HIPAA이란 무엇인가요?
HIPAA(Health Insurance Portability and Accountability Act)는 보호 대상 건강 정보(PHI)로 알려진, 개인을 식별할 수 있는 건강 정보의 프라이버시와 보안을 보호하기 위한 국가 표준을 정하는 미국 연방법이다.
다른 이름: HIPAA, Health Insurance Portability and Accountability Act
HIPAA 보안 규칙은 적용 대상 기관과 그 비즈니스 제휴자에게 전자 PHI(ePHI)의 기밀성, 무결성, 가용성을 보장하기 위한 관리적·물리적·기술적 보호 조치를 구현하도록 요구한다. 기술적 보호 조치에는 접근 통제, 감사 통제, 무결성 통제, 전송 보안이 포함되며, 암호화는 저장 데이터와 전송 데이터 모두에 대해 다룰 수 있는 구현 사양으로 간주된다.
HIPAA 프라이버시 규칙은 누가 어떤 상황에서 PHI에 접근할 수 있는지 규율하며, "최소 필요(Minimum Necessary)" 표준을 정한다. 이는 최소 권한의 의료판이다. 조직은 PHI에 대한 접근을 특정 목적에 필요한 만큼으로 제한해야 한다. 위반에는 심각한 제재가 따른다. 벌금은 위반당 100~5만 달러(위반 범주별 연 최대 150만 달러)에 이르며, 고의적 방치는 형사 기소로 이어질 수 있다.
실무에서 HIPAA 준수는 의료 조직이 민감 정보가 어떻게 공유되는지를 내부적으로나 외부 파트너와의 사이에서 신중히 통제하도록 요구한다. 의료 시스템의 암호화되지 않은 자격 증명을 이메일로 보내거나, 데이터베이스 비밀번호를 평문으로 공유하거나, 접근 키를 지속적인 채팅 채널에 남기는 것은 준수 위험을 만든다. 암호화와 접근 통제 요구는 ePHI를 다루는 모든 시스템에 미친다. 이 시스템에 접근하는 데 쓰이는 자격 증명을 포함해서다.
Vaulted가 HIPAA을 사용하는 방법
Vaulted는 HIPAA 준수가 요구되는 의료 환경에서 자격 증명과 민감 데이터를 공유하는 안전한 채널을 제공한다. IT 팀이 ePHI를 담은 시스템의 데이터베이스 자격 증명, 시스템 비밀번호, API 키를 공유해야 할 때, Vaulted의 클라이언트 측 AES-256-GCM 암호화는 데이터가 브라우저를 떠나기 전에 암호화되도록 보장한다. 제로 지식 서버는 평문을 결코 보지 않고, 자기 파기 링크는 최소 필요 원칙에 부합하는 시간 제한 접근을 강제하며, 선택적 패스프레이즈 보호는 추가 접근 통제 계층을 더한다.