Специалист по информационной безопасности (ISO)
MEDvidi — многоштатная телемедицинская практика, предоставляющая услуги в области поведенческого здоровья и психиатрии через лицензированную профессиональную корпорацию. Поскольку наша организация и число поставщиков услуг продолжают расти, защита высокочувствительной информации о поведенческом здоровье и поддержание надежной операционной программы безопасности HIPAA имеют решающее значение для нашего дальнейшего успеха. Мы ищем опытного специалиста по информационной безопасности (ISO), который возьмет на себя ответственность за программу безопасности MEDvidi в соответствии с HIPAA.
О роли
Специалист по информационной безопасности будет нести полную ответственность за программу информационной безопасности MEDvidi, в частности за защиту электронной защищенной информации о здоровье (ePHI). Вам будет передана завершенная оценка рисков безопасности, и вы будете отвечать за превращение выявленных рисков и рекомендаций в устойчивую операционную программу. Это включает в себя выполнение мер по устранению рисков, текущее управление рисками, технические и административные меры защиты, безопасность поставщиков, реагирование на инциденты, политики безопасности и соответствие требованиям безопасности. Это роль, требующая самостоятельной работы, для человека, которому комфортно самостоятельно управлять программой безопасности в условиях ограниченных ресурсов и быстро меняющейся среды здравоохранения.
Обязанности
- Выполнять функции назначенного сотрудника по безопасности HIPAA в MEDvidi в соответствии с 45 CFR § 164.308(a)(2).
- Отвечать за анализ рисков безопасности организации и цикл текущего управления рисками, включая ведение реестра рисков и работу по устранению выявленных рисков.
- Разрабатывать, эксплуатировать, документировать и поддерживать административные меры защиты HIPAA, включая безопасность рабочей силы, авторизацию доступа, осведомленность и обучение в области безопасности, процедуры реагирования на инциденты и планирование на случай непредвиденных обстоятельств.
- Сотрудничать с ИТ для внедрения и поддержания технических мер защиты, включая контроль доступа, аутентификацию, контроль аудита, целостность данных, ведение журналов и шифрование ePHI при передаче и хранении.
- Поддерживать политики безопасности для распределенной рабочей силы MEDvidi, включая безопасность рабочих станций, контроль устройств и носителей, а также обработку ePHI при удаленной работе.
- Отвечать за процесс реагирования на инциденты безопасности, включая обнаружение, сдерживание, координацию судебно-медицинской экспертизы, документирование и ежегодные учения в формате «tabletop».
- Сотрудничать с сотрудником по конфиденциальности в расследовании нарушений и других областях, где пересекаются требования конфиденциальности и безопасности.
- Руководить проверкой безопасности поставщиков и бизнес-партнеров, включая анкеты по безопасности, обзоры SOC 2/HITRUST, риски субподрядчиков и устранение выявленных проблем безопасности.
- Поддерживать решения по архитектуре и инструментам безопасности, касающиеся телемедицинских платформ, доступа к EHR, управления конечными точками, ведения журналов и охвата SIEM.
- Анализировать последствия использования инструментов ИИ и процессов безопасности и соответствия требованиям, поддерживаемых ИИ, в организации.
- Управлять платформой GRC MEDvidi совместно с руководством по соблюдению нормативных требований.
- Отслеживать изменения в Правиле безопасности HIPAA и помогать MEDvidi оценивать и внедрять новые требования по мере их применения.
Требования
- Более 6 лет опыта работы в области информационной безопасности.
- Более 2 лет опыта работы в сфере здравоохранения или другой регулируемой среде, связанной с ePHI/PII.
- Подтвержденный опыт самостоятельного управления программой безопасности HIPAA или эквивалентной регулируемой программой безопасности; опыт только в качестве консультанта недостаточен.
- Глубокое знание Правила безопасности HIPAA.
- Знание как минимум одной релевантной структуры безопасности/контроля, такой как: NIST Cybersecurity Framework (CSF) 2.0, NIST SP 800-66r2, HITRUST.
- Подтвержденная способность самостоятельно управлять программой безопасности в условиях ограниченных ресурсов.
- Сильные навыки приоритизации на основе рисков, практического внедрения мер контроля и документирования информации по безопасности.
Предпочтительные квалификации
- Сертификация CISSP, HCISPP, CISM или эквивалентная.
- Опыт обеспечения безопасности телемедицинских платформ или других технологических сред здравоохранения.
- Опыт облачной безопасности с AWS, Azure и/или GCP.
- Опыт руководства реагированием на инциденты безопасности.
- Опыт работы с частичными или внешними ресурсами по безопасности, специалистами по тестированию на проникновение и независимыми консультантами по безопасности.
- Знание развивающихся требований Правила безопасности HIPAA.
Признаки успешной работы
В течение первого года вы должны будете создать зрелую, хорошо документированную и операционную программу безопасности. Ключевые результаты включают:
- Устранение выявленных в ходе анализа рисков безопасности или включение их в документированные, официально принятые графики устранения.
- Поддержание набора политик безопасности, соответствующих применимым мерам защиты HIPAA, с четко определенными владельцами, периодичностью пересмотра и подтверждающими документами.
- Тестирование плана реагирования на инциденты посредством «tabletop»-учения.
- Поддержание уровня завершения обучения по безопасности для персонала не менее 95%.
- Проведение проверок безопасности критически важных поставщиков, работающих с ePHI.
- Координация ежегодного тестирования на проникновение и обеспечение включения выявленных проблем в программу устранения рисков.
