HIPAA, ABD'de sağlık verisinin korunmasına ilişkin bir düzenlemedir ve Türkiye'deki bir kuruluş için ancak ABD'li sağlık kuruluşlarıyla veri paylaşımı gibi durumlarda gündeme gelir. Yerel karşılığı olarak KVKK kapsamındaki özel nitelikli kişisel veri yükümlülükleri de aynı teknik önlemleri gerektirir.
İletim güvenliği beklentisi
HIPAA Güvenlik Kuralı, elektronik korunan sağlık bilgisinin ağ üzerinden iletilirken yetkisiz erişime karşı korunmasını ister (İletim Güvenliği, 45 CFR 164.312(e)). Şifreleme "uyarlanabilir" (addressable) bir özellik olarak tanımlanır; yani kuruluş riskine göre uygulamalı veya gerekçeli alternatif belgelemelidir. Uygulamada web üzerinden hasta verisi alan her sayfa TLS ile korunur. Bağlayıcı yorum için hukuk veya uyumluluk danışmanınıza başvurun.
Teknik kontrol listesi
- Tüm hasta portalı, randevu ve form sayfalarında HTTPS zorunlu olsun; HTTP'den HTTPS'e 301 yönlendirme yapın.
- TLS 1.2 ve üzeri; zayıf şifre paketleri kapalı.
- HSTS başlığı etkin:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;- API uç noktaları, yönetim panelleri ve e-posta sunucuları (SMTP/IMAP TLS) kapsamda olsun.
- Sertifika geçerlilik izlemesi ve yenileme sorumlusu tanımlı olsun.
Sertifika türü seçimi
Hasta ve sağlık verisi toplayan sitelerde kuruluş adının doğrulandığı OV veya EV sertifika ziyaretçiye sitenin gerçek kuruluşa ait olduğunu gösterir; çok alt alan adı varsa wildcard SSL düşünülebilir.
Ek olarak gerekenler
- Dinlenme halindeki verinin şifrelenmesi (disk, yedek).
- Erişim günlükleri ve denetim izleri.
- İş ortaklarıyla yazılı sözleşme.
SSL yalnızca iletimi korur; yukarıdaki maddeler olmadan uyumluluktan söz edilemez. Ürün seçimine yardım için Türkçe teknik destek ekibimize yazabilirsiniz.
Türkiye'deki kuruluşlar için not
Sağlık verisi KVKK'da özel nitelikli kişisel veri sayılır ve uygun teknik ve idari tedbirlerin alınması beklenir. Bu, iletim sırasında güçlü şifreleme kullanmayı ve bunu belgelemeyi de kapsar. Hangi düzenlemenin sizin için bağlayıcı olduğunu hukuk danışmanınızla netleştirin; teknik kontrol listesi her iki çerçeve için de büyük ölçüde ortaktır.