si rimuove l'appartenenza al gruppo, con ogni passaggio registrato per la traccia di audit.