Datenschutzverletzungen im Gesundheitswesen verursachen mittlerweile durchschnittliche Kosten von 7.42 Millionen US-Dollar pro Vorfall – die höchsten Kosten aller Branchen seit 14 Jahren in Folge, so das Unternehmen. IBMs Bericht über die Kosten einer Datenschutzverletzung 2025Die Datensicherung ist die letzte technische Kontrollinstanz zwischen einem Ransomware-Angriff und einer meldepflichtigen HIPAA-Verletzung, und dennoch ist sie auch die am häufigsten falsch konfigurierte Ebene der IT-Infrastruktur im Gesundheitswesen.
HIPAA schreibt kein bestimmtes Backup-Produkt vor. Die Sicherheitsrichtlinie ist bewusst technologieneutral. Gemäß 45 CFR §164.308(a)(7) müssen betroffene Einrichtungen und Geschäftspartner jedoch Verfahren zur Erstellung und Pflege wiederherstellbarer, exakter Kopien elektronischer geschützter Gesundheitsinformationen (ePHI) einrichten. Der Begriff „wiederherstellbar“ ist hierbei von entscheidender Bedeutung. Ein Backup, das den Wiederherstellungstest nicht besteht, ist nicht HIPAA-konform.
Dieser Leitfaden erläutert, was HIPAA tatsächlich von Ihrer Backup-Infrastruktur verlangt, welche technischen Sicherheitsvorkehrungen gelten, wie Sie beurteilen können, ob eine Lösung tatsächlich HIPAA-konform ist (und nicht nur als solche vermarktet wird) und welche Kontrollen sowohl für die Backup- als auch für die Wiederherstellungsseite der Gleichung wichtig sind.
Erfahren Sie, wie Zmanda Pro HIPAA-konforme Datensicherung unterstützt.
Was HIPAA tatsächlich für Backups vorschreibt
Die HIPAA-Sicherheitsrichtlinie (45 CFR Teil 164) regelt den Schutz elektronischer Gesundheitsdaten (ePHI). Sie unterteilt die Anforderungen in drei Schutzkategorien: administrative, physische und technische. Alle drei Kategorien sind eng mit der Datensicherung verknüpft, was von Unternehmen häufig unterschätzt wird.
Die relevanteste Bestimmung ist die Standard für Notfallpläne gemäß den Bestimmungen zu administrativen Schutzmaßnahmen (§164.308(a)(7)), die von den betroffenen Einrichtungen Folgendes verlangen:
- Verfahren zur Erstellung und Pflege abrufbarer, exakter Kopien von ePHI einrichten und implementieren. Datensicherungsplan.
- Notfallwiederherstellungsverfahren einrichten und umsetzen, Notfallwiederherstellungsplan.
- Notfallbetriebsverfahren festlegen und umsetzen, Notfallbetriebsplan.
- Verfahren für die regelmäßige Überprüfung und Überarbeitung von Notfallplänen implementieren, Test- und Überarbeitungsverfahren.
- Beurteilen Sie die relative Kritikalität spezifischer Anwendungen und Daten, die Anwendungs- und Datenkritikalitätsanalyse.
Zwei dieser fünf – der Datensicherungsplan und die Test- und Überarbeitungsverfahren – sind falls angefordert Spezifikationen. Die anderen drei sind adressierbarDas bedeutet, Sie müssen prüfen, ob diese Punkte zutreffen, und Ihre Gründe dokumentieren, falls Sie sie nicht anwenden. In der Praxis sollte jede Organisation, die elektronische Gesundheitsdaten (ePHI) produktiv nutzt, alle fünf Punkte umsetzen.
| HIPAA-Bestimmung | Standard-Typ | Was es von Ihrem Backup benötigt |
|---|---|---|
| §164.308(a)(7) — Datensicherungsplan | Erforderlich | Wiederherstellbare, exakte Kopien aller elektronischen Gesundheitsdaten; dokumentierte Sicherungsverfahren |
| §164.308(a)(7) — Katastrophenwiederherstellungsplan | Erforderlich | Verfahren zur Wiederherstellung verlorener Daten; definierte RTO/RPO-Ziele |
| §164.308(a)(7) — Prüfung und Überarbeitung | Adressierbar | Regelmäßige Wiederherstellungstests; dokumentierte Testergebnisse und Behebungsmaßnahmen |
| §164.312(a)(2)(iv) — Verschlüsselung ruhender Daten | Adressierbar | Elektronische Gesundheitsdaten (ePHI) in Sicherungsdateien verschlüsseln; NIST-zugelassene Algorithmen empfohlen |
| §164.312(e)(2)(ii) — Verschlüsselung während der Übertragung | Adressierbar | ePHI während der Übertragung von der Quelle zum Sicherungsziel verschlüsseln |
| §164.312(b) — Prüfungskontrollen | Erforderlich | Protokollierung aller Sicherungs- und Wiederherstellungsaktivitäten; Zugriffsüberwachung |
| §164.312(c)(1) — Integritätskontrollen | Erforderlich | Mechanismen zur Überprüfung, ob elektronische Gesundheitsdaten (ePHI) nicht unsachgemäß verändert oder vernichtet wurden |
| §164.312(d) — Authentifizierung | Erforderlich | Überprüfen Sie die Identität des Benutzers, bevor Sie ihm Zugriff auf Backup-Systeme und elektronische Gesundheitsdaten gewähren. |
Die drei Schutzkategorien und ihre Anwendung auf die Datensicherung
Administrative Sicherungsmaßnahmen
Administrative Sicherheitsvorkehrungen sind die Richtlinien und Verfahren, die den Betrieb Ihres Backup-Programms regeln. Dazu gehört die Festlegung der Verantwortlichen für die Backup-Vorgänge, die Bereitstellung und der Entzug des Zugriffs auf Backup-Systeme sowie die Vorgehensweise Ihres Unternehmens im Falle eines Datenverlusts. HIPAA-konforme Backup-Lösung Sie müssen Prüfprotokolle erstellen, die diese administrativen Kontrollen unterstützen und nicht nur die Daten schützen, sondern Ihnen auch dabei helfen, nachzuweisen, dass Sie sie schützen.
Physische Schutzmaßnahmen
Physische Sicherheitsvorkehrungen beziehen sich in erster Linie auf den Ort, an dem die Sicherungsdaten gespeichert werden. Lokale Sicherung Für Backup-Ziele wie NAS und lokale Festplatten sind physische Zugriffskontrollen erforderlich. Cloudbasierte Backup-Ziele müssen in Einrichtungen mit entsprechenden physischen Sicherheitszertifizierungen gehostet werden. Wenn Sie elektronische Gesundheitsdaten (ePHI) im Rahmen Ihrer Backup-Strategie zu einem Cloud-Speicheranbieter replizieren, fällt dessen physische Infrastruktur in Ihren Verantwortungsbereich für das Lieferantenrisikomanagement.
Technische Sicherungsmaßnahmen
Technische Sicherheitsvorkehrungen sind der Bereich, in dem die meisten Backup-Compliance Entscheidungen haben Bestand. Verschlüsselung Zugriffskontrollen (sowohl im Ruhezustand als auch während der Übertragung), Integritätsprüfung und Audit-Protokollierung sind technische Sicherheitsvorkehrungen, die Ihre Backup-Software nativ unterstützen muss. Wenn Ihr Backup-Agent die Daten verschlüsselt, bevor sie den Quellendpunkt verlassen, erfüllen Sie eine der wichtigsten technischen Anforderungen direkt am Ursprungsort – bevor die Daten Netzwerkrisiken oder der Infrastruktur von Drittanbietern ausgesetzt sind.
Wichtige technische Anforderungen an HIPAA-konforme Backup-Software
Nicht jede als „HIPAA-konform“ beworbene Backup-Lösung erfüllt tatsächlich die technischen Anforderungen. Hier erfahren Sie, was Sie überprüfen sollten, bevor Sie davon ausgehen, dass Ihre aktuelle Lösung die Anforderungen erfüllt.
1. Clientseitige Verschlüsselung mit NIST-zugelassenen Algorithmen
Verschlüsselung Technisch gesehen ist dies gemäß HIPAA „adressierbar“, doch das US-Gesundheitsministerium (HHS) hat klargestellt, dass Organisationen elektronische Gesundheitsdaten (ePHI) verschlüsseln müssen, sofern sie keine praktikable Alternative nachweisen können. In der Praxis muss jede Organisation, die ePHI überträgt oder in Backups speichert, diese verschlüsseln. Entscheidend für die Einhaltung der Vorschriften ist, wo die Verschlüsselung erfolgt und welcher Algorithmus verwendet wird. Clientseitige Verschlüsselung, bei der die Daten vor der Übertragung auf dem Quellendpunkt verschlüsselt werden, ist aus HIPAA-Sicht deutlich sicherer als serverseitige Verschlüsselung, da selbst Ihr Backup-Anbieter keinen Zugriff auf Ihre ePHI hat. AES-256, insbesondere in einer nach FIPS 140-2 validierten Implementierung, ist der empfohlene Standard.
2. Verschlüsselung während der Übertragung
Die Übertragung von Sicherungsdaten vom geschützten Endpunkt zum Sicherungsziel muss verschlüsselt erfolgen. TLS 1.2 oder 1.3 wird als Mindeststandard erwartet. Stellen Sie sicher, dass Ihre Sicherungssoftware sowohl den Steuerungskanal (Authentifizierung, Auftragsverwaltung) als auch den Datenkanal (die eigentliche Sicherungsnutzlast) während der Übertragung verschlüsselt. Einige Lösungen verschlüsseln zwar die Steuerungsebene, nicht aber die Datenebene; diese Lücke stellt ein Sicherheitsrisiko dar.
3. Zugriffskontrollen und Multi-Faktor-Authentifizierung
Die Authentifizierungspflicht gemäß HIPAA (§164.312(d)) verlangt, dass Benutzer vor dem Zugriff auf Systeme mit elektronischen Gesundheitsdaten (ePHI) verifiziert werden. Für Backup-Systeme bedeutet dies, dass die Multi-Faktor-Authentifizierung (MFA) für alle Administratoren, die auf Backup-Daten zugreifen, diese löschen oder wiederherstellen dürfen, erzwungen werden muss. Die rollenbasierte Zugriffskontrolle (RBAC) ist ebenso wichtig,¹¹ da nicht jeder IT-Mitarbeiter die Wiederherstellungsberechtigung für jede Arbeitslast benötigt. Das Prinzip der minimalen Berechtigungen gilt für die Backup-Administration genauso wie für Produktionssysteme.
4. Audit-Protokollierung und Aktivitätsüberwachung
Backup-Software muss detaillierte Protokolle führen, die festhalten, wer ein Backup initiiert hat, wann es ausgeführt wurde, was erfolgreich war oder fehlgeschlagen ist, wer eine Wiederherstellung veranlasst hat und auf welche Daten zugegriffen wurde. Diese Protokolle dienen als Beweismittel bei einer HIPAA-Prüfung und helfen Ihnen, unberechtigte Zugriffsversuche zu erkennen, bevor diese meldepflichtig werden. Stellen Sie sicher, dass die Audit-Protokolle manipulationssicher, exportierbar und mindestens so lange aufbewahrt werden, wie es die sechsjährige Aufbewahrungsfrist gemäß HIPAA vorsieht.
5. Überprüfung der Datenintegrität
HIPAA schreibt Integritätskontrollen vor, um unbefugte Änderungen oder Löschungen von elektronischen Gesundheitsdaten (ePHI) zu erkennen. Im Bereich der Datensicherung bedeutet dies, dass Ihre Lösung sicherstellen sollte, dass die Sicherungsdaten bytegenau mit den Quelldaten übereinstimmen, und idealerweise automatisierte Wiederherstellungstests durchführen sollte, um die Wiederherstellbarkeit zu bestätigen. Eine Datensicherung, die Daten unbemerkt beschädigt, ist schlimmer als gar keine Sicherung, da sie gerade dann falsche Sicherheit erzeugt, wenn man sie sich am wenigsten leisten kann.
6. Unveränderliche Speicheroptionen
Die Zahl der Ransomware-Angriffe auf Organisationen im Gesundheitswesen stieg zwischen 2018 und 2023 um 264 %. Unveränderlicher Backup-SpeicherDie Möglichkeit, Sicherungsdaten während eines festgelegten Aufbewahrungszeitraums – selbst von Administratoren – weder zu verändern noch zu löschen, etabliert sich in HIPAA-regulierten Umgebungen als De-facto-Standard. Die Unterstützung von Objektsperren (AWS S3, Wasabi) oder die Unveränderlichkeit auf ZFS-Ebene gewährleisten diesen Schutz auf der Speicherebene, unabhängig von den Kontrollen der Sicherungssoftware. Weitere Informationen finden Sie in unserem Leitfaden. unveränderliche Backup-Lösungen Für eine vollständige Aufschlüsselung der verfügbaren Ansätze.
Was eine Vereinbarung mit Geschäftspartnern umfasst und was nicht.
Wenn Ihre Backup-Software als SaaS-Lösung bereitgestellt wird, d. h. der Anbieter die Backup-Serverinfrastruktur verwaltet, gilt Ihr Backup-Anbieter als Geschäftspartner im Sinne des HIPAA. Sie benötigen eine unterzeichnete Vereinbarung zur Geschäftspartnerschaft (Business Associate Agreement, BAA) mit ihm, bevor elektronische Gesundheitsdaten (ePHI) über seine Systeme übertragen werden. Der Betrieb ohne BAA setzt Ihr Unternehmen der Meldepflicht bei Datenschutzverletzungen und potenziellen Strafen des Office for Civil Rights (OCR) aus, unabhängig davon, wie technisch einwandfrei die Lösung ist.
Eine BAA legt fest, dass Ihr Anbieter ePHI nur zur Erbringung der vertraglich vereinbarten Dienstleistung verwendet, geeignete Sicherheitsvorkehrungen zum Schutz von ePHI trifft, jeden Sicherheitsvorfall oder jede Datenschutzverletzung im Zusammenhang mit ePHI meldet und ePHI bei Vertragsende zurückgibt oder vernichtet.
Was ein BAA tut kein Frontalunterricht. Hinweis: Die Unterzeichnung einer BAA durch Ihren Anbieter macht dessen Produkt für Ihren spezifischen Anwendungsfall nicht automatisch HIPAA-konform. Sie müssen weiterhin sicherstellen, dass die technischen Kontrollen, die Verschlüsselung, die Zugriffsverwaltung und die Protokollierung korrekt konfiguriert sind. Die BAA verlagert einen Teil der rechtlichen Verantwortung; die technische Verantwortung wird dadurch nicht übertragen.
Eine architektonische Überlegung, die diese Berechnung verändert: Wenn Ihre Backup-Software eine Direkt-zu-Speicher-ArchitekturWenn Sicherungsdaten direkt von Ihren geschützten Endpunkten an Ihren gewählten Speicherort fließen, ohne jemals die Server des Anbieters zu durchlaufen, verarbeitet Ihr Anbieter von Backup-Software möglicherweise gar keine elektronischen Gesundheitsdaten (ePHI). In diesem Modell ist Ihr Speicheranbieter (bei Cloud-Hosting) der Geschäftspartner, nicht Ihr Anbieter von Backup-Software. Diese architektonische Unterscheidung sollte explizit geprüft werden, bevor Sie entscheiden, welche Anbieter in Ihrem Compliance-Programm BAAs (Business Associate Agreements) erfordern.
Wie man HIPAA-konforme Backup-Software bewertet
Nutzen Sie diese Checkliste, um Backup-Lösungen auf HIPAA-Konformität zu prüfen. Verlangen Sie von den Anbietern schriftliche Zusicherungen; mündliche Zusagen reichen für HIPAA-Audits nicht aus.
| Anforderung | Was zu überprüfen ist | Wichtige Frage an den Verkäufer |
|---|---|---|
| Die clientseitige Verschlüsselung | AES-256, FIPS 140-2 validiert | „Wo findet die Verschlüsselung statt? Werden die Schlüssel auf Ihren Servern gespeichert?“ |
| Verschlüsselung während des Transports | TLS 1.2/1.3 auf allen Kanälen | „Sind sowohl die Steuerungsebene als auch die Datenebene während der Übertragung verschlüsselt?“ |
| Multi-Faktor-Authentifizierung | TOTP oder FIDO2 für Administratorzugriff | „Wird die Multi-Faktor-Authentifizierung auf Richtlinienebene erzwungen oder ist sie für jeden Benutzer optional?“ |
| Rollenbasierte Zugriffssteuerung | Granulare Berechtigungsstufen | „Kann ich den Wiederherstellungszugriff auf bestimmte Workloads oder Benutzergruppen beschränken?“ |
| Audit-Protokollierung | Manipulationssichere, exportierbare Protokolle | „Welche Ereignisse werden protokolliert? Wie lange werden die Protokolle aufbewahrt? Kann ich sie exportieren?“ |
| Überprüfung der Datenintegrität | Automatisierte Wiederherstellungstests | „Überprüft die Lösung die Integrität der Datensicherung? Sind die Wiederherstellungstests automatisiert?“ |
| Unterstützung für unveränderlichen Speicher | Objektsperre oder gleichwertig | „Unterstützen Sie S3 Object Lock oder die Unveränderlichkeit von ZFS?“ |
| BAA-Verfügbarkeit | Vom Verkäufer unterzeichnete BAA-Erklärung | „Bieten Sie eine Vereinbarung mit Geschäftspartnern an? Ist diese standardmäßig enthalten oder nur auf Anfrage?“ |
| Dokumentation zur Notfallwiederherstellung | RTO/RPO-Definitionen und -Tests | „Wie dokumentiere und teste ich meinen Notfallwiederherstellungsplan für HIPAA-Prüfungen?“ |
| Datenarchitektur | Direkte Einlagerung vs. Einlagerung über den Lieferanten | „Werden die Sicherungsdaten über Ihre Infrastruktur geleitet oder direkt auf meinem Speicher abgelegt?“ |
Häufige Backup-Fehler, die ein HIPAA-Risiko darstellen
Keine Wiederherstellungstests. HIPAA verlangt nicht nur die Sicherung elektronischer Gesundheitsdaten (ePHI), sondern auch deren Wiederherstellbarkeit. Viele Organisationen führen Backups monate- oder jahrelang durch, ohne die Wiederherstellung zu testen. Erst bei einem Ransomware-Angriff oder Hardwareausfall stellen sie fest, dass ihre Datensicherung unbemerkt fehlerhaft war oder beschädigte Daten erzeugte. Regelmäßige, dokumentierte Wiederherstellungstests sind daher eine Compliance-Anforderung und keine optionale Best Practice. Können Sie die Wiederherstellbarkeit nicht nachweisen, erfüllt Ihre Datensicherung nicht den Standard der „wiederherstellbaren exakten Kopien“.
Sicherungszugangsdaten bei übermäßigen Zugriffsrechten. Verfügt Ihr Backup-Dienstkonto über Domänenadministrator- oder Root-Berechtigungen, erhält ein Angreifer, der dieses Konto kompromittiert, gleichzeitig Zugriff auf Ihre Produktionsumgebung und Ihre Backup-Daten. Backup-Konten sollten dem Prinzip der minimalen Berechtigungen folgen: nur so viel Zugriff, wie zum Lesen der zu sichernden Daten erforderlich ist. Dies ist eine grundlegende Sicherheitsregel, wird aber bei der Überprüfung von Backup-Konfigurationen häufig vernachlässigt.
Unverschlüsselte Sicherungsziele. Die Sicherung elektronischer Gesundheitsdaten (ePHI) auf einem unverschlüsselten NAS-Speicher, in einem S3-Bucket ohne aktivierte Verschlüsselung oder auf einem externen Laufwerk, das das Büro ungeschützt verlässt, birgt ein direktes Risiko gemäß HIPAA. Die Verschlüsselung muss vor dem Erreichen des Zielsystems erfolgen und darf nicht automatisch vom Zielsystem übernommen werden. Stellen Sie sicher, dass die Verschlüsselung sowohl auf Software- als auch auf Speicherebene aktiv ist.
Fehlende oder nicht unterzeichnete BAA. Wenn Sie eine SaaS-Backup-Lösung verwenden und keine Vereinbarung zur Auftragsverarbeitung (BAA) mit Ihrem Anbieter abgeschlossen haben, verstoßen Sie gegen die Vorschriften, unabhängig davon, wie technisch einwandfrei die Lösung ist. Dies ist eine Dokumentationslücke, die das Office for Civil Rights (OCR) bei jeder Compliance-Prüfung feststellen wird. BAAs müssen unterzeichnet sein, bevor elektronische Gesundheitsdaten (ePHI) an die Infrastruktur eines Geschäftspartners übertragen werden.
Datensicherung an einem einzigen Standort. Die Speicherung von Sicherungsdaten an einem einzigen Ort, insbesondere am selben physischen Ort wie Ihre Produktionsdaten, schafft einen Single Point of Failure und untergräbt Ihren Notfallwiederherstellungsplan. Die Anforderungen des HIPAA-Notfallplans implizieren eine geografische Trennung von ePHI-Sicherungen. Ein Ransomware-Angriff, ein Brand oder eine Überschwemmung, die Ihre primäre Umgebung lahmlegt, führt gleichzeitig zum Ausfall der am selben Ort gespeicherten Sicherungen.
Wie Zmanda Pro HIPAA-konforme Datensicherung unterstützt
Zmanda Pro wurde entwickelt, um die von HIPAA geforderten technischen Kontrollen an Backup-Infrastrukturen zu erfüllen. Im Folgenden wird erläutert, wie die relevanten Anforderungen der Architektur von Zmanda Pro zugeordnet werden.
Clientseitige AES-256-Verschlüsselung. Die Sicherungsdaten werden auf dem Quellendpunkt mit AES-256-CTR und Poly1305 AEAD (FIPS 140-2-konform) verschlüsselt, bevor sie das Gerät verlassen. Die Server von Zmanda Pro können Ihre Sicherungsdaten nicht entschlüsseln. Es handelt sich um eine Zero-Knowledge-Architektur: Die Verschlüsselungsschlüssel werden bei der Initialisierung des Datenspeichers generiert und niemals an die Zmanda-Infrastruktur übertragen oder dort gespeichert.
Direkt-zu-Speicher-Architektur. Die Sicherungsdaten werden direkt vom geschützten Endpunkt an Ihr gewähltes Speicherziel übertragen. Sie laufen niemals über die Server von Zmanda. Dadurch wird Ihr Haftungsrisiko gemäß BAA (Business Associate Agreement) minimiert; Ihr Speicheranbieter ist der Geschäftspartner für die übertragenen Daten, nicht Zmanda. Datenschutzarchitektur ist so konzipiert, dass Ihre elektronischen Gesundheitsdaten in Umgebungen aufbewahrt werden, die Sie kontrollieren.
MFA und RBAC. Zmanda Pro unterstützt TOTP und FIDO2 für die Multi-Faktor-Authentifizierung sowie SSO über Microsoft Entra ID, Google und generische OIDC-Anbieter. Die rollenbasierte Zugriffskontrolle ermöglicht es Administratoren, den Zugriff, die Wiederherstellung oder das Löschen bestimmter Sicherungsdaten einzuschränken und so das Prinzip der minimalen Berechtigungen auf der Sicherungsebene durchzusetzen.
Unveränderlicher Speicher. Zmanda Pro unterstützt AWS S3 Object Lock und Wasabi Object Lock sowohl im Governance- als auch im Compliance-Modus sowie die Unveränderlichkeit lokaler Speicherziele auf ZFS-Ebene. Der Snapshot-Schutz verhindert, dass Benutzer, einschließlich Administratoren, Backup-Snapshots während der Aufbewahrungsfrist löschen. In Kombination mit Ransomware-Schutz Durch diese Kontrollen erhalten Gesundheitsorganisationen eine verteidigungsfähige Position gegen Angriffe von außen und Bedrohungen durch Insider.
Audit-Protokollierung. Jeder Backup-Vorgang, jede Wiederherstellung und jede administrative Aktion wird protokolliert. Die E-Mail-Benachrichtigungen umfassen sofortige Auftragsbenachrichtigungen, Zusammenfassungsberichte und Aktivitätsberichte, die alle für die HIPAA-Auditdokumentation exportiert werden können.
HIPAA BAA verfügbar. Zmanda Pro bietet eine unterzeichnete Vereinbarung zur Auftragsverarbeitung für Kunden, die dem HIPAA unterliegen. In Kombination mit der direkten Speicherarchitektur gewährleistet dies eine rechtssichere Compliance für betroffene Einrichtungen und Geschäftspartner. Zmanda Pro ist zudem nach SOC 2 Typ II und ISO 27001 zertifiziert und bietet somit eine unabhängige Bestätigung der Sicherheitskontrollen, die die HIPAA-Konformität gewährleisten.
Für Organisationen, die bewerten HIPAA-konforme Backup-LösungenDie Kombination aus clientseitiger Verschlüsselung, direkter Speicherarchitektur, Unterstützung für unveränderlichen Speicher und BAA-Verfügbarkeit von Zmanda Pro erfüllt die gesamte Bandbreite der technischen Anforderungen ohne ein separates Compliance-Add-on.
Siehe die Preise für Zmanda Pro. um zu verstehen, wie arbeitslastbasierte Preisgestaltung im Gesundheitswesen funktioniert.
Aufbau eines HIPAA-konformen Backup-Programms: Nächste Schritte
Ihre Backup-Infrastruktur muss technischen Anforderungen genügen, ebenso wie Ihre Dokumentation, Ihre Testzyklen und Ihr Lieferantenmanagementprozess.
Beginnen Sie mit einer Lückenanalyse:
- Verschlüsselt Ihre aktuelle Backup-Lösung Daten clientseitig mit einem FIPS 140-2-validierten Algorithmus, erzwingt sie MFA, verwaltet sie exportierbare Audit-Logs und unterstützt sie unveränderliche Speicherung?
- Haben Sie mit Ihrem Backup-Anbieter eine unterzeichnete BAA (Business Associate Agreement), falls dieser elektronische Gesundheitsdaten (ePHI) verarbeitet?
- Haben Sie in den letzten 90 Tagen eine Wiederherstellung aus einem Backup getestet und dokumentiert?
Wenn eine dieser Antworten „Nein“ oder „Ich bin mir nicht sicher“ lautet, ist das Ihr Ausgangspunkt.
Häufig gestellte Fragen
