Sie haben nicht genügend Details angegeben, um dies auf die eine oder andere Weise zu sagen. Die Tatsache, dass Sie keine Authentifizierungsaufforderung gesehen haben, schließt nicht aus, dass es eine gibt.

Die Remotezugriffstools , die ich in meinem Job verwende (die sich auch mit HIPAA befassen) In beiden Fällen muss ich mich mit meinen Anmeldeinformationen für den Domänenadministrator authentifizieren und Benutzer nicht auffordern, die Verbindung zu akzeptieren, da ich sie auf diese Weise konfiguriert habe.

Die HIPAA geht nicht auf bestimmte Richtlinien ein. Der Kern davon ist, dass die Organisation über ausreichende Kontrollen verfügen muss, um Daten zu schützen. Eine unaufgeforderte Übernahme aus Sicht der HIPAA ist an sich nichts Falsches, solange andere Kontrollen (Authentifizierung, Autorisierung, Zugriffssteuerungslisten, Zugriffsprotokollierung und -prüfung, Antimalware auf dem Support-PC, rechtliche Vereinbarungen zwischen der Support-Organisation und Ihrer Organisation) etc) vorhanden sind.

Ohne zu wissen, was Ihr Unternehmen in Bezug auf IT-Sicherheitsrichtlinien, -prozesse und -verfahren tut, können Sie dies nicht feststellen.

Ob unaufgeforderte Übernahmen eine gute Sache sind, dann nein, sie sind es nicht. Sie möchten wirklich eine Warnung erhalten, wenn jemand Ihren PC zur Unterstützung übernimmt oder sogar auf Ihren Bildschirm schaut.

Verwenden des vom Autor bevorzugten Restatements im Kommentar:

Ist es für unseren IT-Support-Auftragnehmer in Ordnung, ohne Autorisierung remote zuzugreifen?

Unter normalen Umständen Ja.

Lassen Sie uns über die spezifischen Schlüsselwörter sprechen.

Remote : Angenommen, Sie arbeiten nicht von zu Hause aus IT-Administratoren können am Ende des Tages auf Ihrem Stuhl sitzen und sich an Ihren Arbeitsstationen anmelden, Updates installieren und Ihren Computer nach dem Verlassen des Unternehmens neu erstellen. Sie haben bereits vollen Zugriff auf Ihren Computer und können (normalerweise) alles darauf anzeigen. Es ist möglich, dass sie auch Zugriff auf die Unternehmensdatenbanken und Gesundheitsakten haben. Daher können sie während einer Remotesitzung möglicherweise nichts auf Ihrem Bildschirm sehen, auf das sie außerhalb der Remotesitzung nicht bereits Zugriff hätten, wenn sie dies beschlossen hätten Schau es dir an. Wenn dies der Fall ist, kann das Anfordern Ihrer Erlaubnis vor der Übernahme Ihres Computers eher als Höflichkeit denn als gesetzliche Anforderung angesehen werden.

Auftragnehmer : Viele Auftragnehmer arbeiten als eine Erweiterung des Unternehmens und müssen NDAs, HIPAA-Offenlegungen unterzeichnen, an Schulungen teilnehmen und dieselben Regeln und Gesetze in Bezug auf Sicherheit, Datenschutz und Ethik befolgen wie alle Mitarbeiter. Selbst in einer Situation, in der ein Auftragnehmer nicht aufgefordert wurde, etwas zu unterschreiben, würde dies ihm nicht die Erlaubnis erteilen, gegen das Gesetz zu verstoßen.

Hinweis : Diese Aussagen sind Verallgemeinerungen, die für die gelten können Gesundheitsbranche, aber nicht unbedingt für alle Branchen. In der Verteidigungsbranche können Sie beispielsweise einer IT-Person möglicherweise nicht erlauben, ohne Benutzerinteraktion auf eine Maschine zuzugreifen, wenn der Benutzer ein Dokument anzeigt, das über der Freigabestufe der IT-Person liegt. (Dies ist jedoch kein Problem, wenn es dedizierte Räume mit Maschinen gibt, die speziell zum Anzeigen streng geheimer Dokumente dienen.)

Es hängt stark von dem Land ab, in dem Sie leben, da dies eher eine rechtliche Frage ist. In einigen Staaten ist dieser Ansatz rechtlich korrekt, wenn Sie ihn in Ihrem Arbeitsvertrag unterzeichnet haben, andere verbieten diesen Vorgang aus Datenschutzgründen vollständig.

Ich bin völlig anderer Meinung als die Antwort, die besagt: " HIPAA kommt nicht zu Einzelheiten der Richtlinie ". Sie werden Ihnen zwar nicht sagen, wie Sie schreiben oder eine Richtlinie erstellen sollen, sie erhalten jedoch SEHR spezifische Anleitungen. Hier sind die unvoreingenommenen Fakten, um Ihre Frage zu beantworten. Die Regeln für die HIPAA-Anforderungen für administrative, physische und technische Schutzmaßnahmen schreiben grundlegende Anforderungen an Sicherheit und Datenschutz vor:

• Identifizierung und Authentifizierung
• Prüfungskontrollen

Identifizierung und Authentifizierung

Es ist von grundlegender Bedeutung, dass das IT-Personal der Gesundheitseinrichtung weiß, wer es ist Zugriff auf ihr Netzwerk, ihre Software und ihre Systeme und dass die Person oder Organisation, die Zugriff erhält, diejenige ist, die beansprucht wird. HIPAA, 45 CFR Part 164.312 (d) .3

Ihr Anbieter und Ihre Organisation verletzen die HIPAA-Mandate, da für HIPAA die Verwendung eindeutiger Benutzer-IDs erforderlich ist. Sie haben angegeben, dass er sich ohne Anmeldeinformationen angemeldet hat. Dies beantwortet Ihre Frage, ohne weiter gehen zu müssen, aber wir werden noch weiter gehen.

Audit-Kontrollen

Ein IT-Experte im Gesundheitswesen möchte dies erstellen , speichern und schützen Sie geeignete Protokolldateien aller sicherheitsrelevanten Aktivitäten, die während einer Remotesitzung stattfinden. HIPAA, 45 CFR Part 164.312 (b) .6 Darüber hinaus verlangt die HIPAA von einer abgedeckten Stelle, dass sie „regelmäßig Aufzeichnungen über Aktivitäten des Informationssystems wie Überwachungsprotokolle, Zugriffsberichte und Berichte zur Verfolgung von Sicherheitsvorfällen überprüft“. HIPAA, 45 CFR 164.308 (a) (1) (ii) (D). Nach dem HITECH-Gesetz kann ein Patient bei einem abgedeckten Unternehmen eine Offenlegungsrechnung beantragen, in der er im Wesentlichen fragt, wer meine Gesundheitsinformationen bis zu den letzten drei Jahren angesehen hat. HIPAA, 45 CFR 164.528 (a) und HITECH Act, 13405 (c). … Muss einen Prüfpfad für Anmeldungen und Anmeldeversuche bereitstellen. HIPAA, 45 CFR 164.308 (a) (5) (ii) (C)

Sie haben angegeben, dass ein Anbieter ohne Anmeldeinformationen außerhalb der mündlichen Notizen (die vor Gericht nichts bedeuten) angemeldet ist. Welche Art der Prüfung wurde über Protokolle durchgeführt? Selbst wenn Sie DID ein Protokoll des Ereignisses haben, mit wem werden Sie es verknüpfen?

Nun, nein. Wenn er ohne Erlaubnis einsteigen kann, kann jeder ohne Erlaubnis einsteigen.

1) Sie haben ihm eine gesetzliche Genehmigung erteilt. Dies ist nicht dasselbe wie eine technische Genehmigung. Wenn ich jemanden anrufen und um Hilfe bitten würde und er es aus der Ferne tun würde und ich nicht weiß, wie er dazu gekommen ist, wäre ich auch nervös.

2) Ihr IT-Support hat wahrscheinlich einige Art des Fernzugriffs bereits eingerichtet. Dies ist aus vielen Gründen praktisch. Hier ist es jedoch am wichtigsten zu wissen, wie es funktioniert .

3) Wenn die RAS-Methode keine Protokolle bereitstellt, entspricht sie nicht der HIPAA.