HIPAA Security Risk Assessment: Cách Thực Hiện

HIPAA security risk assessment (SRA) là việc đánh giá "chính xác và toàn diện" các rủi ro với tính bảo mật, toàn vẹn và khả dụng của ePHI, một specification Required tại 45 CFR §164.308(a)(1)(ii)(A). Covered entity và business associate đều phải làm, ghi lại kết quả và dùng nó để chọn biện pháp bảo vệ trong chương trình HIPAA compliance của mình.

Vì sao HIPAA bắt buộc security risk assessment?

Security Rule cho phép mỗi tổ chức chọn biện pháp bảo vệ phù hợp với quy mô và rủi ro của mình, nhưng đổi lại yêu cầu mọi lựa chọn phải dựa trên một risk analysis có tài liệu. Nói cách khác, SRA là căn cứ để giải thích vì sao bạn mã hóa chỗ này, chưa cần chỗ kia, hay chọn biện pháp thay thế cho một specification Addressable. Đi cùng risk analysis là risk management (§164.308(a)(1)(ii)(B)): triển khai biện pháp đủ để giảm rủi ro xuống mức hợp lý. Khi Office for Civil Rights (OCR) của HHS điều tra một vụ breach, bản risk analysis là một trong những tài liệu được yêu cầu xem; HHS có hướng dẫn riêng về risk analysis và công cụ SRA miễn phí cho tổ chức nhỏ.

Thực hiện HIPAA security risk assessment theo những bước nào?

HIPAA không quy định phương pháp cụ thể. Các bước dưới đây theo cấu trúc trong hướng dẫn của HHS và đủ để một team phần mềm tự làm:

Xác định phạm vi: liệt kê mọi nơi ePHI được tạo (xem PHI là gì để nhận diện dữ liệu thuộc phạm vi), nhận, lưu và truyền, gồm production database, backup, log, môi trường staging có dữ liệu thật, laptop, email, công cụ hỗ trợ khách hàng và vendor. Kết quả là danh sách tài sản có ePHI.
Thu thập dữ liệu về hiện trạng: với từng tài sản, ghi lại kiểm soát đang có (phân quyền, mã hóa, log, backup) và ai chịu trách nhiệm.
Nhận diện mối đe dọa và lỗ hổng: ghép từng threat với vulnerability cụ thể, ví dụ ransomware với backup chưa tách biệt, nhân viên nghỉ việc với tài khoản chưa thu hồi, developer với database production truy cập trực tiếp.
Đánh giá kiểm soát hiện có: xem kiểm soát nào đã giảm được rủi ro, kiểm soát nào chỉ có trên giấy.
Chấm likelihood và impact, tính mức rủi ro: dùng một thang nhất quán, ví dụ 5 × 5, và ghi lại lý do chấm điểm.
Lập kế hoạch xử lý và ghi tài liệu: mỗi rủi ro có người chịu trách nhiệm, phương án (giảm thiểu, chấp nhận, chuyển giao, tránh), hạn chót và evidence khi hoàn thành.

Kết quả cần có	Nội dung tối thiểu
Danh sách tài sản chứa ePHI	Hệ thống, vị trí dữ liệu, chủ sở hữu, vendor liên quan
Risk register	Threat, vulnerability, kiểm soát hiện có, likelihood, impact, mức rủi ro
Kế hoạch xử lý rủi ro	Phương án, người phụ trách, hạn chót, trạng thái
Quyết định cho specification Addressable	Triển khai, thay thế hoặc không áp dụng, kèm lý do
Lịch sử xem xét	Ngày đánh giá, thay đổi kể từ lần trước, người phê duyệt

Những sai lầm nào làm SRA không đạt yêu cầu?

Sai lầm phổ biến nhất là coi SRA là việc làm một lần. §164.308(a)(8) yêu cầu đánh giá định kỳ và khi môi trường hoặc vận hành thay đổi, như khi thêm hệ thống mới, đổi cloud provider, mở thêm thị trường hoặc sau một sự cố. Sai lầm thứ hai là đồng nhất vulnerability scan với risk analysis: quét lỗ hổng chỉ là một nguồn đầu vào, còn SRA phải bao gồm cả con người, quy trình và vendor. Sai lầm thứ ba là phạm vi quá hẹp, chỉ xét production mà bỏ qua backup, log và môi trường dev có dữ liệu thật. Cuối cùng, rủi ro không có người chịu trách nhiệm thì kế hoạch xử lý gần như không bao giờ hoàn thành.

Phải lưu tài liệu SRA trong bao lâu?

Theo §164.316(b)(2), tài liệu mà Security Rule yêu cầu phải được lưu ít nhất 6 năm kể từ ngày tạo hoặc ngày cuối cùng còn hiệu lực, tùy ngày nào muộn hơn, và phải sẵn sàng cho người cần dùng. Điều này áp dụng cho bản SRA, risk register, kế hoạch xử lý và các quyết định về specification Addressable. Hồ sơ này cũng là đầu vào trực tiếp cho việc chọn HIPAA safeguards và cho ước tính chi phí HIPAA của bạn.

pTrackly hỗ trợ phần nào?

Risk register của pTrackly chấm điểm likelihood × impact trên thang 1–5, phân loại Low đến Critical, lưu cả inherent risk và residual risk, phương án xử lý (Mitigate, Accept, Transfer, Avoid) và người phụ trách. Rủi ro có thể gắn với tài sản; vendor được đánh giá High hoặc Critical sẽ tự sinh một rủi ro để bạn xem xét. pTrackly không tự viết risk analysis thay bạn: xác định phạm vi ePHI, chấm điểm và quyết định cách xử lý vẫn là việc của team, và kết quả cuối cùng do người có thẩm quyền trong tổ chức phê duyệt.

Câu hỏi thường gặp

HIPAA security risk assessment cần làm bao lâu một lần?

HIPAA không ấn định tần suất; Security Rule yêu cầu đánh giá định kỳ và khi môi trường thay đổi. Nhiều tổ chức chọn làm mỗi năm một lần và cập nhật ngay sau thay đổi lớn hoặc sự cố.

Business associate có phải tự làm SRA không?

Có. Business associate phải tuân thủ trực tiếp Security Rule theo §164.302, gồm cả risk analysis cho ePHI mà họ xử lý. Covered entity thường yêu cầu thêm bằng chứng qua BAA hoặc bảng câu hỏi bảo mật.

Tổ chức nhỏ có thể tự làm SRA không?

Có. HHS cung cấp công cụ SRA miễn phí cho tổ chức nhỏ và vừa, và Security Rule cho phép phương pháp tương xứng với quy mô. Điều quan trọng là phạm vi đầy đủ, phương pháp nhất quán và tài liệu được lưu đủ 6 năm.

SRA có giống penetration test không?

Không. Penetration test kiểm tra lỗ hổng kỹ thuật của một hệ thống tại một thời điểm; SRA đánh giá toàn bộ rủi ro với ePHI, gồm con người, quy trình, vendor và kỹ thuật. Kết quả pentest là một nguồn đầu vào tốt cho SRA.