रुग्णालय कर्मचाऱ्यांच्या WiFi साठी HIPAA टेक्निकल सेफगार्ड्स: Security Rule ची नेमकी काय आवश्यकता आहे

45 CFR 164.312 मधील पाच HIPAA सुरक्षा नियम तांत्रिक संरक्षण मानके रुग्णालयातील कर्मचाऱ्यांच्या WiFi ला लागू होतात. ते म्हणजे ॲक्सेस कंट्रोल, ऑडिट नियंत्रणे, अखंडता, व्यक्ती किंवा अस्तित्व प्रमाणीकरण आणि ट्रान्समिशन सुरक्षा. तुम्ही 802.1X आणि प्रमाणपत्र आधारित EAP-TLS ओळख, ऑडिट लॉग म्हणून RADIUS Accounting, आणि प्रत्येक कर्मचारी SSID वर WPA3-Enterprise एन्क्रिप्शनद्वारे त्यांची पूर्तता करता.

कर्मचाऱ्यांच्या WiFi कडून HIPAA तांत्रिक संरक्षणासाठी काय आवश्यक आहे?

कर्मचाऱ्यांचे WiFi हे HIPAA-सुसंगत आरोग्य सेवा नेटवर्कचा वायरलेस पाया आहे. क्लिनिशियन व्हील्सवरील वर्कस्टेशनवर इलेक्ट्रॉनिक आरोग्य नोंद उघडतात. ते हँडहेल्डवर औषधांचे बारकोड स्कॅन करतात आणि क्लिनिकल कम्युनिकेशन बॅजवर कॉल घेतात. त्यापैकी बहुतेक ट्रॅफिक कर्मचाऱ्यांच्या SSID वरून जाते. Purple चे Staff WiFi त्या SSID ला पासवर्डऐवजी ओळख स्तर म्हणून मानते, आणि सुरक्षा नियम तुम्हाला त्याच दिशेने पुढे नेतो.

सुरक्षा नियम तुम्ही तयार केलेल्या, प्राप्त केलेल्या, व्यवस्थापित केलेल्या किंवा प्रसारित केलेल्या इलेक्ट्रॉनिक संरक्षित आरोग्य माहितीचे (ePHI) संरक्षण करतो (45 CFR 164.306(a)). हे आवश्यकतांना प्रशासकीय, शारीरिक आणि तांत्रिक संरक्षणांमध्ये विभाजित करते. तांत्रिक संरक्षणामध्ये पाच मानके आहेत. तुमचे कर्मचारी WLAN ePHI प्रसारित करते, त्यामुळे हे पाचही वायरलेस स्तरापर्यंत पोहोचतात.

तुम्ही पुढे वाचण्यापूर्वी दोन शब्द महत्त्वाचे आहेत. एक "आवश्यक" अंमलबजावणी तपशील जसा लिहिला आहे तसाच लागू केला पाहिजे. एक "संबोधित करण्यायोग्य" अंमलबजावणी तपशील योग्य आणि योग्य असल्यास लागू केला गेला पाहिजे. जर ते नसेल, तर तुम्ही का ते दस्तऐवजीकरण करता आणि एक समान उपाय स्वीकारता (45 CFR 164.306(d)). संबोधित करण्यायोग्य म्हणजे ऐच्छिक नाही, आणि ओपन रेडिओ लिंकवर एन्क्रिप्शनविरुद्ध क्वचितच विश्वासार्ह युक्तिवाद असतो.

जानेवारी 2025 मध्ये, HHS ने प्रस्तावाची सूचना प्रकाशित केली जी संबोधित करण्यायोग्य श्रेणी काढून टाकेल. ते ट्रान्झिटमधील ePHI चे एन्क्रिप्शन आणि मल्टी-फैक्टर ऑथेंटिकेशन अनिवार्य करेल. तुम्ही तुमच्या पुढील जोखीम विश्लेषणाची व्याप्ती ठरवता तेव्हा त्याची स्थिती तपासा. आता अधिक कडक मजकूरासाठी डिझाइन केल्याने नंतर दुसरे स्थलांतर टाळता येते.

सामायिक केलेला WiFi पासफ्रेझ सुरक्षा नियमात का अपयशी ठरतो?

WPA2-PSK (प्री-शेअर्ड की) नेटवर्क पासफ्रेझ प्रमाणित करते, व्यक्तीला नाही. ते माहित असलेला प्रत्येक परिचारिका, पोर्टर, एजन्सी लोकम आणि कंत्राटदार नेटवर्कसाठी समान दिसतात. 164.312(a)(2)(i) मधील "युनिक वापरकर्ता ओळख" ही एक आवश्यक तपशील आहे. हे तुम्हाला प्रत्येक व्यक्तीला एक अनन्य नाव किंवा क्रमांक नियुक्त करण्यास सांगते, जेणेकरून तुम्ही त्यांना ओळखू शकाल आणि त्यांच्या हालचालींचे अनुसरण करू शकाल. सामायिक केलेला पासफ्रेझ ते करू शकत नाही, आणि कोणतेही दस्तऐवजीकरण ते तथ्य बदलू शकत नाही.

ही अपयश इतर मानकांमध्ये पसरते:

• ऑडिट नियंत्रणे. लॉग मॅक पत्ता आणि आयपी लीज नोंदवतो, कर्मचाऱ्यांचे नाव नाही. सध्याच्या iOS आणि Android आवृत्त्या डीफॉल्टनुसार MAC पत्ते यादृच्छिक करतात, ज्यामुळे ते अधिक कमकुवत होते.
• व्यक्ती किंवा अस्तित्व प्रमाणीकरण. पासफ्रेझ माहित असणे हे ओळखीबद्दल काहीही सिद्ध करत नाही. पासफ्रेझ स्टिकी नोट्स, शिफ्ट रोटा आणि ग्रुप मेसेजद्वारे लीक होतात.
• ट्रान्समिशन सुरक्षा. पासफ्रेज असलेला कोणताही व्यक्ती, ज्याने डिव्हाइसचा फोर-वे हँडशेक्स कॅप्चर केला आहे, तो त्याच्या सत्राच्या कळा (session keys) मिळवू शकतो. ते नंतर त्या डिव्हाइसचा ट्रॅफिक डिक्रिप्ट करू शकतात. जुना पासफ्रेज असलेला माजी कर्मचारी एन्क्रिप्शन सीमेच्या आतच राहतो.
• समाप्ती. 164.308(a)(3)(ii)(C) नुसार रोजगार संपल्यावर ॲक्सेस संपणे अपेक्षित आहे. सामायिक केलेल्या की (shared key) सह, एका व्यक्तीला काढणे म्हणजे प्रत्येकासाठी की बदलणे होय.

तो शेवटचा मुद्दा PSK रोटेशनला फक्त एक दिखावा बनवतो. रोटेशनमुळे प्रत्येक डिव्हाइसमध्ये व्यत्यय येतो, त्यामुळे ते क्वचितच घडते. रोटेशनच्या दरम्यान सोडून जाणारा प्रत्येक व्यक्ती ॲक्सेस कायम ठेवतो.

पाच मानके वायरलेस नियंत्रणांशी कशी जुळतात?

ॲक्सेस नियंत्रण - 164.312(a)(1)

हे मानक ePHI मधील ॲक्सेस केवळ ॲक्सेस अधिकार दिलेल्या लोकांना आणि सॉफ्टवेअरपुरते मर्यादित करते. वायरलेस स्तरावर, 802.1X ची अंमलबजावणी केली जाते. हे एक पोर्ट-आधारित ॲक्सेस नियंत्रण मानक आहे जे प्रत्येक डिव्हाइसची ओळख सिद्ध होईपर्यंत त्याला नेटवर्कपासून दूर ठेवते. RADIUS (रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस) सर्व्हर त्या ओळखीची तपासणी करतो.

EAP-TLS (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रान्सपोर्ट लेयर सिक्युरिटी) सह, ओळख ही नामांकित व्यक्ती किंवा व्यवस्थापित डिव्हाइसला जारी केलेले X.509 प्रमाणपत्र असते. RADIUS नंतर एक पॉलिसी परत करतो: VLAN, भूमिका आणि ॲक्सेस लिस्ट. वार्ड नर्स क्लिनिकल VLAN वर पोहोचते. फॅसिलिटीज कंत्राटदार अशा सेगमेंटवर पोहोचतो जो फक्त बिल्डिंग मॅनेजमेंटपर्यंत पोहोचतो.

आणखी दोन तपशील WiFi ला स्पर्श करतात. स्वयंचलित लॉगऑफ (ॲड्रेसेबल) हे सेशन टाईमआउट आणि री-ऑथेंटिकेशन मध्यांतरांशी जोडलेले असते. आणीबाणीच्या वेळी ॲक्सेस (आवश्यक) म्हणजे जर RADIUS सेवा पोहोचण्यायोग्य नसेल तर काय होईल याची कागदोपत्री योजना.

ऑडिटर काय पाहतो: तुमची ॲक्सेस नियंत्रण पॉलिसी, त्याच्या ऑथेंटिकेशन पद्धतीसह प्रत्येक SSID ची सूची, आणि एखाद्या व्यक्तीला ॲक्सेस कसा मिळतो आणि कसा रद्द होतो. ePHI वाहून नेणारा कोणताही SSID सामायिक की वापरत नाही हे दाखवण्याची अपेक्षा ठेवा.

ऑडिट नियंत्रणे - 164.312(b)

या मानकासाठी ePHI समाविष्ट असलेल्या किंवा वापरणाऱ्या सिस्टीममधील क्रियाकलापांची नोंद ठेवणाऱ्या आणि त्यांची तपासणी करणाऱ्या यंत्रणेची आवश्यकता असते. यामध्ये कोणत्याही अंमलबजावणीचे तपशील नाहीत, त्यामुळे पद्धत तुमची आहे. वायरलेससाठी, RADIUS अकाउंटिंग (RFC 2866) हे ऑडिट लॉग आहे.

प्रत्येक सत्र स्टार्ट, अंतरिम-अपडेट आणि स्टॉप नोंदी तयार करते. हे गुणधर्म थेट ऑडिटरच्या प्रश्नांची उत्तरे देतात:

• कोण: युझर-नेम, प्रमाणपत्र किंवा डिरेक्टरी ओळख.
• कोणते डिव्हाइस: कॉलिंग-स्टेशन-आयडी, क्लायंट MAC ॲड्रेस.
• कुठे: कॉल्ड-स्टेशन-आयडी, ॲक्सेस पॉईंट आणि SSID.
• कधी आणि किती काळासाठी: इव्हेंट-टाईमस्टॅम्प आणि ॲकाउंट-सेशन-टाईम.
• ते का संपले: ॲकाउंट-टर्मिनेट-कॉझ.

रेकॉर्डिंग करणे हे मानकाचे निम्मे काम आहे. तपासणी करणे हा दुसरा भाग आहे, आणि 164.308(a)(1)(ii)(D) ला माहिती प्रणालीच्या क्रियाकलापांचे नियमित पुनरावलोकन आवश्यक आहे. तुमच्या SIEM (सुरक्षा माहिती आणि इव्हेंट व्यवस्थापन) प्लॅटफॉर्मवर स्ट्रीम अकाउंटिंग नोंदी पाठवा. नंतर पुनरावलोकनाचे वेळापत्रक करा आणि त्याचे दस्तऐवजीकरण करा.

ऑडिटर काय पाहतो: नमुना तारीख श्रेणीसाठी एक एक्सपोर्ट आणि कोणीतरी त्याचे पुनरावलोकन करत असल्याचा पुरावा. 164.316(b)(2)(i) ला आवश्यक दस्तऐवजीकरण सहा वर्षांपर्यंत राखून ठेवणे आवश्यक आहे. अनेक संस्था लॉग पुराव्यासाठी हीच कालमर्यादा लागू करतात.

Integrity - 164.312(c)(1)

मानक ePHI ला अयोग्य बदल किंवा नाशापासून सुरक्षित ठेवते. रेडिओ लिंकवर, AES-CCMP प्रत्येक फ्रेममध्ये मेसेज इंटीग्रिटी चेक जोडते. WPA3-Enterprise मुळे Protected Management Frames (IEEE 802.11w) अनिवार्य देखील होतात. हे बनावट डी-ऑथेंटिकेशन फ्रेम्स ब्लॉक करतात, जो क्लीनिकल डिव्हाइसेसना नेटवर्कवरून बाहेर काढण्याचा एक सामान्य मार्ग आहे. WPA3-Enterprise 192-bit मोड AES-GCMP-256 वर शिफ्ट होतो.

TKIP, लेगसी WPA सायफर, कमकुवत इंटीग्रिटी चेकवर अवलंबून असतो. IEEE ने 802.11-2012 मध्ये TKIP बंद केले आहे.

ऑडिटर काय पाहतात: फक्त AES दाखवणारे, TKIP डिसेबल केलेले आणि मॅनेजमेंट फ्रेम प्रोटेक्शन चालू असलेले कंट्रोलर सायफर सेटिंग्ज.

Person or entity authentication - 164.312(d)

अॅक्सेस शोधणारी व्यक्ती किंवा अस्तित्व हीच दावा केलेली व्यक्ती आहे का याची पडताळणी मानकानुसार आवश्यक आहे. PEAP-MSCHAPv2 पेक्षा EAP-TLS चा वापर करण्यासाठीचा हा मुख्य युक्तिवाद आहे.

PEAP (Protected EAP) युझरनेम आणि पासवर्ड एक्सचेंजला TLS टनेलमध्ये वेढून घेते. क्लायंटने सर्व्हर सर्टिफिकेट व्हॅलिडेशन वगळल्यास, एखादा फेक अॅक्सेस पॉइंट तुमच्या नेटवर्कचे रूप धारण करू शकतो. हे MS-CHAPv2 एक्सचेंज कॅप्चर करते, जे ऑफलाइन क्रॅक केले जाऊ शकते. Microsoft Security Advisory 2743314 हे डॉक्युमेंट करते. हे सर्व्हर सर्टिफिकेट व्हॅलिडेशन किंवा सर्टिफिकेट-आधारित ऑथेंटिकेशनवर शिफ्ट होण्याची शिफारस करते. Microsoft हे देखील डॉक्युमेंट करते की Windows Defender Credential Guard सेव्ह केलेल्या क्रेडेंशियल्ससह MS-CHAPv2 साठी सिंगल साईन-ऑन ब्लॉक करते.

EAP-TLS म्युच्युअल सर्टिफिकेट ऑथेंटिकेशन करते. डिव्हाइसकडे प्रायव्हेट की असल्याचे सिद्ध होते आणि सर्व्हर स्वतःची ओळख सिद्ध करतो. फिशिंग करण्यासाठी यात कोणताही पासवर्ड नसतो. प्रायव्हेट की डिव्हाइसच्या TPM (Trusted Platform Module) किंवा सुरक्षित एन्क्लेव्हमध्ये नॉन-एक्सपोर्टेबल स्वरूपात राहू शकते. मेडिकल डिव्हाइसेस देखील एंटिटीज म्हणून मानली जातात आणि सक्षम डिव्हाइसेस स्वतःचे सर्टिफिकेट्स ठेवू शकतात.

ऑडिटर काय पाहतात: तुम्ही प्रत्येक अॅक्सेस रूटवर ओळख कशी पडताळता. "कर्मचाऱ्यांना WiFi पासवर्ड माहीत आहे" हे उत्तर चालत नाही. HR जॉइनर रेकॉर्डशी लिंक असलेली सर्टिफिकेट इश्यू करण्याची प्रक्रिया आणि सोडणाऱ्यांसाठी रिव्होकेशन स्टेप दाखवा.

Transmission security - 164.312(e)(1)

हे मानक ट्रान्सिटमधील ePHI च्या अनधिकृत अॅक्सेसपासून संरक्षण करते. याचे दोन तपशील, इंटीग्रिटी कंट्रोल्स आणि एन्क्रिप्शन, दोन्ही अॅड्रेस करण्यायोग्य आहेत. TKIP सह WPA2-Enterprise अपयशी ठरते, कारण सायफर बंद केला गेला आहे. IEEE 802.11n देखील उच्च-थ्रूपूट दरांमधून TKIP ला वगळते. AES-CCMP सह WPA2-Enterprise आज समर्थनीय आहे. WPA3-Enterprise हे आता डिप्लॉय करण्याचे कॉन्फिगरेशन आहे.

जेव्हा एन्क्रिप्शन NIST SP 800-52, 800-77 किंवा 800-113 चे पालन करते, तेव्हा HHS ब्रीच मार्गदर्शक तत्त्वे मोशनमधील ePHI ला सुरक्षित मानतात. ते पब्लिकेशन्स TLS, IPsec आणि SSL VPNs कव्हर करतात. रेडिओवरील WPA3, स्वतःहून ट्रॅफिकला त्या सेफ हार्बरमध्ये ठेवत नाही. अॅप्लिकेशन-लेयर TLS अजूनही महत्त्वाचे आहे.

ऑडिटर काय पाहतात: प्रत्येक स्टाफ SSID वर एन्क्रिप्शन सेटिंग्ज आणि लेगसी SSID रिटायरमेंटचा रेकॉर्ड.

Which wireless configurations hold up?

iPSK (identity pre-shared key) प्रत्येक डिव्हाइस किंवा डिव्हाइस ग्रुपला एकाच SSID वर स्वतःचा पासफ्रेज देते.

कॉन्फिगरेशन	युनिक ओळख	ऑडिट ट्रेल	ऑथेंटिकेशन	ट्रांझिटमधील एन्क्रिप्शन	ऑडिटची स्थिती
शेअर केलेला WPA2-PSK, TKIP	काहीही नाही - एकच सामायिक सिक्रेट	फक्त MAC आणि IP	पासफ्रेजचे ज्ञान	कालबाह्य सायफर	अयशस्वी
शेअर केलेला WPA2-PSK, AES	काहीही नाही - एकच सामायिक सिक्रेट	फक्त MAC आणि IP	पासफ्रेजचे ज्ञान	AES; कोणताही की (key) धारक कॅप्चर केलेले सेशन्स डिक्रिप्ट करू शकतो	ePHI च्या कर्मचारी ॲक्सेससाठी अयशस्वी
प्रति डिव्हाइस iPSK	प्रति डिव्हाइस, प्रति व्यक्ती नाही	नावाचा डिव्हाइस की	डिव्हाइस की चे मालकी हक्क	AES-CCMP	दस्तऐवजीकरण केलेल्या नुकसान भरपाई नियंत्रणांसह हेडलेस क्लिनिकल डिव्हाइसेससाठी स्वीकार्य
WPA2-Enterprise, PEAP-MSCHAPv2	प्रति व्यक्ती	प्रति सेशन युझरनेम	पासवर्ड; सर्टिफिकेट व्हॅलिडेशन बंद असल्यास उघड होतो	AES-CCMP	सक्तीचे व्हॅलिडेशन आणि मायग्रेशन प्लॅनसह संरक्षण करण्यायोग्य
WPA2-Enterprise, EAP-TLS	प्रति व्यक्ती किंवा डिव्हाइस	प्रति सेशन सर्टिफिकेट ओळख	परस्पर सर्टिफिकेट	AES-CCMP	मजबूत
WPA3-Enterprise, EAP-TLS	प्रति व्यक्ती किंवा डिव्हाइस	प्रति सेशन सर्टिफिकेट ओळख	परस्पर सर्टिफिकेट	AES-CCMP सोबत अनिवार्य PMF	टार्गेट कॉन्फिगरेशन
WPA3-Enterprise 192-bit, EAP-TLS	प्रति व्यक्ती किंवा डिव्हाइस	प्रति सेशन सर्टिफिकेट ओळख	परस्पर सर्टिफिकेट, 384-bit ECC	AES-GCMP-256 सोबत PMF	सर्वोच्च आश्वासन; प्रथम डिव्हाइस सपोर्टची पुष्टी करा

हॉस्पिटलच्या वायरलेस नेटवर्कवर OCR ऑपरेटर काय तपासतो?

HHS चे Office for Civil Rights (OCR) HIPAA ची अंमलबजावणी करते. त्यांची पुनरावलोकने मुख्यत्वे दस्तऐवजांवर आधारित असतात. ऑडिटर्स स्पेक्ट्रम ॲनालायझर घेऊन तुमच्या प्रभागांमध्ये फिरत नाहीत. ते धोरणे, कॉन्फिगरेशन्स आणि नोंदी मागतात, त्यानंतर नोंदी धोरणाशी जुळतात की नाही याची तपासणी करतात.

जोखीम विश्लेषणापासून (risk analysis) सुरुवात करा. डिसेंबर 2020 मध्ये प्रकाशित झालेल्या OCR च्या 2016-2017 HIPAA ऑडिट्स इंडस्ट्री रिपोर्टमध्ये असे आढळून आले की बहुतांश ऑडिट केलेल्या घटकांनी जोखीम विश्लेषण आणि जोखीम व्यवस्थापन प्रभावीपणे लागू केले नाही. WLAN वगळणारे जोखीम विश्लेषण हे एक सोपे त्रुटीचे उदाहरण ठरू शकते.

आवश्यकता	OCR काय पाहण्याची मागणी करते	त्याला उत्तर देणारे वायरलेस पुरावे
जोखीम विश्लेषण, 164.308(a)(1)(ii)(A)	ePHI हाताळणाऱ्या सिस्टीम्सची आणि प्रत्येकावरील धोक्यांची यादी	प्रत्येक SSID, त्याची ऑथेंटिकेशन पद्धत, VLAN आणि डिव्हाइस क्लास
ॲक्सेस कंट्रोल, 164.312(a)(1)	प्रत्येक व्यक्तीकडे युनिक आयडेंटिफायर असल्याचा पुरावा	802.1X आणि EAP-TLS कॉन्फिगरेशन; ePHI वाहून नेणारे शून्य shared-key SSIDs
ऑडिट कंट्रोल्स, 164.312(b)	पुनरावलोकनाचे लॉग आणि पुरावे	नमुना तारीख श्रेणीसाठी RADIUS Accounting एक्सपोर्ट; SIEM पुनरावलोकन नोंदी
एकात्मता, 164.312(c)(1)	ePHI चे फेरबदलापासून संरक्षण कसे केले जाते	कंट्रोलर सायफर सेटिंग्ज: फक्त AES, PMF आवश्यक
ऑथेंटिकेशन, 164.312(d)	प्रत्येक मार्गावर ओळख कशी पडताळली जाते	HR नोंदींशी जोडलेली सर्टिफिकेट जारी करण्याची आणि रद्द करण्याची प्रक्रिया
ट्रान्समिशन सुरक्षा, 164.312(e)(1)	एन्क्रिप्शनचा निर्णय, लागू न केल्यास स्पष्टीकरणासह	WPA3-Enterprise कॉन्फिगरेशन आणि जुन्या SSID चे निवृत्ती रेकॉर्ड
टर्मिनेशन, 164.308(a)(3)(ii)(C)	काम सोडणाऱ्यांचा ॲक्सेस रद्द झाल्याचा पुरावा	HR सोडण्याच्या तारखांनुसार सेट केलेल्या रिव्होकेशन टाइमस्टॅम्प्स

रुग्ण आणि अभ्यागत नेटवर्कबद्दल देखील प्रश्नांची अपेक्षा करा. हे नेटवर्क ePHI पर्यंत पोहोचू शकत नाही हे ऑडिटर्सना पहायचे असते.

कर्मचाऱ्यांच्या WiFi सोबत वैद्यकीय उपकरणे आणि रुग्णांचे WiFi कुठे बसतात?

इन्फ्युजन पंप आणि इमेजिंग उपकरणे स्कोपमध्ये आहेत का?

हा स्कोपिंगचा प्रश्न आहे जो अनेक आरोग्यसेवा IT टीम्सना अडचणीत आणतो. डिव्हाइस ePHI तयार करते, प्राप्त करते, व्यवस्थापित करते किंवा ट्रान्समिट करते का, ही याची चाचणी आहे. EHR सह रुग्ण-लिंक केलेल्या ऑर्डर्सची देवाणघेवाण करणारे स्मार्ट इन्फ्युजन पंप स्कोपमध्ये येतात. PACS ला DICOM अभ्यास पाठवणारे इमेजिंग मोडालिटीज आणि सेंट्रल स्टेशनवर स्ट्रीम करणारे टेलिमेट्री मॉनिटर्स देखील यात येतात. लस फ्रिजचे तापमान नोंदवणाऱ्या लॉगरमध्ये कोणताही रुग्ण डेटा नसतो आणि ते ePHI स्कोपच्या बाहेर असते.

अडचण अशी आहे की स्कोपमधील अनेक उपकरणे 802.1X, EAP-TLS किंवा WPA3 चालवू शकत नाहीत. FDA ची 2023 ची प्रीमार्केट सायबरसुरक्षा मार्गदर्शक तत्त्वे नवीन डिव्हाइस सबमिशनला लागू होतात. तुमचे स्थापित बेस जसे आहे तसेच राहते.

VLAN सबsegmentation धोका कसा मर्यादित करते

VLAN (व्हर्च्युअल LAN) हा सामायिक हार्डवेअरवरील लॉजिकली वेगळा नेटवर्क विभाग आहे. क्लिनिकल IoT समर्पित SSIDs किंवा iPSK ग्रुप्सवर ठेवा, जे प्रति डिव्हाइस क्लास एका VLAN सह मॅप केलेले असतील. त्यानंतर फायरवॉल नियम प्रत्येक क्लासला फक्त त्याच्या नियुक्त सर्व्हरपर्यंत पोहोचण्याची अनुमती देतात, जसे की पंप सर्व्हर किंवा PACS. कर्मचाऱ्यांची उपकरणे थेट पंपांपर्यंत पोहोचू शकत नाहीत आणि पंप कर्मचाऱ्यांच्या VLAN पर्यंत पोहोचू शकत नाहीत.

HHS 405(d) हेल्थ इंडस्ट्री सायबरसुरक्षा प्रॅक्टिसेस पब्लिकेशन सामान्य नेटवर्कपासून वैद्यकीय उपकरणांचे सबsegmentation करण्याची शिफारस करते. प्रमाणपत्राद्वारे प्रमाणीकृत न होऊ शकणाऱ्या उपकरणांसाठी भरपाई नियंत्रण (compensating control) म्हणून तुमच्या जोखीम विश्लेषणात हे सबsegmentation नोंदवा. iPSK आणि MAC-प्रमाणीकृत उपकरणांसाठी RADIUS रेकॉर्ड देखील ठेवा, जेणेकरून प्रत्येक डिव्हाइस क्लास ऑडिट लॉगमध्ये दिसून येईल.

रुग्ण आणि अभ्यागत नेटवर्क

तुमच्या रुग्ण आणि अभ्यागत नेटवर्कमध्ये कोणताही ePHI नसतो, परंतु ते Captive Portal वर वैयक्तिक डेटा गोळा करते. Captive Portal हे एक वेब पेज आहे जे अभ्यागताला ऑनलाइन जाण्यापूर्वी दिसते. ते नेटवर्क क्लिनिकल विभागांपासून कसे वेगळे केले जाते हे ऑडिटर्स विचारतील. SecurePass, जो Purple Guest WiFi चा सुरक्षा ॲड-ऑन आहे, तो रुग्ण आणि अभ्यागतांसाठी समान ओळख-आधारित दृष्टीकोन आणतो.

दोन व्यावहारिक परिस्थिती

काउंटी हॉस्पिटलने त्याचा सामायिक स्टाफ पासफ्रेज बंद केला

परिस्थिती. 350-बेडचे काउंटी-रन हॉस्पिटल विचारात घ्या. त्याचे स्टाफ SSID WPA2-PSK वर चालत होते आणि पासफ्रेज अनेक वर्षांपासून एजन्सी परिचारिकांसोबत शेअर केला गेला होता. इन्फ्युजन पंप त्याच नेटवर्कवर होते. वार्षिक जोखीम विश्लेषणात युनिक आयडेंटिफिकेशन अपूर्ण असल्याचे आढळले.

काय केले गेले. मॅनेज्ड वर्कस्टेशन्स आणि हँडहेल्ड्स EAP-TLS वर हलवले गेले, ज्यामध्ये MDM प्लॅटफॉर्मद्वारे Microsoft Entra ID ओळखींना प्रमाणपत्रे जारी केली गेली. RADIUS पॉलिसीने Entra ID ग्रुपनुसार VLANs नियुक्त केले. अकाउंटिंग रेकॉर्ड्स दरमहा दस्तऐवजीकरण केलेल्या पुनरावलोकनासह SIEM कडे स्ट्रीम केले गेले. पंप एका आयसोलेटेड VLAN वर iPSK वर हलवले गेले, ज्यांना फक्त पंप सर्व्हरपर्यंत पोहोचण्याची अनुमती दिली गेली. कर्मचाऱ्यांचे वैयक्तिक फोन केवळ इंटरनेट-असलेल्या SSID वर हलवले गेले.

परिणाम. ePHI वहन करणाऱ्या नेटवर्कवरील सामायिक सीक्रेट्स दोनवरून शून्यावर आले. "पहाटे ०२:०० वाजता मेडिकेशन-रूम ॲक्सेस पॉइंटवर कोण होते?" हा प्रश्न आता एका सिंगल SIEM क्वेरीद्वारे सुटतो. पूर्वी यासाठी DHCP लीजची बॅज लॉगशी मॅन्युअली जुळवाजुळव करावी लागत असे. आता Microsoft Entra ID ग्रुपचे सदस्यत्व काढून घेतल्यानंतर आणि सर्टिफिकेट रद्द केल्यावर सोडणाऱ्या कर्मचाऱ्यांचा ॲक्सेस लगेच निघून जातो. इतर कोणत्याही डिव्हाइसवर याचा परिणाम होत नाही.

एका फार्मसी साखळीने ६० स्टोअर्समधील कर्मचारी ॲक्सेसचे एकत्रीकरण केले

परिस्थिती. ६० स्टोअर्स असलेली एक प्रादेशिक फार्मसी साखळी गृहीत धरा, ज्यातील प्रत्येक स्टोअरमध्ये एक डिस्पेन्सरी आणि क्लिनिक रूम आहे. या फार्मसी HIPAA च्या कक्षेत येतात. कार्ड पेमेंटमुळे PCI DSS देखील लागू होते. प्रत्येक स्टोअर डिस्पेन्सरी टर्मिनल्स, टॅब्लेट आणि कर्मचाऱ्यांच्या फोनसाठी एकच सामायिक पासफ्रेझ वापरत होते. नवीन स्टोअर्समध्ये Cisco Meraki आणि जुन्या स्टोअर्समध्ये Ubiquiti UniFi वापरले जात होते.

काय करण्यात आले. प्रत्येक स्टोअरमध्ये EAP-TLS सह 802.1X स्टाफ SSID सुरू करण्यात आला, जो एका क्लाउड RADIUS सेवेद्वारे ऑथेंटिकेट होतो. कोणताही ॲक्सेस पॉइंट बदलला गेला नाही. अकाउंटिंग रेकॉर्ड्स एका मध्यवर्ती लॉगमध्ये पाठवले गेले. रिटेल ग्राहक स्वतंत्र गेस्ट नेटवर्कवर राहिले.

परिणाम. स्टोअर-स्तरीय सामायिक पासफ्रेझ ६० वरून शून्यावर आले आणि पासफ्रेझ बदलण्यासाठी लागणाऱ्या फेऱ्याही बंद झाल्या. आता एकच कंट्रोल सेट HIPAA युनिक आयडेंटिफिकेशन आणि PCI DSS v4.0 ची आवश्यकता 8.2.1 पूर्ण करतो, ज्यासाठी प्रत्येक व्यक्तीला युनिक आयडी असणे आवश्यक आहे.

HIPAA जोखीम विश्लेषणात वायरलेस कंट्रोल्सच्या मर्यादा काय आहेत?

WiFi कंट्रोल्स एकाच हॉपचे रक्षण करतात. EHR ॲक्सेस कंट्रोल्स, ॲप्लिकेशन-लेयर TLS आणि एंडपॉइंट एन्क्रिप्शन उर्वरित भार सांभाळतात. HIPAA हे तंत्रज्ञान-तटस्थ आहे आणि कोणत्याही वायरलेस प्रोटोकॉलचे नाव घेत नाही, त्यामुळे तुमच्या जोखीम विश्लेषणात प्रत्येक निवडीचे स्पष्टीकरण दिले पाहिजे.

जुन्या डिव्हाइसेसमुळे किमान मर्यादा ठरते. WPA3-Enterprise ट्रान्सिशन मोड WPA2 क्लायंटला कनेक्ट ठेवतो, परंतु ते त्या SSID वर WPA2 च्या कमतरता देखील कायम ठेवते. सक्षम डिव्हाइसेससाठी केवळ WPA3-Only SSID चालवा आणि जुन्या प्लॅनवरील ट्रान्सिशन SSID बंद करा.

सर्टिफिकेट्सना लाइफसायकलची गरज असते. कालबाह्य झालेले RADIUS सर्व्हर सर्टिफिकेट सर्व क्लायंट्सना एकाच वेळी ऑफलाइन करते. नूतनीकरण स्वयंचलित करा आणि एक्सपायरी तारखांवर लक्ष ठेवा.

रोमिंगमध्ये ट्यूनिंगची आवश्यकता असते. प्रत्येक ॲक्सेस पॉइंटवर पूर्ण 802.1X एक्सचेंज केल्याने विलंब वाढतो, जो व्हॉइस बॅजेसना सर्वात आधी जाणवतो. फास्ट BSS ट्रान्सिशन (802.11r) हा वेळ कमी करते. Android वर 802.11r आणि 802.11k: Cisco Meraki, HPE Aruba आणि Ubiquiti UniFi वर जलद रोमिंग डिप्लॉयमेंट पहा. Meraki नेटवर्कसाठी, Cisco Meraki 802.11r ॲडॉप्टिव्ह विरुद्ध एनेबल्ड: MR ॲक्सेस पॉइंट्सवर रोमिंग समस्येचे निवारण पहा.

शेवटी, Public Law 116-321 HHS ला दंड आकारताना तुम्ही मागील १२ महिन्यांत लागू केलेल्या मान्यताप्राप्त सुरक्षा पद्धतींचा विचार करण्याचे निर्देश देते. तुमचे वायरलेस कंट्रोल्स 405(d) पद्धतींशी मॅप केल्याने येथे मदत होते.

तुमच्या पुढील जोखीम विश्लेषणापूर्वी तुम्ही काय केले पाहिजे?

1. प्रत्येक SSID, त्याची ऑथेंटिकेशन पद्धत, सायफर आणि VLAN ची यादी तयार करा.
2. डिव्हाइसेसचे मॅनेज्ड स्टाफ, पर्सनल स्टाफ, क्लिनिकल IoT किंवा गेस्ट असे वर्गीकरण करा.
3. डिरेक्टरी ग्रुप्सद्वारे चालवल्या जाणाऱ्या पॉलिसीसह मॅनेज्ड डिव्हाइसेस EAP-TLS वर हलवा.
4. TKIP डिसेबल करा, PMF अनिवार्य करा आणि WPA3-Enterprise शेड्यूल्ड करा.
5. RADIUS Accounting तुमच्या SIEM कडे प्रवाहित करा, पुनरावलोकनाचे दस्तऐवजीकरण करा आणि रिटेंशन सेट करा.
6. डिव्हाइस क्लासनुसार क्लिनिकल IoT चे वर्गीकरण करा आणि भरपाई देणाऱ्या नियंत्रणांचे दस्तऐवजीकरण करा.
7. सायफर आणि SSID बदलांनंतर कव्हरेजची पुन्हा पडताळणी करा. WiFi Site Surveys: A Practical Planning Guide ही पद्धत स्पष्ट करते.
8. पुराव्यांसह प्रत्येक निर्णय जोडून तो जोखीम विश्लेषणामध्ये लिहा.

Purple चे Staff WiFi हे EAP-TLS, प्रति-व्यक्ति VLAN पॉलिसी आणि केंद्रीकृत क्लाउड RADIUS accounting सह 802.1X प्रदान करते. हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet हार्डवेअरवर स्तरित कार्य करते. Microsoft Entra ID, Okta आणि Google Workspace हे जॉइनर्स, मूव्हर्स आणि लीव्हर्स व्यवस्थापित करतात. Purple हे ISO 27001 प्रमाणित आहे आणि 80,000+ पेक्षा जास्त थेट ठिकाणी कार्य करते, ज्यामध्ये 2024 मध्ये 440 दशलक्ष लॉगीन्स झाले आहेत (Purple डेटा). आमच्या Healthcare पृष्ठावर आणि Why your next WiFi upgrade doesn't need new hardware मध्ये अधिक वाचा.

तुम्ही एकाच वेळी अनेक फ्रेमवर्क हाताळत असल्यास Purple चे Staff WiFi विहंगावलोकन, रुग्ण आणि अभ्यागतांच्या नेटवर्कसाठी SecurePass, आणि आमचे ISO 27001 व SOC 2 कर्मचार्‍यांचे WiFi अनुपालन मार्गदर्शक देखील पहा.

वारंवार विचारले जाणारे प्रश्न

HIPAA साठी WPA3-Enterprise आवश्यक आहे की WPA2-Enterprise स्वीकार्य आहे?

नाही, HIPAA मध्ये WPA3-Enterprise किंवा इतर कोणत्याही प्रोटोकॉलचे नाव दिलेले नाही. AES-CCMP आणि EAP-TLS सह WPA2-Enterprise आजच्या जोखीम विश्लेषणामध्ये समर्थन करण्यायोग्य आहे. TKIP सह WPA2 स्वीकार्य नाही, कारण IEEE ने 802.11-2012 मध्ये तो सायफर नाकारला आहे. जिथे डिव्हाइसेस समर्थन देतात तिथे नवीन कर्मचारी SSIDs वर WPA3-Enterprise तैनात करा आणि उर्वरित गोष्टींसाठी तारखेनुसार योजनेचे दस्तऐवजीकरण करा. HHS चे प्रस्तावित सुरक्षा नियम अपडेट ट्रान्सिटमधील एनक्रिप्शन अनिवार्य करेल, त्यामुळे आताच त्या मानकांनुसार डिझाइन करा.

आम्ही जोखीम विश्लेषणामध्ये दस्तऐवजीकरण केल्यास कर्मचाऱ्यांसाठी एकच सामायिक पासवर्ड ठेवू शकतो का?

नाही, ePHI च्या कर्मचारी प्रवेशासाठी नाही. 164.312(a)(2)(i) मधील युनिक युजर ओळख हे एक आवश्यक वैशिष्ट्य आहे, त्यामुळे दस्तऐवजीकरण त्याची जागा घेऊ शकत नाही. एक सामायिक पासवर्ड कोणाचीही ओळख पटवत नाही, आणि प्रत्येक सोडणाऱ्या कर्मचाऱ्याकडे पुढील रोटेशनपर्यंत प्रवेश राहतो. सामायिक किंवा प्रति-डिव्हाइस कळा केवळ हेडलेस क्लिनिकल डिव्हाइसेससाठी स्वीकार्य राहतात. त्या डिव्हाइसेसना VLAN वर्गीकरण आणि तुमच्या जोखीम विश्लेषणात लिहिलेल्या भरपाई देणाऱ्या नियंत्रणांची देखील आवश्यकता असते.

802.1X आणि EAP-TLS वर जाण्यासाठी आम्हाला नवीन ॲक्सेस पॉइंट्सची आवश्यकता आहे का?

नाही, 802.1X आणि EAP-TLS बहुतांश रुग्णालयांच्या मालकीच्या एंटरप्राइझ ॲक्सेस पॉइंट्सवर चालतात. Purple चे क्लाउड RADIUS हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत कार्य करते. कार्य हार्डवेअरमध्ये नसून प्रमाणपत्र वितरण, डिरेक्टरी इंटिग्रेशन आणि RADIUS पॉलिसीमध्ये आहे. जर तुम्ही WPA3 वर जात असाल तरच रेडिओ तपासणीचे नियोजन करा, कारण जुन्या ॲक्सेस पॉइंट्सना फर्मवेअर अपडेट्सची आवश्यकता असू शकते.

आम्ही HIPAA साठी वायरलेस ॲक्सेस लॉग किती काळ ठेवावेत?

तुम्हाला बचावात्मक डीफॉल्ट हवा असल्यास ते सहा वर्षांसाठी ठेवा. HIPAA च्या 164.316(b)(2)(i) येथील दस्तऐवजीकरण नियमानुसार आवश्यक दस्तऐवज सहा वर्षांसाठी राखून ठेवणे आवश्यक आहे. अनेक संस्था यामागील ऑडिट लॉग पुराव्यांसाठी समान कालावधी लागू करतात. आपल्या अनुपालन प्रमुखासह कालावधीची पुष्टी करा, कारण राज्याचा कायदा अधिक कालावधीची मागणी करू शकतो. RADIUS Accounting नोंदी अशा सिस्टीममध्ये स्टोअर करा जिथे तुम्ही व्यक्ती, डिव्हाइस आणि तारीख श्रेणीनुसार शोध घेऊ शकता.

टेक्निकल सेफगार्ड्सच्या कक्षेत WiFi वरील वैद्यकीय उपकरणे येतात का?

होय, जर डिव्हाइस ePHI तयार करत असेल, प्राप्त करत असेल, व्यवस्थापित करत असेल किंवा ट्रान्समिट करत असेल तर. EHR शी लिंक केलेले स्मार्ट इन्फ्युजन पंप, PACS कडे स्टडीज पाठवणारे इमेजिंग मोडॅलिटीज आणि टेलिमेट्री मॉनिटर्स हे सर्व पात्र ठरतात. जे डिव्हाइस EAP-TLS चालवू शकत नाहीत ते समर्पित VLANs वर असले पाहिजेत, जिथे शक्य असेल तिथे iPSK चा वापर केला पाहिजे. फायरवॉल नियमांनी प्रत्येक डिव्हाइस क्लासला त्याच्या नाव दिलेल्या सर्व्हरपुरते मर्यादित केले पाहिजे. तुमच्या जोखीम विश्लेषणामध्ये भरपाई नियंत्रण (compensating control) म्हणून नेटवर्क टप्प्यांची नोंद करा.

OCR ऑडिट आमचे रुग्ण आणि अभ्यागत WiFi बद्दल विचारेल का?

होय, कर्मचाऱ्यांच्या WiFi सोबत रुग्ण आणि अभ्यागतांच्या नेटवर्कबद्दल प्रश्नांची अपेक्षा ठेवा. ऑडिटर्सना हे सिद्ध करणे आवश्यक आहे की ते ePHI वाहून नेणाऱ्या क्लिनिकल घटकांपर्यंत पोहोचू शकत नाही. कॅप्टिव्ह पोर्टल वैयक्तिक डेटा कसा हाताळते हे देखील ते विचारू शकतात. साइन-इन वेळी गोळा केलेला डेटा, नेटवर्क डिझाइन आणि फायरवॉल नियम दाखवा. SecurePass, जो Purple Guest WiFi मधील सुरक्षा ॲड-ऑन आहे, तो रुग्ण आणि अभ्यागतांपर्यंत ओळख-आधारित प्रवेश विस्तारतो.

Purple हे Microsoft Entra ID, Okta आणि Google Workspace सह समाविष्ट होते का?

होय, Purple चे Staff WiFi हे Microsoft Entra ID, Okta आणि Google Workspace सह समाविष्ट होते. डिरेक्टरी गट RADIUS पॉलिसी चालवतात, त्यामुळे व्यक्तीची भूमिका ते कोणत्या VLAN पर्यंत पोहोचतात हे ठरवते. योग्य गटात जोडल्यावर नवीन जोडलेल्या लोकांना ॲक्सेस मिळतो. त्यांचा गट बदलल्यावर बदलणाऱ्यांचे VLAN बदलते. जेव्हा तुम्ही त्यांचे प्रमाणपत्र मागे घेता आणि त्यांचे गट सदस्यत्व काढता तेव्हा सोडणारे ॲक्सेस गमावतात, ज्याची प्रत्येक पायरी ऑडिट ट्रेलसाठी नोंदवली जाते.