افترض أن الحوادث ستقع؛ وصمّم طريقة استجابتك
لا ينبغي لأي مورّد أن يعد بأن الحوادث لن تقع أبدًا. وما يدين به المورّد لك هو إجابة واضحة عن ثلاثة أسئلة: كيف ستعرف، وماذا ستفعل، ومتى ستخبرني. وإليك إجاباتنا.
ما هو قائم اليوم
الكشف والتصنيف
تُصنَّف الحوادث بحسب الخطورة عند تحديدها:
| الخطورة | المعنى |
|---|---|
| حرجة | تعرّض مؤكد أو مشتبه به لمعلومات PHI (المعلومات الصحية المحمية)، أو فقدان سلامة النظام |
| عالية | إخفاق في ضابط أمني دون تعرّض مؤكد للبيانات |
| متوسطة | ثغرة أو حالة شاذة تتطلب معالجة عاجلة |
| منخفضة | فجوة في التحصين أو انحراف دون خطر فوري |
تسجيل التدقيق على مستوى التطبيق للوصول إلى الملفات الطبية وتغييراتها هو السجل الجنائي الرقمي الأساسي للتحقيق في الوصول غير المناسب المشتبه به.
الاحتواء
- رموز API (واجهة برمجة التطبيقات) المسجّلة قابلة للإلغاء، فيمكن قطع بيانات اعتماد خدمة مخترقة فورًا.
- يعني الوصول القائم على الأدوار أن حساب المستخدم المخترق محدود بصلاحيات ذلك الدور.
- التغييرات التشغيلية المميزة خاضعة لبوابة موافقة، مما يبطئ مسار المهاجم نحو الإجراءات الإدارية وينشئ في الوقت نفسه مسار قرارات للمحققين.
- يتولى مسؤول الأمن تنسيق الحوادث؛ ويتولى مسؤول الخصوصية تقييم الأثر على الخصوصية عندما يُحتمل أن تكون PHI معنية.
التزامات الإخطار
بما يتسق مع قاعدة الإخطار بالاختراق في HIPAA (قانون قابلية نقل التأمين الصحي والمساءلة) ودورنا كشريك تجاري:
- نُخطر الكيانات المشمولة المتأثرة بأي اختراق لمعلومات PHI غير المؤمّنة دون تأخير غير مبرر، وضمن المهل الزمنية المحددة في اتفاقية الشريك التجاري المعمول بها.
- تتضمن الإخطارات ما هو معروف في حينه — طبيعة الحادث، والبيانات المعنية، والأفراد المتأثرون بقدر ما هو معروف، والمعالجة الجارية — مع متابعات مع تقدم التحقيق.
- نحن لا نحتجز الأخبار السيئة لتنقيح الصياغة.
قناة الإبلاغ
للحوادث أو الثغرات المشتبه بها: انظر صفحة جهة الاتصال الأمنية. نؤكد استلام البلاغات خلال 3 أيام عمل — انظر الإفصاح المسؤول.
على خارطة طريقنا
- حزمة سياسات موثّقة للاستجابة للحوادث (قيد التنفيذ): الممارسات المذكورة أعلاه، مُصاغة رسميًا كأدلة تشغيل مكتوبة بأدوار محددة ومسارات تصعيد ومتطلبات مراجعة ما بعد الحادث.
- اختبار اختراق من جهة خارجية قبل الإتاحة العامة — تمرين عدائي مخطط له لقدرتنا على الكشف والاستجابة.
- تمارين محاكاة نظرية للاستجابة للحوادث على وتيرة منتظمة كجزء من برنامج السياسات الرسمي.