Соответствие HIPAA

Локальная версия ManageEngine ServiceDesk Plus предоставляет медицинским организациям разные способы соблюдения рекомендаций HIPAA, защиты и ограничения экспорта электронной информации о здоровье (ePHI).

Администраторы приложения могут обеспечить соответствие HIPAA следующими действиями:

1. Обозначение полей, содержащих PII или ePHI: для сбора и обработки ePHI рекомендуется использовать дополнительные поля с отметкой о содержании PII или ePHI. Это позволяет обезличить или удалить поля при удалении пользователя из ServiceDesk Plus.

2. Шифрование полей PHI или ePHI: поля ePHI можно шифровать для дополнительной защиты. При обозначении поля как ePHI шифрование выбирается по умолчанию; при необходимости флажок можно снять. Хотя шифрование полей в ServiceDesk Plus необязательно, настоятельно рекомендуется включать его для защиты хранимых данных. 

• Контроль передачи данных сторонним приложениям: зашифрованные поля доступны через API. Доступ ограничивается следующими параметрами:

  • Роли и разрешения специалистов, чьи ключи API используются для операций.

  • Authtoken, по которому аутентифицируется вызов API.

3. Обезличивание или удаление конфиденциальных данных: поля, отмеченные как PHI/ePHI, можно обезличить или удалить, когда пользователь покидает организацию.

4. Безопасный экспорт конфиденциальных данных: экспорт можно защитить паролем файлов. Для каждого пользователя с разрешённым входом создаётся уникальный пароль, а для пользователей без входа можно настроить общий. По усмотрению организации общий пароль можно передать таким пользователям для открытия защищённых файлов.

Как локальное приложение, ServiceDesk Plus не передаёт ваши данные за пределы локальных серверов. ManageEngine получает только сведения о лицензировании, платежах и поддержке; они не передаются другим сторонам. Сотрудники ManageEngine не имеют доступа к персональным данным, собираемым и обрабатываемым через ServiceDesk Plus.

Настройки соответствия HIPAA

Настройка дополнительных полей для HIPAA

В поддерживаемых модулях можно обозначить дополнительные поля как содержащие PII или ePHI и включить шифрование. Для этого:  
   

1. Перейдите в Admin > Customization > Additional Field.

2. Выберите нужный модуль: Incident, Service, Userили Technician.

3. Нажмите New Field.

4. Выберите тип поля: Single Line, Pick List, Multi Line, Numericили Date/Time.

5. Выберите следующий параметр:

• Holds personally identifiable information (PII): для дополнительных полей инцидентов или услуг.

• Holds PII/ePHI — для дополнительных полей пользователей или специалистов.

6. Encrypt the Field: включите для шифрования поля. Не поддерживается для Numeric и Date/Time. Однако можно создать однострочное поле с Allow numbers only и выбрать Encrypt the Field . Например, для хранения номера социального страхования SSN создайте однострочное поле и настройте:

• Encrypt the Field: включено
• Value Length: 9
• Allow only numbers: включено

7. Настройте остальные необходимые свойства.

8. Наконец, нажмите Save.

• Дополнительные поля с включённым Encrypt the Field не включаются в отчёты ServiceDesk Plus.
• Зашифрованные поля не синхронизируются с Analytics Plus, Zoho Analytics и другими интегрированными сторонними приложениями. 
• Шифрование доступно только при создании нового поля. Включать или отключать его при изменении поля нельзя.
• ServiceDesk Plus шифрует поля следующими методами в зависимости от базы:
  • При использовании встроенного PostgreSQL шифрование выполняется модулем pgcrypto.
  • При использовании Microsoft SQL Server шифрование выполняется с помощью мастер-ключа, симметричного ключа и сертификата.   
• В средах ESM дополнительные поля пользователей — заявителей и специалистов — всех экземпляров и необходимые параметры безопасности настраиваются в ESM Directory > User Management > User - Additional Fields.

 Включение обезличивания  

Можно настроить обезличивание или удаление конфиденциальных пользовательских полей при удалении пользователя, обычно после ухода из организации. Для настройки:

• Для всех полей одного экземпляра либо полей отдельного экземпляра в среде с несколькими экземплярами:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Выберите Показывать обезличивание данных пользователя при удалении (Show option to anonymize user data while deletion).

3. Выберите поля для обезличивания и нажмите Save.

• Для общих пользовательских полей приложения в среде с несколькими экземплярами:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Выберите Показывать обезличивание данных пользователя при удалении (Show option to anonymize user data while deletion).

3. Нажмите Save.

Если Показывать обезличивание данных пользователя при удалении (Show option to anonymize user data while deletion) включён, при удалении пользователя из ServiceDesk Plus отображается выбор удаления либо обезличивания конфиденциальных полей.

Обезличивание поддерживается для стандартных конфиденциальных полей и дополнительных полей, отмеченных как PII или ePHI. Такие дополнительные поля перечислены в Admin > Users & Permission > Privacy Settings.

Включение защиты паролем 

Для защиты конфиденциальных данных созданных файлов от несанкционированного доступа можно настроить пароли защиты файлов:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Выберите Enable File Protection Password.

3. Общий пароль (Common Password): задайте общий пароль для пользователей без разрешения на вход, которым нужен доступ к файлам ServiceDesk Plus.

4. Наконец, нажмите Save.

После включения Enable File Protection Password для каждого пользователя с разрешённым входом при первом экспорте файла создаётся уникальный пароль. Он доступен через значок профиля → Change Password. Пользователи могут задать собственный пароль.

Получение журнала аудита  

ServiceDesk Plus поддерживает журналы аудита для полей PII/ePHI с разрешениями View, Edit, Add или Delete. Enable scheduled data deletion позволяет задать срок хранения до 10 лет. Подробнее по ссылке. За помощью в формировании отчётов обратитесь в поддержку.

Отключение соответствия HIPAA  

Для отключения соответствия HIPAA отключите соответствующие настройки безопасности, описанные ниже:

Отключение безопасности дополнительных полей

1. Перейдите в Admin > Customization > Additional Field.

2. Выберите нужный модуль: Incident или Service.

3. Нажмите Edit.

4. Отключите Holds personally identifiable information (PII).

5. Наконец, нажмите Update.

• Отключение Holds PII/ePHI доступно для дополнительных полей пользователей и специалистов.
• После включения шифрование дополнительных полей отключить нельзя.

Отключение обезличивания

Чтобы отключить обезличивание конфиденциальных полей:

• Для всех полей одного экземпляра либо полей отдельного экземпляра в среде с несколькими экземплярами:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Снимите выбор полей, для которых нужно отключить обезличивание.

3. Наконец, нажмите Save.

• Для общих пользовательских полей приложения в среде с несколькими экземплярами:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Снимите выбор полей, для которых нужно отключить обезличивание.

3. Наконец, нажмите Save.

 Отключение пароля защиты файлов

Чтобы отключить пароль защиты файлов:

1. Перейдите в Admin > Users & Permission > Privacy Settings.

2. Отключите Enable File Protection Password.

3. Нажмите Save. 

Другие возможности безопасности ServiceDesk Plus
 

1. Доступ по ролям

2. Видимость пользовательских полей

3. Безопасность данных

4. Сертификаты ISO и SOC 2