ریڈار جائزہ اور درجہ بندی

صحت سے متعلق تنظیم کے لئے ڈیٹا کی خلاف ورزی ایک بڑی بات ہے ، قطع نظر اس واقعے کی نوعیت سے۔ کسی خلاف ورزی کے نتیجے میں ، یا کسی سیکیورٹی واقعہ سے نمٹنا ایک مشکل ، کھپت اور اکثر ، افراتفری کا عمل ہوسکتا ہے۔ آئی ڈی ماہرین کے رازداری سے متعلق لوگوں سے راڈار ، ڈیٹا کی خلاف ورزی کی صورت میں تنظیموں کو واقعے کے رد عمل کا منصوبہ بنانے میں مدد کرتا ہے اور اس کے حل ہونے کے ساتھ ہی ہر اقدام کو ٹریک کرتا ہے۔ سائبر حملہ آور نیٹ ورک کی خلاف ورزی کر سکتے ہیں اور حساس ڈیٹا تک رسائی حاصل کرسکتے ہیں یا کسی ملازم نے حادثاتی طور پر صحت سے متعلق معلومات پر مشتمل دستاویزات والا لیپ ٹاپ کھو دیا ہے۔ ہوسکتا ہے کہ غلط کنفیگر سرور نے نادانستہ طور پر فائلوں کو تنظیم سے باہر کے لوگوں کے سامنے بے نقاب کردیا ہو ، اور ایک بدمعاش اسپتال کا ملازم مریضوں کے ریکارڈ تک رسائی حاصل کرسکتا ہے اور اسے غیر مجاز افراد کے ساتھ بانٹ سکتا ہے۔ یہ سارے واقعات تعمیری ضوابط ، ریاست اور وفاقی قوانین ، اور صنعت کے معیارات کے بہت سارے مضمر ہیں۔ اور ریڈار پیچیدہ عمل کو زیادہ سیدھا کرتا ہے۔

ID کے ماہر راڈار کو "پرائیویسی واقعہ مینجمنٹ" کے آلے کی حیثیت سے پوزیشن دیتے ہیں جو خاص طور پر صحت کی دیکھ بھال کرنے والی تنظیموں جیسے اسپتالوں ، کلینکوں اور صحت کے منصوبوں کے لئے ڈیزائن کیا گیا ہے۔ اس پلیٹ فارم میں HIPAA (ہیلتھ انشورنس پورٹیبلٹی احتساب ایکٹ) اور HITECH (اقتصادی اور طبی صحت کے لئے صحت سے متعلق انفارمیشن ٹکنالوجی) کے ضابطوں کے ساتھ ساتھ ریاست کے ڈیٹا کی خلاف ورزی کے نوٹیفکیشن قوانین پر بھی توجہ دی گئی ہے۔

راڈار Co3 سسٹمز کی طرح ہی ہے کہ دونوں پلیٹ فارم انتظامیہ کو اعداد و شمار کی خلاف ورزیوں کا انتظام کرنے اور اس خامی کی نشاندہی کرنے ، مسئلے کو حل کرنے ، متاثرین کو مطلع کرنے ، اور مسئلہ کی نشاندہی کرنے کی تصدیق کرنے کے اقدامات کی نشاندہی کرنے میں مدد کرتے ہیں۔ Co3 سسٹم بھاری بھرکم وزرڈ پر مبنی ہے ، صرف صحت کی دیکھ بھال کے مقابلے میں وسیع پیمانے پر ضوابط کا احاطہ کرتا ہے ، اور صرف اعداد و شمار کی خلاف ورزیوں تک ہی محدود نہیں ہے۔

RADAR دوسرے پلیٹ فارم سے مختلف ہے جس میں وہ واقعے سے متعلق خطرے کی تشخیص کرتا ہے ، جیسے HIPAA کے حتمی اصول کے چار عوامل استعمال کرنا ، جس کی تعمیل کے لئے وفاقی اور ریاستی قوانین درکار ہیں۔ ریڈار نے ان تشخیصی اصولوں کو سافٹ ویئر میں سرایت کیا ، جس سے رازداری اور تعمیل کرنے والے افسران کے لئے ہر واقعے کا مستقل جائزہ لینا آسان ہوجاتا ہے۔

ریڈار کیا کرتا ہے

کاروبار ، جو ڈیٹا کی خلاف ورزیوں اور رساو کی روک تھام پر مرکوز ہیں ، جب سیکیورٹی ٹکنالوجی اور عمل ناکام ہوجاتے ہیں تو وہ اکثر خراب صورتحال کا منصوبہ بنانا بھول جاتے ہیں۔ ریڈار نے اس مسئلے کو فوری طور پر ایڈمنسٹریٹروں کو اس واقعے کے رد عمل کا ایک تفصیلی منصوبہ تیار کرنے کی اجازت دے کر اس مسئلے کو حل کیا ہے جو واقع ہونے کی ضرورت ہے۔

مینیجرز اور سیکیورٹی ٹیمیں کسی خاص سیکیورٹی یا رازداری کے واقعے سے متعلق سوالوں کے سلسلے کا جواب دیتی ہیں اور ریڈار ریاستی قوانین کی ایک فہرست لوٹاتا ہے اور مخصوص حالات پر HIPAA / HITECH ضابطے کا اطلاق ہوتا ہے۔ سافٹ ویئر ہر ایک کی شناخت کرتا ہے جس کو مطلع کرنے کی ضرورت ہوتی ہے۔

اگرچہ میں اکثر اصطلاحات کو ایک دوسرے کے ساتھ بدلاؤ استعمال کرتا ہوں ، لیکن پلیٹ فارم واقعات اور خلاف ورزیوں میں فرق کرتا ہے۔ ایک واقعہ ایک ملازم لیپ ٹاپ کھونے کا ہوگا۔ خلاف ورزی ہوگی اگر کسی نے گم شدہ لیپ ٹاپ اور مریض کے ڈیٹا کو کھو دیا۔ اگر ہارڈ ڈرائیو کو خفیہ کردیا گیا ہوتا تو نقصان ایک واقعہ بن جاتا کیونکہ ڈیٹا ابھی بھی محفوظ تھا۔ اگر میں نے یہ واضح کیا کہ اعداد و شمار کو بے نقاب نہیں کیا گیا ہے (کیونکہ لیپ ٹاپ سمندر میں گر گیا تھا) ، تو راڈار اس رپورٹ کو "صرف دستاویزات" کے طور پر پرچم لگائے گا اور واقعے کے ردعمل کا منصوبہ تیار نہیں کرے گا۔ اگر میں نے اس بات کا اشارہ کیا ہے کہ واقعی میں کسی کے اعداد و شمار پر آنے کا امکان موجود ہے (کسی کانفرنس میں گمشدہ لیپ ٹاپ کی صورت میں) ، تو ریڈار جوابی منصوبہ تیار کرے گا۔

اس امر پر غور کرتے ہوئے کہ خلاف ورزی کا شکار کمپنیوں کو فوری طور پر جواب دینا پڑے گا ، کام کے فلو کے ساتھ واضح طور پر اپنی مرضی کے مطابق واقعے کے جوابی منصوبے تیار کرنے کا اہل ہونے کا مطلب یہ ہے کہ تنظیم مستقل اور موثر انداز میں جواب دے سکتی ہے۔ پلیٹ فارم میں رنگین کوڈ والی چابیاں کا استعمال بھی کیا جاتا ہے جس کی نشاندہی کرنے کے لئے کہ کون سے واقعات زیادہ خطرہ ہیں ، اور HITECH تعمیل پر پڑنے والے اثرات۔

ریڈار آئی ڈی ماہرین میں ایک واقعہ داخل کرنے سے مجھے راڈار 2.7 تک رسائی حاصل ہوگئی اور کچھ تیار واقعات کے ساتھ اکاؤنٹ پہلے سے آباد ہوا۔ پلیٹ فارم پر لاگ ان ہونے کے بعد ، میں نے ایک واقعہ تخلیق کرنے کے لئے "دستاویز نیا واقعہ" کے بٹن پر کلیک کیا ، لاگ ان کیا ہوا اور پھر رپورٹنگ ماڈیول کے ساتھ کھیلا۔

گمشدہ لیپ ٹاپ کی صورت میں ، میں نے ایک تفصیلی فارم پُر کیا جس میں بتایا گیا ہے کہ کیا کھویا ہے ، کون سا ڈیٹا تھا ، کون شامل تھا ، اور کتنے ریکارڈوں پر اثر پڑ سکتا ہے۔ کچھ حصے بڑی تفصیل میں چلے گئے ، جیسے الیکٹرانکس ڈیٹا کی گمشدگی کی شکل واضح کرنا - ای میل ، پورٹیبل اسٹوریج ایف ٹی پی ، اور دیگر۔ - یا یہ خلاف ورزی بدنیتی پر مبنی تھی یا غیر بدنیتی پر مبنی ، اور یہ کیسے ہوا۔

میں نے یہ بھی شناخت کیا کہ کون سے اعداد و شمار کے عناصر ضائع ہوئے ، چاہے وہ ذاتی شناختی معلومات (PII) ، صحت سے متعلق حفاظت کی معلومات (پی ایچ آئی) ، یا دیگر حساس معلومات ہوں۔ اچھا ہوتا کہ صرف "آل پی آئ آئ" یا "آل پی ایچ آئی" کہنے کی بجائے ہر ایک چیک باکس پر کلیک کرنے کے قابل ہو ، لیکن اس سے منتظم کو واقعی اس بات پر توجہ دینے پر مجبور ہوجاتا ہے کہ کون سا ڈیٹا ضائع ہوا تھا۔

میں بے نقاب ڈیٹا کی اقسام کی نشاندہی کرسکتا ہوں ، جیسے نام ، صحت کے ریکارڈ ، بینکنگ کی معلومات اور دیگر۔ تمام کاروبار مختلف ہیں ، لہذا میں اس کے مطابقت کے ضوابط کی قطعی وضاحت کرنے کے قابل تھا جس کے تحت میں (یا صرف بہترین طریقوں) کے تابع تھا اور ایک انتہائی حسب ضرورت واقعہ منصوبہ بناتا ہوں - اگلا: راڈار کے ساتھ واقعہ کا انتظام