【独家】抵御移动设备威胁的13个秘笈

【HC3i独家翻译】随着闪盘、智能电话、平板电脑、笔记本等医疗行业移动设备的风险不断增加，医院正在承受着降低这些风险的压力。ID Experts网站的成员相信，现在应该对移动战略和受保护的健康信息进行评估。

ID Experts和其它网站总结了抵御移动设备风险的13大秘笈。

1、给USB上锁。Tower咨询集团副总裁Christina Thielst指出，可以锁定电脑、笔记本或其它设备的USB。锁定USB能够防止通过USB端口和闪盘上传或下载未授权的数据。“我们可以轻松地将设备插上廉价解决方案的端口，为加密或安装其它解决方案提供额外的保护，”她说，“使用授权的USB端口可以解除锁定。”

2、定位跟踪软件或服务。ID Experts网站总裁兼创办人Rick Kam表示，软件是一种廉价的保险方案，可以预防丢失或失窃现象的发生，以防有人跟踪、定位或清除设备上的所有信息。“绝大部分医疗机构目前缺少充足的资源来防止或检测到病人信息的访问、丢失或失窃，”他说，“丢失或失窃的计算或数据服务是健康数据偷窃事件时有发生的主要原因。”

3、锁定丢失或失窃设备。“去年我们发现，很多员工都接受了远程清除流程，这个流程可以锁定丢失或失窃的设备，而不是仅仅清除加密的公司信息，”Nelson Mullins Riley & Scarborough LLP合伙人Jon Neiditz表示。他解释说，人们很容易接受设备锁定是因为云储存常常对个人信息进行备份，“因此，锁定整个设备并不会导致数据的丢失，”他说。

4、加密、加密、再加密。Apgar and Associates首席执行官兼总裁Chris Apgar表示，远程使用所有移动设备，其中包括USB驱动器等常被忽视的硬件，都应该被加密。“加密的成本不高，但却可以很好地抵制医疗机构的风险，”他说，“网络犯罪都与人有关，所以并不会发生多少泄密事件。”

5、放弃“休眠模式”。Kivu咨询有限公司(Kivu Consulting)总经理Winston Krone表示，医疗机构安装的大部分主流的加密产品都被配置成一旦输入密码，笔记本就处于未加密的状态，这就意味着在关闭前，产品一直处于未保护的状态。“仅仅把笔记本设置为‘休眠’模式并不能进行加密保护，”他表示，“笔记本被盗是因为‘休眠’模式使笔记本处于未保护的状态。”

6、员工须使用个人设备。Davis Wright Tremaine LLP合伙人Adam Greene表示，即便这个规定与政策相悖，但确是事实。“医疗机构应该考虑记录风险评估中的风险，确定防护措施来限制个人设备的不当使用，”他说。为了进一步降低风险，还应考虑问题的根源。“向员工提供机构系统缺乏的个人设备有什么好处呢?”

7、采取得力的防护措施，允许通过移动设备访问受保护的健康信息。Schwabe, Williamson & Wyatt公司律师Kelly Hagan表示，实施光学字符识别优先考虑移动设备，移动设备可以证明对安全技术进行巨大投资的合理性。“如果该技术的花费超机构无法承受，那么机构就不应该允许移动设备的访问，”她说，“这很危险，花费的金额可能要远远高于提供很好的技术保障的花费。”

8、告诉员工保护移动设备的重要性。“危险行为包括下载应用程序、从未经许可的、可能含有恶性软件的网上商店购买免费软件、关闭安全设置、传输或休眠过程中不加密数据、不及时汇报(可能含有机密和敏感信息的)遗失或被窃的设备，”Ponemon研究所(Ponemon Institute)主席和创建人Larry Ponemon表示。

9、实现电子被保护健康信息(EPHI)的安全性。网络数据风险管理人公司(Cyber Data Risk Managers)总裁Christine Marciano表示，医疗机构在使用移动设备、制定携带自己设备到工作场所(BYOD)政策面临的最大问题是EPHI。“人们如果通过多种设备访问EPHI，系统被病毒感染的风险就会显著提高，病毒常常来自于向EPHI传输的移动设备，”她说，“移动设备和BYOD政策使医疗机构存在数据泄露的风险。”

10、努力赶在“BYOD升级曲线”的前面。信息法集团(Information Law Group)高级顾问Richard Santalesa表示，机构应该确保离线设备的安全性，在丢弃或捐赠前应该进行检查。“考虑到人类的特点，即便严格清晰的信息安全政策也回避这个问题，”他说，“BYOD的一个问题是依据定义，用户而不是IT拥有控制设备。”一旦用户升级到新的智能手机，离线设备常常被人们忽视。

11、制定前瞻性的数据管理战略。安全数字解决方案公司(Secure Digital Solutions)总裁Chad Boeckman,表示，随着使用移动设备访问病人信息保健医生人数的增加，前瞻性数据管理战略至关重要。“医疗行业可以采用金融行业的数据保护概念，”他说，“例如，信用卡越来越多地使用符号化技术。”医疗行业可以利用该技术来允许人们按需访问病人数据。

12、牢记透明度和终端用户同意选择权。“公司收集、共享和/或储存个人信息，清晰明确的用户选择对于维护正面的品牌认知和可靠性直观重要，”Locaid技术公司首席信息官David Allen说，“2012年春天，谷歌、苹果和其它受欢迎的智能手机软件并不屑于编译定位数据、真实姓名、电子邮件和电话号码等用户信息。”随着隐私官司数量的增加，人们应该认识到这些公司已经惹上了麻烦，无法在征得用户同意方面保持透明，认识这个问题非常重要。

13、记住移动网络和应用程序并不是上一代的互联网。世界隐私论坛执行董事Pamela Dixon指出，医疗机构在实施新技术前应该进行全面的技术评审/风险评估。“评估的内容应该包括患者和/或员工应用技术的方式和时间，”她说，“很多医疗机构正在着手为平板电脑和iPhone等开发或使用应用程序，这些医疗机构开发了自己的应用程序或移动临床平板电脑，应该让程序发展小组与法律、隐私和合规方面的专家进行磋商。”