تحقيق الامتثال لقانون HIPAA ومعيار الأيزو 27001 لإحدى مؤسسات الصحة النفسية

العميل

مؤسسة غير ربحية تعمل كهيئة داعمة لمنظمات الصحة النفسية وعلاج الإدمان في مختلف أنحاء الولايات المتحدة. ولأكثر من 50 عامًا، تُكرس المؤسسة جهودها لدعم تشريعات إنقاذ الحياة وتقديم برامج تدريبية متطورة بشأن تحديات الصحة النفسية وتعاطي المخدرات.

الحاجة إلى تحقيق الامتثال لقانون HIPAA ومعيار الأيزو 27001

كان لدى المؤسسة سياسات أمنية قيد الاستخدام وأخرى قيد التطوير، لكنها كانت تفتقر إلى الكفاءات الداخلية المتخصصة في الامتثال لضمان الالتزام بمعايير قانون نقل التأمين الصحي والمساءلة (HIPAA) ومتطلبات معيار الأيزو 27001. لسد الفجوة المعرفية لديها، كانت المؤسسة تبحث عن مورد موثوق لخدمات استشارات الأمن السيبراني يتمتع بخبرة عملية في الامتثال لمعايير الرعاية الصحية.

منحت المؤسسة ثقتها لخبرة ساينس سوفت الممتدة منذ 19 عامًا في مجال تقنية معلومات الرعاية الصحية و21 عامًا في تقديم استشارات أمان تقنية المعلومات، وكلَّفت فريقنا بمراجعة سياساتها الأمنية وتحسينها.

تقييم السياسات الأمنية وتحسينها

أجرى مدقق الامتثال في فريقنا تقييمًا لمدى امتثال السياسات الأمنية لتقنية المعلومات لدى المؤسسة لمتطلبات قانون HIPAA ومعيار الأيزو 27001. وقد كشف التقييم عن افتقار المؤسسة إلى السياسات والوثائق الداعمة لتقييم وإدارة مخاطر أمان تقنية المعلومات وفقًا لمعايير كل من قانون HIPAA ومعيار الأيزو 27001.

لمعالجة نقص المستندات الداعمة، أعدت ساينس سوفت الوثائق الآتية:

• قائمة لجرد الأصول تضم ملفات تعريفية للأصول برقم تعريفي فريد لكل أصل، وبيانات تخصيص الأصول (مثل، مالكو الأصول والمسؤولين عنها، واستخداماتها، وتفاصيل تخزينها)، وتفاصيل أمان الأصول (السرية، وتقييمات السلامة والتوافر، وتصنيف الأمان).
• سياسة تصنيف البيانات بناء على مستوى حساسية البيانات، وقيمتها، ومدى أهميتها لعمليات المؤسسة واستمرارية أعمالها. ويعد هذا التصنيف أساسيًا لإدارة أصول تقنية المعلومات، كما يساعد على الكشف عن المخاطر المرتبطة بمختلف أنواع البيانات وتحديد الضوابط الأمنية الملائمة.
• سياسة إدارة المخاطر التي تُحدد كيفية الكشف عن مخاطر أمن المعلومات، وتقييمها، وترتيبها حسب أولويتها، وإدارتها، والحد منها وفقًا لمعايير قانون HIPAA ومعيار الأيزو 27001. كما تقدم إطار عمل يتضمن قوالب جاهزة وممارسات فعَّالة لتنفيذ أنشطة إدارة المخاطر، وتوثيقها، ومتابعتها.

بعد إنشاء المستندات اللازمة للامتثال، أجرت ساينس سوفت تدريبًا لفريق أمان تقنية المعلومات في المؤسسة لفهم السياسات والإجراءات الأمنية الجديدة. وفي أثناء الجلسات التدريبية، تعرَّف فريق المؤسسة على التهديدات المحتملة ضد أصول تقنية المعلومات في المؤسسة، وكيفية إجراء تقييمات لمخاطر الأمن السيبراني وإدارة الأصول.

تنفيذ ممارسات الامتثال لمعايير قانون HIPAA ومعيار الأيزو 27001في شهر واحد فقط

في غضون 4 أسابيع فقط، نجحت ساينس سوفت في تقييم وتعزيز امتثال سياسات أمان تقنية المعلومات في المؤسسة لمعايير قانون HIPAA ومعيار الأيزو 27001. إثر ذلك، تمكّن العميل من الحصول على فهم شامل لأصول التكنولوجيا المعلوماتية لديه، واكتسب خبرة عملية بأفضل الأساليب لتقييم المخاطر السيبرانية وأسس إجراءات فعّالة لإدارتها.

كان العميل راضيًا تمامًا عن التعاون المثمر مع ساينس سوفت، ويخطط حاليًا لإشراك فريقنا مرة أخرى لإجراء اختبار الاختراق لبرمجياته.

أُطر عمل الأمن السيبراني المستخدمة

• معايير معالجة المعلومات الفيدرالية (FIPS 199) للتصنيف الأمني للمعلومات وأنظمة المعلومات الفيدرالية.
• دليل المعهد الوطني للمعايير والتكنولوجيا (NIST SP 800-30) لإجراء تقييمات المخاطر.
• دليل المعهد الوطني للمعايير والتكنولوجيا (NIST SP 800-39) لإدارة مخاطر أمن المعلومات.
• معيار ISO/IEC 27005:2018 تقنية المعلومات، وتقنيات الأمان، وإدارة مخاطر أمن المعلومات.