Como enviar, criptografar e enviar informações para uso de usuários não técnicos? [fechadas]

Question

Uma amiga médica quer enviar relatórios por e-mail para seus pacientes, mas não o faz, pois quer que seja vista pelo paciente. Alguma recomendação? Estou pensando que possíveis soluções podem ser:

1. E-mail criptografado : Criptografa o e-mail usando chaves privadas / públicas. Acho que isso pode ser muito difícil para o paciente.

2. Apego criptografado : Criptografe o arquivo (não o e-mail) usando algum software e uma frase para a chave e dê a frase ao paciente pessoalmente ou pelo telefone. O paciente (que certamente usa o Windows ou a Apple e não o Linux) precisaria, portanto, ter acesso ao software.

   Eu acho que um link para baixar o software funcionaria, mas provavelmente não é desejável. O Windows e a Apple têm essa funcionalidade incorporada? Ou talvez compactá-lo e criptografá-lo, ou encapsular o arquivo em algum executável quando clicado irá extraí-lo?

Ou talvez mais alguma coisa?

    

Answer 1

1. O Windows Escritório , LibreOffice e outros pacotes de escritório oferecem uma caixa de diálogo Salvar como ... com Senha como um opção. Salve a mensagem como um documento com senha e anexe ao email.

MSOffice/OpenOffice/LibreOfficeDOCXtodosusam Microsoft Enhanced RSA e AES Cryptographic Provider (em vez do mais seguro Microsoft AES Cryptographic Provider ), que fornece criptografia RSA e tri-DES, mas não AES-256 ou melhor. Assim, a criptografia DOCX é de força moderada e pode ou não ser compatível com HIPAA .

2. Os aplicativos de compactação, como o 7-Zip e o PeaZip, oferecem força de criptografia de até AES-256 e podem criptografar e compactar vários documentos de uma só vez, por ex. X-ray TIFF, OV resumo DOC etc. Isto é mais seguro e também mais eficiente do que usar a criptografia de cada aplicativo. É mais simples para o destinatário, também, precisar inserir apenas uma senha para abrir todos os arquivos no arquivo. Tem sido minha experiência que as várias ferramentas Zip são compatíveis, também, mesmo em sistemas operacionais - por exemplo, arquivos 7-Zip criptografados no sistema operacional Windows podem ser abertos no gerenciador de arquivos do Ubuntu .

Conforme você declara, a senha deve ser fornecida por meio de outro meio que não e-mail, por exemplo, fax ou telefone. O melhor seria ligar para o destinatário após o email ser recebido e ficar no telefone para falar sobre o processo de descriptografia.

    

Answer 2

Primeiro você sugere isso:

“Encrypt the email using private/public keys.”

Então você sugere isso:

“Encrypt the file (not the email) using some software and a phrase for the key, and give the phrase to the patient in person or over the phone.”

As chances de qualquer solução funcionar para pacientes médios é de 100% zero. A maioria das pessoas não entende o que é criptografia PGP / GPG e enviar um anexo criptografado e, em seguida, fornecer uma senha pelo telefone é uma confusão que está por acontecer.

Dito isso, acho que a única solução que poderia praticamente funcionar seria um PDF criptografado com proteção por senha. O PDF pode ser enviado como um anexo e uma senha pode ser passada por telefone, correio ou até por e-mail.

Mas isso disse que você também declara isso; ênfase ousada é minha:

A doctor friend of mine wants to email reports to her patients, but doesn’t do so as she only wants it to be viewed by the patient.

No final do dia, você só pode controlar como bloquear algo, mas não pode impedir que alguém veja o conteúdo se a pessoa do outro lado estiver desleixada com o armazenamento de senhas. Ou seja, um PDF criptografado é uma boa solução, mas se seu paciente deixar a senha em uma nota PostIt ™ em sua mesa ou imprimi-la, não há nada que impeça alguém próximo de ler esse conteúdo.

É claro que esse é um risco esperado, mas achei que seria melhor mencioná-lo. No final do dia, o melhor que você pode esperar é proteger o PDF na transmissão do médico para o paciente; passado que todas as apostas estão desativadas.

E FWIW,

Does the HIPAA Privacy Rule permit health care providers to use e-mail to discuss health issues and treatment with their patients?

Yes. The Privacy Rule allows covered health care providers to communicate electronically, such as through e-mail, with their patients, provided they apply reasonable safeguards when doing so. See 45 C.F.R. § 164.530(c). For example, certain precautions may need to be taken when using e-mail to avoid unintentional disclosures, such as checking the e-mail address for accuracy before sending, or sending an e-mail alert to the patient for address confirmation prior to sending the message. Further, while the Privacy Rule does not prohibit the use of unencrypted e-mail for treatment-related communications between health care providers and patients, other safeguards should be applied to reasonably protect privacy, such as limiting the amount or type of information disclosed through the unencrypted e-mail. In addition, covered entities will want to ensure that any transmission of electronic protected health information is in compliance with the HIPAA Security Rule requirements at 45 C.F.R. Part 164, Subpart C.

Aparentemente requisitos da Regra de Segurança da HIPAA a 45 C.F.R. Parte 164, Subparte C pode ser encontrada em algum lugar aqui , mas não consigo encontrar os detalhes.