HIPAA-Safeguards, belegt aus den Systemen, die ePHI berühren.
Die HIPAA Security Rule ist keine Checkliste, sondern ein Satz administrativer, physischer und technischer Safeguards, die Sie umsetzen und nachweisen müssen. Lojycal macht die technische und administrative Hälfte fortlaufend: wer hat wann worauf zugegriffen, auf welchem Gerät, unter welcher Vereinbarung.
Was die Security Rule tatsächlich verlangt
Covered Entities und Business Associates werden an umgesetzten Safeguards und Dokumentation gemessen, nicht an Absichten.
Eine echte Risikoanalyse
§164.308(a)(1) verlangt eine genaue, umfassende Bewertung der Risiken für ePHI — der am häufigsten beanstandete Punkt in OCR-Verfahren.
Zugriffskontrolle und eindeutige Kennung
Eindeutige Benutzer-IDs, Notfallzugriff, automatische Abmeldung sowie Ver-/Entschlüsselung als adressierbare Spezifikationen nach §164.312(a).
Audit Controls
§164.312(b) verlangt Mechanismen, die Aktivitäten in ePHI-Systemen aufzeichnen und auswertbar machen — samt Aufbewahrung.
Business Associate Agreements
Jeder Dienstleister mit ePHI-Berührung braucht ein aktuelles, nachgehaltenes BAA mit dokumentierter Beziehung.
Die Lojycal HIPAA-Engine
Safeguards werden aus Identitäts-, Endpoint- und Lieferantendaten belegt statt handverlesen zusammengetragen.
Zugriffe der Belegschaft und Least Privilege
Eindeutige Identitäten, rollenbasierte Rechte, Ein-/Um-/Austrittsnachweise und regelmäßige Access Reviews über ePHI-Systeme.
RBAC + Access Reviews
Geräte- und Übertragungs-Safeguards
Verschlüsselungsstatus, automatische Abmeldung, Bildschirmsperre und Entsorgungsnachweise aus dem MDM für jeden Endpoint im Scope.
Endpoint Governance + Asset Lifecycle
Audit Controls
Ein WORM-Audit-Log privilegierter Aktionen und Policy-Änderungen, aufbewahrt und abfragbar — genau der Nachweis aus §164.312(b).
Trust Center → Audit Log
BAA- und Lieferantenregister
Dienstleister mit ePHI-Bezug samt Vertragsstatus, Verlängerungsdatum und beobachteter Sicherheitslage.
Vendor Governance
Security-Rule-Safeguards → Lojycal-Controls
Eine Auswahl der Evidenzquellen:
| Safeguard | Beispielspezifikation | Lojycal-Quelle |
|---|---|---|
| §164.308(a)(1) Security Management | Risikoanalyse und Risikomanagement | Trust Center → Risk |
| §164.308(a)(3) Workforce Security | Autorisierung, Freigabe, Beendigung | HR Automation |
| §164.308(a)(4) Information Access | Zugriffsvergabe und -änderung | RBAC + Access Reviews |
| §164.308(a)(5) Awareness Training | Sicherheitshinweise, Schadsoftware | HR Automation |
| §164.308(b) Business Associates | Schriftlicher Vertrag / BAA vorhanden | Vendor Governance |
| §164.310(d) Device and Media | Entsorgung, Wiederverwendung, Nachvollziehbarkeit | Asset Lifecycle |
| §164.312(a) Access Control | Eindeutige ID, automatische Abmeldung, Verschlüsselung | RBAC + Endpoint Governance |
| §164.312(b) Audit Controls | Systemaktivität aufzeichnen und prüfen | WORM Audit Log |
Auswahl — Lojycal mappt eine Teilmenge der Security-Rule-Spezifikationen mit Fokus auf administrative und technische Safeguards, die aus Live-Daten belegbar sind. Physische Safeguards und die Privacy Rule liegen außerhalb; der Export weist das aus.
Was die OCR verlangt, ist Dokumentation
Verfahren entscheiden sich daran, ob Sie zeigen können, dass ein Safeguard wirkte — und wann.
Lojycal bewahrt einen Write-Once-Nachweis über privilegierte Zugriffe, Konfigurationsänderungen und Policy-Entscheidungen auf und bündelt ausgewählte Zeiträume in ein signiertes Evidence Pack mit abgetrennter Signatur. Das ist der Unterschied zwischen der Behauptung, ein Safeguard habe existiert, und dem Nachweis, dass er am fraglichen Tag wirkte.
Bis zur Nachweisbarkeit
Die meisten Lücken sind Dokumentationslücken — und Dokumentation lässt sich am besten automatisieren.
- Woche 1–2
ePHI-Scope
Systeme, Dienstleister und Geräte mit ePHI-Bezug aus dem Live-Inventar bestimmen.
- Woche 3–6
Risikoanalyse
Analyse nach §164.308(a)(1) gegen echte Daten, jedes Risiko mit Owner.
- Woche 7–12
Safeguards
Lücken bei Zugriff, Verschlüsselung, Logging und BAAs schließen; das Audit-Log baut den Nachweis auf.
- Laufend
Nachweisen
Signierte Evidenz auf Anfrage für Auditoren, Kunden oder eine OCR-Anfrage exportieren.
Fragen zu HIPAA
Macht uns Lojycal HIPAA-konform?
Kein Produkt kann Sie konform machen. HIPAA-Compliance ist ein organisatorischer Zustand über Privacy Rule, Security Rule und Breach Notification Rule. Lojycal automatisiert die Evidenz für einen erheblichen Teil der administrativen und technischen Safeguards der Security Rule — der Rest, inklusive physischer Safeguards und Datenschutzpraktiken, bleibt bei Ihnen.
Wir sind Business Associate, nicht Covered Entity. Gilt das?
Ja. Seit der Omnibus Rule haften Business Associates unmittelbar für die Security Rule und benötigen BAAs mit ihren eigenen Subunternehmern. Die Evidenz ist für beide Rollen identisch.
Wie behandelt Lojycal „addressable“-Spezifikationen?
Addressable heißt nicht optional. Es heißt: umsetzen — oder dokumentieren, warum es nicht angemessen ist und was stattdessen getan wurde. Lojycal führt diese dokumentierte Entscheidung am Control mit, damit die Begründung Personalwechsel überlebt.
Deckt ihr die Privacy Rule ab?
Nicht direkt. Lojycals Evidenz ist operativ — Zugriffe, Geräte, Dienstleister, Logging. Pflichten der Privacy Rule wie Notices of Privacy Practices oder Betroffenenrechte liegen außerhalb; der Framework-Export markiert sie als außerhalb des Scopes.
Wo schalte ich es ein?
Policy Lab → Verfügbare Frameworks (aus) → auf der HIPAA-Karte aktivieren. Es erscheint sofort in Policy Lab, Endpoint Governance und Shadow IT Lab.
Zeigen Sie, dass der Safeguard wirkte. Am fraglichen Tag.
Zugriffe, Geräte, Dienstleister und Audit-Nachweise — aufbewahrt, signiert, vorlagebereit.