হেলথকെയার সাইবারসিকিউরিটি: প্রযোজ্য আইন, রেগুলেশন ও কমপ্লায়েন্স গাইড
প্রধান ফেডারেল আইন ও রেগুলেশন (US Context)
| আইন/রেগুলেশন | বিবরণ | কী কভার করে |
|---|---|---|
| HIPAA (1996) | Health Insurance Portability and Accountability Act | PHI (Protected Health Information) প্রাইভেসি, সিকিউরিটি, ব্রিচ নোটিফিকেশন |
| HITECH Act (2009) | Health Information Technology for Economic and Clinical Health | EHR সार्थক ব্যবহার, ব্রিচ নোটিফিকেশন কঠোর, বিজনেস অ্যাসোসিয়েট লায়েবিলিটি |
| HIPAA Security Rule | 45 CFR §164.302-318 | ePHI (Electronic PHI) এর জন্য Administrative, Physical, Technical Safeguards |
| HIPAA Privacy Rule | 45 CFR §164.500-534 | PHI ব্যবহার/ডিসক্লোজার লিমিট, পেশেন্ট রাইটস |
| HIPAA Breach Notification Rule | 45 CFR §164.400-414 | ব্রিচ হলে ৬০ দিনের মধ্যে নোটিফিকেশন (Individual, HHS, Media) |
| 21st Century CURES Act (2016) | Interoperability, Information Blocking запрет | API Access (FHIR), Patient Data Access, TEFCA |
| State Laws | NY SHIELD Act, CCPA/CPRA (CA), Texas HB 300, Illinois BIPA | স্টেট-লেভেল ব্রিচ নোটিফিকেশন, বায়োমেট্রিক ডেটা, কনসিউমার প্রাইভেসি |
HIPAA Security Rule: ৩টি সेफগার্ড (বাধ্যতামূলক)
| সেফগার্ড টাইপ | প্রয়োগ | উদাহরণ |
|---|---|---|
| Administrative (প্রশাসনিক) | পলিসি, প্রসিডিউয়ার, ম্যানেজমেন্ট | Security Officer назнаক, Risk Analysis, Workforce Training, Sanction Policy, Contingency Plan |
| Physical (ভৌতিক) | ফ্যাসিলিটি, ডিভাইস, মিডিয়া প্রটেকশন | Facility Access Control, Workstation Security, Device/Media Disposal, Media Re-use |
| Technical (প্রযুক্তিগত) | টেকনোলজি-ভিত্তিক প্রটেকশন | Access Control (Unique ID, Emergency Access, Auto Logoff, Encryption), Audit Controls, Integrity Controls, Transmission Security (TLS, VPN) |
HIPAA-র ৪টি মূল রুল (Patient-Facing)
- Privacy Rule: PHI প্রাইভেসি, পেশেন্ট রাইটস (Access, Amendment, Accounting)
- Security Rule: ePHI সিকিউরিটি (Administrative, Physical, Technical Safeguards)
- Breach Notification Rule: ব্রিচ হলে ৬০ দিনের মধ্যে নোটিফিকেশন
- Omnibus Rule (2013): Business Associate Liability, Marketing Restrictions, Genetic Info Protection
সাইবারসিকিউরিটি-এর ৪টি কোর এলিমেন্ট (NIST CSF Alignment)
- Governance: Risk Management, Oversight, Policies, Board Reporting
- Threat Intelligence & Collaboration: ISAC/ISAO 참여, Threat Feeds, Information Sharing
- Third-Party Risk Management: Business Associate Agreements (BAA), Vendor Assessment, Supply Chain
- Incident Resilience: IR Plan, Tabletop Exercises, Backup/Recovery, Cyber Insurance
সাইবারসিকিউরিটি লজিস্লেশন (বিশ্বব্যাপী প্রেক্ষাপট)
- EU GDPR: Health Data = Special Category Data (Article 9), DPO বাধ্যতামূলক
- UK GDPR + Data Protection Act 2018
- Canada PIPEDA / Health Privacy Statutes
- Australia Privacy Act 1988 / Notifiable Data Breaches Scheme
- India DPDP Act 2023 / DISHA (Digital Health)
- বাংলাদেশ: Digital Security Act 2018, দ্রষ্টব্য: Health-specific law প্রক্রিয়াধীন
হেলথকെയারে সাইবারসিকিউরিটি কেন ক্রিটিক্যাল?
- Patient Safety: Medical Device Hacking (Insulin Pump, Pacemaker), EHR Unavailability
- Data Value: PHI = $250-$1000/Record (Black Market) > Credit Card ($5-$10)
- Regulatory Fines: HIPAA Violation = $100-$50K/Violation, Max $1.5M/Year per violation type
- Ransomware Target #1: Hospital Systems (2023: 250+ Hospital Affected)
- Legacy Systems: Windows 7, Unpatched Medical Devices, Flat Networks
HIPAA কমপ্লায়েন্স চেকলিস্ট (সিকিউরিটি ফোকাস)
- [ ] Annual Risk Analysis (Security Rule §164.308(a)(1)(ii)(A))
- [ ] Security Officer & Privacy Officer Assign করা
- [ ] Business Associate Agreements (BAA) সব ভেন্ডরের সাথে
- [ ] Workforce Security Training (সালে একবার বাধ্যতামূলক)
- [ ] Access Control: Unique User ID, MFA, Minimum Necessary, Auto-logoff
- [ ] Audit Controls: Log Retention ৬ বছর, SIEM, Alerting
- [ ] Encryption: AES-256 At Rest, TLS 1.2+ In Transit
- [ ] Device/Media Disposal Policy (NIST SP 800-88)
- [ ] Contingency Plan: Backup, DR, Emergency Mode Operation
- [ ] Incident Response Plan: 60-Day Breach Notification Ready
সাম্প্রতিক এনফোর্সমেন্ট ট্রেন্ড (২০২৩-২০২৪)
- OCR (Office for Civil Rights) ফোকাস: Right of Access Initiative, Risk Analysis Failures
- State AGs এক্টিভ: NY, CA, TX, MA - নিজস্ব লজ রেগুলেশন দিয়ে
- Ransomware Payment Reporting: সাইবার ইনসিডেন্ট রিপোর্টিং এক্ট (CIRCIA 2022) - Critical Infrastructure ৭২ ঘন্টা
- AI/ML in Healthcare: FDA Guidance, Algorithmic Bias, Data Governance
