Säkerhetsprogram för Oracle Health och AI (OHAI)

De produkter som visas är avsedda som exempel på vad som har tillhandahållits i specifika fall. Varje medicinteknisk produkt är utformad för att följa bestämmelserna i den region där den används. Vi kan dock inte garantera att samma produkt är tillgänglig eller uppfyller kraven i andra specifika regioner. Lokala anpassningar kan behövas för att uppfylla regionala krav.

Detta OHAI-säkerhetsprogram är utformat kring OHAI:s värdbaserade plattformar - maskinvaran och operativsystemen där program och lösningar distribueras av OHAI i OHAI:s värdbaserade miljöer på uppdrag av sina kunder. Oracle Health Millennium®, HealtheIntent® och CareAware® är exempel på plattformar. Vi tar ägandeskapet och ansvar för cybersäkerhet och incidenthantering av värdverksamhetssystem för att skydda sekretess, integritet och tillgänglighet hos värdbaserade klientdata. Kunderna ansvarar för att hantera vissa aspekter av säkerheten, inklusive att kontrollera slutanvändaråtkomst, lägga till anpassade tillägg/integreringar och lagenlig databehandling.

OHAI erbjuder värdtjänster runt om i världen, med samma säkerhetsprogram och informationssäkerhetspolicyer, oavsett i vilken anläggning klientdata finns. Klientdata kommer att lagras i samma land där kunden befinner sig om inte annat överenskommits. Det finns vissa driftsmässiga skillnader beroende på vilken typ av datacenter som används, men vårt informationssäkerhetsprogram gäller överallt.

  • OHAI Cloud Hosting – OHAI:s molntjänstlösning ger våra kunder som använder sig av molnbaserade lösningar möjlighet att enkelt hålla sig uppdaterade om programfunktioner och teknik som används för att leverera program och tjänster till slutanvändarna. Oracle Cloud Infrastructure (OCI), Oracles molnbaserade databehandlingsmiljö, är en skalbar, mycket tillgänglig och kostnadseffektiv molnplattform. OCI har kommersiella regioner och förvaltningsregioner i publika moln och finns över hela världen. OHAI använder sig också av en tredjepartsleverantör av publika moln för vissa värdbaserade tjänster.
  • OHAI-datacenteranläggningar – OHAI-datacenteranläggningar är konstruerade med hänsyn till eventuella naturkatastrofrisker i de geografiska områden där de är placerade. Datacenter har både fysiska och miljömässiga säkerhetsåtgärder i strategiska lager för att avskräcka, fördröja och upptäcka eventuella försök till intrång. Dessa åtgärder är utformade för att skapa en härdad, säker och pålitlig miljö.
  • Samlokaliserade datatjänstleverantörer – OHAI använder sig av samlokaliseringstjänstleverantörer på nivå 3 i vissa regioner. Tjänsterna som tillhandahålls av datacenterleverantörer inkluderar datacenterverksamhet (dvs. leverans av ström, kylning och brandbekämpning) och fysisk säkerhet fram till OHAI:s datacenterburar. Datorutrustning och nätverksutrustning (t.ex. servrar, brandväggar och nätverkskablar) ägs och underhålls av OHAI och delas inte med andra hyresgäster i datacentret. Tjänsteleverantörerna har inte tillgång till några data som finns i OHAI:s datacenterburar och de behandlar inga data som rör OHAI:s kunder. Certifieringar för leverantörer av samlokaliseringstjänster inkluderar branscherkända säkerhets-, miljö- och hälso- och säkerhetscertifieringar, som ISO 27001 och ISO 14001 samt SOC 2-typ II-rapporter.

Användning av en tredjepartsleverantör ändrar inte hur vi hanterar vårt säkerhetsprogram, och det ger inte heller tjänsteleverantören tillgång till våra system eller nätverk.

Policyer och procedurer

OHAI upprätthåller ett dokumenterat integritets-, säkerhets- och riskhanteringsprogram med tydligt definierade roller, ansvarsområden, policyer och procedurer som är utformade för att säkra informationen på OHAI:s plattformar. OHAI:s program hanterar, som minsta åtgärd:

  • Tilldelning av datasäkerhetsansvar och ansvarsområden till specifika personer.
  • Beskrivning av godkänd användning av OHAI:s plattform.
  • Attribut för åtkomstkontroll och lösenord för OHAI-slutanvändare, administratörer och operativsystem.
  • Genomförande av OHAI:s autentiseringskrav för slutanvändare.
  • Beskrivning av granskningsloggning och övervakning av OHAI-baserade produktionsmiljöer.
  • Information om OHAI:s incidenthanteringsplan.
  • Beskrivning av lämpliga riskhanteringskontroller, säkerhetscertifieringar och periodiska riskbedömningar.
  • Beskrivning av fysiska och miljömässiga säkerhetskrav för OHAI:s nätverk, kontor och datacenter.

OHAI behåller full kontroll över och distribuerar inte skriftliga eller elektroniska kopior av sina säkerhetspolicyer och procedurer. OHAI granskar och ändrar regelbundet sitt säkerhetsprogram för att återspegla förändrade tekniker, bestämmelser, lagar och risker, bransch- och säkerhetspraxis och andra affärsbehov.


Teknisk säkerhet

Identitets- och åtkomsthantering

OHAI ger åtkomst till klientsystem baserat på roll, slutförande av nödvändig utbildning och principen om minsta behörighet som krävs för arbetsansvar. Processerna för åtkomstgodkännande följs strikt för att garantera att åtkomsten är lämplig och uppfyller regelefterlevnadskraven.

Teamen måste övervaka åtkomst och kontrollera inaktivitet varje månad samt återkalla åtkomstbehörighet om lämpligt. Medarbetares identiteter valideras genom tvåfaktorsautentisering när en VPN-anslutning används. Autentisering via ett godkänt VPN krävs för åtkomst till molnmiljöer som är separerade från företagsnätverk.

Åtkomst till resurser och system granskas när en anställd byter roll och återkallas där så är lämpligt. Medarbetares åtkomst återkallas också när anställningen avslutas (frivilligt eller ofrivilligt).

Konfigurationshantering och nätverksskydd

OHAI använder sig av flera överlappande säkerhetsprogramvaror och motåtgärder inom sitt säkerhetsprogram för att skydda sina plattformar. Följande är några exempel på de säkerhetstekniker som OHAI använder för att skydda sina plattformar:

  • Antivirusprogram – Antivirusprogram, skydd mot skadlig programvara och kompenserande kontroller används, beroende på vad som är lämpligt, i hela den värdbaserade miljön. Uppdateringar av mönsterfiler distribueras dagligen. Inkommande data skannas i realtid och systemenheter skannas varje vecka. Förutom att hålla virussignaturer uppdaterade uppdateras AV-programvaran och skanningsmotorerna för att upprätthålla och förbättra effektiviteten.
  • Nätverksbrandväggar – Perimeternätverk och kritiska infrastrukturanslutningar skyddas av brandväggstekniker av branschstandard.
  • System för förebyggande av intrång (IPS) – Enheter placeras strategiskt i nätverksinfrastrukturen så att de kan identifiera skadligt eller avvikande beteende. Alla anslutningar som går igenom brandväggens gränssnitt och varje större anslutning som går igenom kärnnätverket inspekteras för att säkerställa giltigheten.
  • Överbelastningsattacker – OHAI arbetar nära sina internetleverantörer för att upptäcka och försvara sig mot överbelastningsattacker.
  • Proxyservrar – Åtkomst till externa program i allmänna nätverk genomsöks efter maskar och virus innan anslutningen till destinationsservern upprättas. Utgående webb- och FTP-begäranden filtreras mot en godkänd lista och genomsöks efter maskar och virus.
  • Systemhärdning – Servermallar uppdateras för branschstandardmetoder för säkra konfigurationer. Nya avbilder läses in på alla nya servrar och på äldre servrar vid behov.
  • Korrigeringshantering – OHAI upprätthåller ett automatiserat systemlager och korrigeringssystem som ger insyn i systemändringar. OHAI får uppdaterade korrigeringsmeddelanden genom sina partnerrelationer och testar korrigeringsfiler med olika processer innan filerna tillämpas på tillämpliga plattformar.
  • Separation av miljöer – OHAI upprätthåller en lämplig logisk och fysisk separation av miljöerna för utveckling, test och kundproduktion.

Systemhantering

Loggar på systemnivå

OHAI loggar åtkomst till och aktivitet på nätverksenheter, säkerhetsinfrastrukturkomponenter och serversystem i ett datalager för säkerhetsloggning för företag. Loggar överförs till ett verktyg för säkerhetsinformation och händelsehantering (SIEM) för övervakning, analys, felsökning, efterlevnad och granskning av systemhändelser. Med hjälp av SIEM utformar säkerhetspersonalen profiler för vanliga händelser för att fokusera på ovanlig aktivitet, undvika falska positiva resultat, identifiera avvikelser och förebygga onödiga och obetydliga varningar.

Kryptering och kryptografisk lagring

OHAI använder sig av lämpliga krypteringsmekanismer för att skydda data. OHAI gör riskbedömningar för att utvärdera hur data konsumeras och den övergripande känsligheten hos dessa data. Data krypteras vid överföring via offentliga nätverk. OHAI hanterar infrastruktur för publika och privata nycklar i klientnätverk. OHAI strävar efter att använda FIPS 140-2-algoritmer när dessa stöds av den kryptografiska modulen. OHAI har också stöd för krypteringsprotokollen Advanced Encryption Standard (AES) och Transport Layer Security (TLS).

Sårbarhet och hothantering

Penetrationstestning utförs av OHAI:s säkerhetspersonal som innehar lämpliga branschcertifieringar och behörigheter. Dessutom anlitar OHAI årligen en tredje part för att genomföra extern penetrationstestning. Som en del av OHAI:s sårbarhets- och hothanteringsprogram analyserar och kvantifierar OHAI:s säkerhetspersonal riskpotentialen för identifierade sårbarheter och hot mot både OHAI och dess kunder.

OHAI utför kontinuerlig produktionsskanning av sina plattformar. OHAI poängsätter sårbarheter baserat på förväntad påverkan på miljö och extern exponering. När sårbarheten har bedömts initieras en process för att mildra eller åtgärda sårbarheten.

Identifierade sårbarheter bedöms baserat på risk och mildras eller åtgärdas efter allvarlighetsgrad. Den här analysen innefattar användning av branschstandarder, till exempel NIST:s gemensamma sårbarhetssystem (NIST CVSS) och intern penetrationsskanning av miljöer med hjälp av branschstandardverktyg. OHAI strävar efter att korrigera sårbarheter inom de tidsramar som anges nedan:

  • Brådskande – två veckor om en godkänd metod för kringgående är tillgänglig eller 48 timmar om ingen sådan metod är tillgänglig.
  • Kritisk - 30 dagar.
  • Hög – 90 dagar.
  • Medel– 180 dagar.
  • Låg – 365 dagar.

Fysisk och miljömässig säkerhet

Fysiska och miljömässiga säkerhetsåtgärder införs i strategiska lager för att avskräcka, fördröja och upptäcka eventuella försök till intrång. Dessa åtgärder är utformade både i enlighet med behov som är unika för anläggningen och för att säkerställa att kritiska system tillhandahålls i en härdad, säker och pålitlig miljö.

Som minimum säkerställer OHAI att följande fysiska och miljömässiga säkerhetskontroller upprätthålls på Oracle Health-datacenter och inom alla samlokaliserade tjänsteleverantörer som OHAI använder:

  • Åtkomstkontrollsystem för att begränsa inträde enbart till OHAI-personal och auktoriserade tredje parter.
  • Anläggningen är utformad med branschstandardiserade miljökontroller (t.ex. branddetekterings- och spärrsystem, kylsystem, luftfuktighetskontroller, strömfördelningskontroller, avbrottsfri strömförsörjning och reservgeneratorkapacitet).
  • Anläggningen är utformad med fysiska kontroller enligt branschstandard (t.ex. vaktstationer, fysiska hinder, videoövervakning och en lämplig väderbeständig konstruktion).

Incidenthantering

Center för omedelbara svar (IRC)

Den primära uppgiften för IRC är att svara på andra och tredje nivåernas supportsamtal från kundtjänsten och lösa inrapporterade problem. Rapporterade problem dokumenteras och lagras i en central databas. IRC-teamet använder sig av systemövervakningsverktyg för att spåra och svara på larm och varningar och vidta lämpliga åtgärder. OHAI:s IRC är bemannad dygnet runt, alla dagar.

Svarscenter för datorsäkerhetsincidenter (CSIRC)

OHAI:s CSIRC är kontrollcentret för hantering av säkerhetsincidenter och ansvarar för kontinuerlig hotövervakning av OHAI:s plattformar, dygnet runt, alla dagar. CSIRC-teamet tar in och samordnar svar på hotinformation, både internationell, federal och från teknikbranschen, för att skydda OHAI:s miljöer. Dessutom använder teamet branschstandardverktyg för att systematiskt analysera loggar för att identifiera potentiell obehörig aktivitet och fokusera på potentiella hot.

Säkerhetsincidenter

OHAI upprätthåller en process för hantering av säkerhetsincidenter för att undersöka, mildra och kommunicera systemsäkerhetshändelser som inträffar inom en plattform. Påverkade kunder informeras om relevanta säkerhetsincidenter i tid samt meddelas rekommenderade korrigerande åtgärder som ska vidtas.

Hantering av säkerhetshändelser

OHAI meddelar inte kunder eller gör offentliga uttalanden om ”namngivna” sårbarhetshändelser. Enligt OHAI:s eget gottfinnande kan OHAI utfärda ett svar specifikt för en sårbarhet som OHAI har beslutat kräver omedelbar uppmärksamhet baserat på insamlad hotinformation. Annars meddelar OHAI inte kunder eller svarar på begäranden från kunder om att granska en miljö beträffande sårbarheter.


Ändringshantering

OHAI upprätthåller förändringshanteringsprocesser, baserat på bästa praxis enligt ITIL (Information Technology Infrastructure Library), som är utformade kring typen av förändring och risknivå i samband med denna. OHAI:s policyer kräver att OHAI kommunicerar relevanta, icke-rutinmässiga ändringar som OHAI genomför i en kunds system till den berörda kunden. Ändringarna valideras, granskas och godkänns i proportion till risken för ändringen. OHAI använder sig av Change Advisory Boards (CAB) för att granska betydande förändringar med känd stilleståndstid eller ökad risk. Ändringar loggas och underhålls i OHAI:s centraliserade system för ändringsbegäranden. Kunderna ansvarar för att kontrollera och dokumentera eventuella systemändringar som de utför.


Beredskapsplanering

OHAI:s beredskapsprogram bygger på ISO 22301 och är utformat för att säkerställa fortsatt drift av viktig teknik genom att stödja interna och externa klientfunktioner under en incident (t.ex. en situation som kan vara, eller kan leda till, en förlängd störning, förlust, nödsituation eller kris).

Katastrofåterställning och återhämtning

OHAI tillhandahåller en redundant och mycket tillgänglig infrastruktur för att minimera avbrott i produktionsmiljöerna. Om en störande incident inträffar följer OHAI ett etablerat, utövat och dokumenterat beredskapsprogram för att återställa tjänsten så snabbt och effektivt som möjligt, med kommersiellt rimliga åtgärder. Incidenthanteringsdelen av OHAI:s beredskapsplaneringsprogram testas, granskas och uppdateras årligen. OHAI erbjuder olika nivåer av katastrofåterställningstjänster beroende på aktuell plattform.


Livscykel för programvaruutveckling

OHAI anpassar sin säkerhetspraxis till Oracles. Vid utveckling av nya produkter använder OHAI sig av Oracle Software Security Assurance (OSSA), som omfattar alla faser i produktutvecklingens livscykel, och är Oracles metod för att bygga in säkerhet i design, konstruktion, testning och underhåll av produkterna. Syftet med Oracles praxis för säker utveckling är att förhindra vanliga sårbarheter, däribland sådana som identifieras i OWASP Top 10. Mer information hittar du på https://www.oracle.com/corporate/security-practices/assurance/development/


Personal

Säkerhetsmedvetenhet

OHAI:s säkerhetsmedvetenhetsprogram kräver att medarbetare deltar i obligatoriska utbildningsaktiviteter relaterade till deras specifika roller. Dessa aktiviteter är utformade för att upprätthålla effektiviteten av OHAI:s säkerhetsarbete och inkluderar:

  • Fortsatta utbildningskampanjer.
  • Årlig säkerhetsutbildning.
  • Lokaliserad säkerhetsutbildning.
  • Identifiering av nätfiske och andra bedrägerier.
  • Riktade säkerhetsbulletiner.

Riktlinjer för anställningskrav

2003 påbörjade OHAI regelbundet granska sina anställningskandidater i erbjudandefasen med hjälp av en bakgrundskontroll. Från och med 2012 började OHAI kräva att kandidater genomgår en drogscreening innan de börjar sin anställning.

Bakgrundskontroller

OHAI:s bakgrundskontrollprocess varierar beroende på kandidatens potentiella roll och tillämplig lag. Till exempel, i den utsträckning som tillåts enligt tillämplig lag, består bakgrundskontroller i USA och Kanada av:

  • Anställningshistorik för de senaste fem åren.
  • Utbildningskontroll (högsta examen), efter behov baserat på roll.
  • Utdrag ur brottsregistret för de senaste sju åren.
  • Spårning av personnummer (endast USA).
  • Kontroll av hälso- och sjukvårdssanktioner (endast USA).
  • Globala sanktioner och kontroll av efterlevnad.
  • Drogtest (endast för vissa positioner): samt
  • Yrkesintyg (endast för vissa befattningar).

Underleverantörer

OHAI kräver att underleverantörer säkerställer både kompetens och behörighet för sina medarbetare som tillhandahåller tjänster till OHAI:s kunder. Underleverantörernas medarbetare måste genomgå bakgrundskontroller som är lämpliga för berörda tjänster. Sådana bakgrundskontroller måste vara minst lika omfattande som de bakgrundskontroller som OHAI kräver för sina egna medarbetare.

Riskhantering från tredje part

OHAI kräver affärspartneravtal och sekretessavtal med sina leverantörer av samlokaliseringstjänster och de leverantörer som tillhandahåller plattformen, beroende på vad som är lämpligt baserat på aktuella företagets tillgång till data och annan konfidentiell information. OHAI kräver att dess leverantörer fyller i ett datasäkerhetsformulär som en del av OHAI:s utvärderingsprocess för leverantören. Dessutom genomför OHAI årliga säkerhetsriskbedömningar av leverantörer baserat på leverantörens riskprofil.

Offshoreresurser

OHAI är ett globalt företag med kontor och medarbetare över hela världen. OHAI:s nuvarande verksamhets- och supportmodell omfattar användning av medarbetare globalt. OHAI kan tillhandahålla tillfällig åtkomst till plattformarna utanför landet där den tillämpliga plattformen finns. Alla medarbetare med åtkomst till plattformen måste delta i obligatoriska utbildningsaktiviteter relaterade till sin specifika roll och måste följa OHAI:s säkerhetspolicyer och -processer. Utbildningar följs upp och upprätthålls för efterlevnad.

Förstörelse av media

Alla lagringsmedier som används för leverans av OHAI:s värdtjänster rensas och kasseras i enlighet med OHAI:s policy för kassering av elektroniska medier. Policyn följer HIPAA:s säkerhetsregler, ISO 27001 och NIST 800-88.

OHAI kan tillhandahålla maskinvara till kunder för användning på deras platser. All information som lagras på OHAI-tillhandahållen maskinvara men som finns på en kunds plats anses vara kundens ansvar. I sådana fall är kunderna ansvariga för beslut om sanering eller förstörelse av datalagringsmedia i slutet av maskinvarans livscykel.


Certifieringar och granskningar

OHAI genomför regelbundet interna bedömningar och genomgår externa granskningar för att undersöka de kontroller som finns inom plattformen och OHAI:s verksamhet samt för att validera att OHAI följer sitt eget säkerhetsprogram.

HIPAA – Health Insurance Portability and Accountability Act från 1996

OHAI har införlivat och upprätthåller de nödvändiga kontroller som krävs för att följa HIPAA (i dess ändrade lydelse enligt HITECH). HIPAA-bedömningar (interna eller externa) sker på årsbasis och undersöker alla lämpliga företags- och kundmiljöer på våra anläggningar i USA.

Intyg enligt SOC 1 och SOC 2 typ II

Intyg från tredje part utförs på OHAI:s värdbaserade miljöer genom att mäta och testa effektiviteten hos OHAI:s riskminskningar relaterade till AICPA:s Trust Service Principles som är relevanta för säkerhet, tillgänglighet och konfidentialitet. SOC-rapporter utarbetas enligt AICPA:s SSAE-riktlinjer, specifikt för de värdtjänster och kontroller som hanteras av OHAI, och inkluderar för närvarande följande värdplatser: USA, Kanada och Sverige. SOC-rapporteringsplatser kan komma att ändras allteftersom OHAI granskar sina föränderliga affärsbehov. Vi kommer att arbeta med kunder för att hjälpa dem att få lämpliga SOC-rapporter från OHAI eller, beroende på vad som är tillämpligt, en samlokaliseringsleverantör.

ISO 27001/27002:2022

OHAI:s ramverk för hantering av informationssäkerhet (ISMF) överensstämmer med principerna i standarden ISO 27001/27002:2022 och ISMF:s policyer gäller för de flesta av OHAI:s plattformar.

Vi använder oss av samlokaliseringsdatacenter i Kanada, Sverige, Storbritannien, Frankrike och Australien och leverantörer av publika molntjänster samt deras fysiska och miljömässiga säkerhetskontroller. Enligt våra oberoende granskare kan endast Oracle Health-ägda datacenter och kontor identifieras och ingå i Oracle Health:s ISO-certifiering. Processer som hanterar samlokaliserade datacenter omfattas av Oracle Health-kontor som identifieras i ISO-certifieringen. Oracle Health kan bekräfta att deras processer som hanterar datacenter inom samlokaliserade datacenterleverantörer ingår i Oracle Health:s ISO-certifiering. Detta är förenligt med de samlokaliseringsleverantörer som vi använder över hela världen. Oracle Health äger bara datacenter i USA, vilket är anledningen till att dessa identifieras i certifieringen. För verksamhet i specifika samlokaliseringsdatacenter måste kunderna förlita sig på leverantörens egen ISO-certifiering.

Penetrationstest – översiktsrapport

OHAI anlitar årligen en tredje part för att utföra externa penetrationstester mot OHAI:s plattformar. OHAI får en sammanfattande rapport om penetrationstestning som beskriver penetrationstestningen, bekräftar att metodik och testverktyg av branschstandard samt en nationell sårbarhetsdatabas användes vid genomförandet av penetrationstestningen och identifierar kända sårbarheter inom plattformarna. OHAI åtgärdar identifierade sårbarheter baserat på risk enligt en aktivt övervakad åtgärdsplan.

PCI-DSS – Payment Card Industry Data Security Standard

OHAI får ett tredjepartsintyg om efterlevnad (AoC) för att visa efterlevnad av PCI DSS som en tjänsteleverantör på nivå 1 för behandling av betalningar som stöds av vissa OHAI-lösningar. För mer information om vilka OHAI-lösningar som stöds av denna AoC kan du kontakta din OHAI-representant.

EU–USA Privacy Shield

OHAI är självcertifierat enligt EU–USA Privacy Shield och Schweiz–USA Privacy Shield.

Frågeformulär för kundsäkerhet

På en kunds begäran om att fylla i ett säkerhetsformulär eller en säkerhetsbedömning kommer OHAI tillhandahålla tillämplig tredjepartsdokumentation från vårt säkerhetsprogram enligt beskrivningen ovan. Ytterligare dokumentation kan tillhandahållas när den är tillgänglig, till exempel förifyllda standardiserade frågeformulär för säkerhet (CAIQ) eller en leverantörsöversikt för riskhantering av en tredjepartsapplikation. Kunder kan använda sig av dessa rapporter för att bedöma OHAI:s säkerhetsstatus och efterlevnad av avtalsvillkor. Vi kommer att samarbeta med kunder för att svara på rimliga, specifika säkerhetsbedömningsfrågor som inte behandlas via dessa standardleverabler.

En av våra många säkerhetskontroller inkluderar att se till att vi inte tillhandahåller konfidentiell och känslig information som utsätter OHAI eller våra kunder för ytterligare risker. Vi tar säkerheten för dina uppgifter på största allvar, och vi kommer inte att äventyra denna för att tillgodose förfrågningar om specifik känslig information när tredjepartsrevisorer har validerat vårt säkerhetsprogram.