Du har faktisk ikke gitt nok detaljer til å si det ene eller det andre. Det at du ikke så en autentiseringsprompt, utelukker ikke at det kan være en.

Fjerntilgangsverktøyene Jeg bruker i jobben min (som også omhandler HIPAA) begge krever at jeg godkjenner med domeneadministratorlegitimasjonen min og ikke ber brukerne om å godta forbindelsen, fordi jeg har konfigurert dem på den måten.

HIPAA kommer ikke til detaljene i politikken, men innholdet i det er at organisasjonen må ha tilstrekkelig kontroll for å beskytte data. Det er ingenting galt med en uhørt overtakelse fra et HIPAA-perspektiv, så lenge andre kontroller (godkjenning, autorisasjon, tilgangskontrollister, tilgangslogging og revisjon, antimalware på støtte-PC-en, juridiske avtaler på plass mellom støtteorganisasjonen og organisasjonen din, etc) er på plass.

Så uten å vite hva organisasjonen din har i veien for policyer, prosesser og prosedyrer for IT-sikkerhet, er det ingen måte å fortelle.

Når det gjelder hvorvidt uforbeholdne overtakelser er en god ting, så er de ikke det. Du vil virkelig ha en advarsel når noen tar over PCen din for støtte, eller til og med ser på skjermen.

Bruker forfatterens foretrukne omtale i kommentaren:

Er det greit at vår IT-supportentreprenør har muligheten til å fjernkontrollere uten autorisasjon?

Under normale omstendigheter, Ja.

La oss snakke om de spesifikke stikkordene.

Fjernkontroll : Forutsatt at du ikke jobber hjemmefra, husk at IT-administratorer kan sitte i stolen din på slutten av dagen og logge på arbeidsstasjonene dine, installere oppdateringer og ta bilder av datamaskinen på nytt etter at du forlater selskapet. De har allerede full tilgang til datamaskinen din og kan (vanligvis) se alt på den. Det er mulig at de også har tilgang til firmadatabaser og helseposter, og det er sannsynligvis ikke noe de kunne se på skjermen din under en ekstern økt som de ikke allerede ville ha tilgang til utenfor den eksterne økten, hvis de bestemte seg for å se det. Hvis det er tilfelle, kan det å tenke på mer tillatelse, snarere enn å være lovlig, be om tillatelse før du tar over datamaskinen.

Entreprenør : Mange entreprenører jobber som en utvidelse av selskapet, og må signere NDA, HIPAA-avsløringer, delta på opplæring og følge de samme reglene og lovene angående sikkerhet, personvern og etikk som alle ansatte gjør. Selv i en situasjon der en entreprenør ikke ble bedt om å signere noe, ville det ikke gi dem tillatelse til å bryte loven.

Merk : disse uttalelsene er generaliseringer som kan gjelde for helseindustrien, men gjelder ikke nødvendigvis alle bransjer. For eksempel i forsvarsindustrien tillater du kanskje ikke en IT-person å fjernkontrollere inn i en maskin uten brukerinteraksjon i tilfelle brukeren ser på et dokument som ligger over IT-personens klareringsnivå. (Selv om dette ikke er et problem hvis det er dedikerte rom med maskiner spesielt for visning av topphemmelige dokumenter.)

Det avhenger sterkt av landet du bor i, da dette mer er et juridisk spørsmål. I noen stater er denne tilnærmingen juridisk korrekt hvis du signerte den i arbeidsavtalen din, andre forbyr denne fremgangsmåten fullstendig på grunn av personvernregler.

Jeg er helt uenig i svaret og sier: " HIPAA kommer ikke til detaljene i politikken ". Selv om de ikke vil fortelle deg hvordan du skal skrive, eller lage en policy, kommer de inn i VELDIG spesifikk veiledning. Her er upartiske fakta for å svare på spørsmålet ditt. Reglene om HIPAA-krav administrative, fysiske og tekniske garantier gir grunnleggende krav til sikkerhet og personvern:

• Identifikasjon og autentisering
• Revisjonskontroll

Identifikasjon og autentisering

Det er grunnleggende at IT-personell i helsevesenet vet hvem som er få tilgang til nettverket, programvaren og systemene deres, og at personen eller enheten som får tilgang er den som hevdes. HIPAA, 45 CFR del 164.312 (d) .3

Din leverandør og organisasjonen din bryter HIPAA-mandatene, siden HIPAA krever bruk av unike bruker-IDer. Du uttalte at han logget inn uten legitimasjon. Dette svarer på spørsmålet ditt uten å trenge å gå lenger, men videre skal vi gå.

Revisjonskontroll

En helsepersonell vil ønske å lage , lagre og beskytte passende loggfiler for alle sikkerhetsfølsomme aktiviteter som finner sted under en ekstern økt. HIPAA, 45 CFR del 164.312 (b) .6 I tillegg krever HIPAA at en dekket enhet "regelmessig gjennomgår poster over informasjonssystemets aktivitet, for eksempel revisjonslogger, tilgangsrapporter og sikkerhetshendelsessporingsrapporter." HIPAA, 45 CFR 164,308 (a) (1) (ii) (D). I henhold til HITECH-loven kan en pasient be om en regnskapsføring fra en dekket enhet som i utgangspunktet spør "hvem som har sett på helseinformasjonen min" i opptil de tre foregående årene. HIPAA, 45 CFR 164.528 (a) og HITECH Act, 13405 (c). ... må gi et revisjonsspor av pålogginger og påloggingsforsøk. HIPAA, 45 CFR 164.308 (a) (5) (ii) (C)

Du uttalte at en leverandør som var logget på uten legitimasjon, utenfor verbale notater (som ikke betyr noe i en domstol) hva slags revisjon ble gjort via logger? Selv om du HAR har en logg over hendelsen, hvem skal du knytte den til?

Vel, nei. Hvis han kan komme inn uten autorisasjon enn noen kan komme inn uten autorisasjon. Imidlertid

1) Du ga ham lovlig autorisasjon. Dette er ikke det samme som teknisk autorisasjon. Hvis jeg ringte noen opp og ba om hjelp og han opp og gjorde det eksternt, og jeg ikke vet hvordan han kom inn for å gjøre det, ville jeg også være nervøs.

2) Din IT-støtte har sannsynligvis noe slags ekstern tilgang allerede konfigurert. Dette er praktisk av mange grunner. Her er det viktigst å vite hvordan det fungerer skjønt.

3) Hvis metoden for ekstern tilgang ikke gir logger, tilfredsstiller den ikke HIPAA.