Sin embargo, las empresas que manejan información de salud protegida (PHI, por sus siglas en inglés) deben implementar y adherirse a medidas de seguridad física, de red y de procedimiento. Este artículo lo guiará para comprender qué significa el cumplimiento de HIPAA, la lista de verificación y los formularios para cumplir, cómo funciona su zoom, también cómo obtener su certificado y modo de transferencia.
HIPAA
La Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) es una ley federal que se promulgó para salvaguardar la información y los registros médicos de las personas. El cumplimiento de HIPAA es una forma de vida para las empresas de atención médica a fin de garantizar la privacidad, confidencialidad e integridad de la información médica protegida.
El cumplimiento de HIPAA es el estándar de oro para proteger los datos confidenciales de los pacientes. Por lo tanto, para cumplir con HIPAA, las empresas que manejan información de salud protegida (PHI) deben implementar y mantener medidas de seguridad física, de red y de procedimiento. El cumplimiento de HIPAA también se requiere de las entidades cubiertas (aquellas que brindan tratamiento, pago u operaciones de atención médica) y socios comerciales (aquellos que tienen acceso a la información del paciente y ayudan con el tratamiento, el pago o las operaciones). Los subcontratistas y cualquier otro socio comercial, por ejemplo, deben cumplir con los mismos estándares.
Lista de verificación de cumplimiento de HIPAA
La siguiente es la lista de verificación de cumplimiento de HIPAA para ayudar a su empresa a cumplir con las regulaciones de HIPAA.
#1. Auditorías y Evaluaciones
Para mantener la seguridad de los datos, las auditorías internas, las evaluaciones de seguridad y también las auditorías de privacidad en la lista de verificación de cumplimiento de HIPAA, se debe realizar de manera regular:
- Determine qué auditorías y evaluaciones anuales obligatorias de HIPAA Rule SP 800-66, Revisión 1 se aplican a su organización utilizando el NIST.
- Llevar a cabo las auditorías y evaluaciones requeridas, analizar los hallazgos y documentar cualquier falla o deficiencia.
- Cree y documente planes de reparación completos para remediar tales defectos y debilidades.
- Ejecute los planes, analice los resultados y ajuste el plan según sea necesario si no se logran los resultados deseados.
#2. Evaluación de riesgo
Para realizar evaluaciones de riesgo regulares en la lista de verificación de cumplimiento de HIPAA, de acuerdo con las pautas del NIST, considere lo siguiente:
- Evaluar el riesgo asociado a cada entidad de forma independiente.
- Llevar a cabo evaluaciones de riesgo para los sistemas electrónicos de almacenamiento de información de salud (ePHI).
- Crear e implementar una política de gestión de riesgos.
- Evaluar la probabilidad y el impacto de posibles inquietudes sobre ePHI.
- Implemente medidas de seguridad adecuadas para los documentos y peligros confidenciales identificados.
- Establecer las mejores prácticas y requisitos de mantenimiento para la seguridad.
#3. Policias y procedimientos
Asegúrese de que sus políticas y procedimientos cumplan con la regla de privacidad de HIPAA, la regla de seguridad de HIPAA y la regla de notificación de incumplimiento de HIPAA. Las evaluaciones anuales deben documentarse. Verificar que se diseñe e implemente lo siguiente:
- Las políticas y procedimientos de privacidad abordan cuestiones como las políticas y prácticas de uso de datos, las divulgaciones rutinarias y no rutinarias, la limitación de solicitudes de datos confidenciales y problemas relacionados.
- Políticas para socios comerciales. En la lista de verificación de cumplimiento, asegúrese de que los contratos y acuerdos existentes cumplan con las reglas de HIPAA cambiándolos. Obtener garantías de contrato adecuadas y mantener registros de sanciones por incumplimiento.
- Procedimientos y fechas de respuesta a las solicitudes de acceso y reclamaciones de privacidad. Obtener permiso por escrito de los pacientes antes de usar o divulgar PHI para tratamiento, pago u operaciones de atención médica.
#4. Protección de Datos
Además, al confirmar su lista de verificación de cumplimiento de HIPAA, debe utilizar salvaguardas de datos para garantizar la integridad, disponibilidad y confidencialidad de sus datos.
1. Medidas Técnicas de Seguridad
- Controles de integridad y auditoría: los controles de integridad ayudan a garantizar que los datos sean precisos y de alta calidad. Configure técnicas de auditoría para monitorear el acceso y la modificación de archivos y para notificarle cualquier comportamiento anormal.
- Cifre la información médica protegida electrónicamente (ePHI) antes de transmitirla por Internet para cumplir con NIST regulaciones de encriptación.
- Controles de acceso, autorización y autenticación: asegúrese de que solo las personas autorizadas tengan acceso a los registros electrónicos confidenciales. Las contraseñas y otros códigos de seguridad deben mantenerse confidenciales.
2. Barreras Físicas
- Antes de triturar papeles cruciales, tritúrelos.
- Estaciones de trabajo seguras: restrinja el acceso a ePHI a estaciones de trabajo específicas. Establecer políticas que rijan el uso de estas estaciones de trabajo.
- Establezca protocolos para eliminar ePHI de un dispositivo si se pierde o es robado, o si el propietario del dispositivo deja el negocio si se puede acceder al dispositivo a través de dispositivos móviles.
3. Garantías Administrativas
Concientización y capacitación sobre seguridad para los empleados: los miembros del personal deben recibir educación sobre las prácticas recomendadas de gobernanza de acceso ePHI y seguridad cibernética, por ejemplo, cómo detectar y reportar malware.
Cree un plan para garantizar la integridad y seguridad de ePHI en caso de una emergencia.
#5. Comunicación y capacitación de los empleados
En la lista de verificación, todo el personal debe obtener una capacitación adecuada en seguridad cibernética y los miembros del equipo deben ser educados sobre la importancia del cumplimiento de HIPAA:
- Todo el personal debe estar familiarizado con las políticas y procedimientos de privacidad de la organización.
- Asegúrese de que todos los miembros del equipo hayan revisado y estén de acuerdo con las políticas y los procedimientos de HIPAA que ha establecido.
- Asegúrese de que todo el personal haya recibido capacitación básica sobre el cumplimiento de HIPAA.
- Se debe mantener la documentación de toda la capacitación de cumplimiento de HIPAA y la certificación del personal de las reglas y procedimientos de HIPAA.
- Desarrollar repercusiones y reglas y procesos disciplinarios en caso de una violación de la privacidad.
#6. Se ha establecido la oficina del Oficial de Privacidad.
Encargar a una persona u oficina específica la responsabilidad de los asuntos de privacidad:
- Designe a alguien para desarrollar e implementar su política de privacidad (por ejemplo, un oficial de cumplimiento, privacidad o seguridad de HIPAA).
- Asegúrese de que el oficial de cumplimiento de HIPAA designado brinde capacitación anual sobre HIPAA a todos los empleados.
#7. Socios de negocio
Con frecuencia, verifique que todos los socios comerciales cumplan con las leyes HIPAA:
- Identifique a cualquier socio comercial que pueda recibir, enviar, almacenar, procesar o tener acceso a registros confidenciales de ePHI.
- Asegúrese de que cada socio comercial haya ejecutado un Acuerdo de socio comercial.
- Anualmente, revise el cumplimiento de BAA y HIPAA.
- Cree documentos escritos que demuestren y documenten su debida diligencia sobre posibles socios comerciales.
#8. Lista de verificación para notificar una infracción
Establecer métodos y procedimientos para responder a incidentes y brechas de seguridad:
- Mantener un registro y coordinar las investigaciones de sucesos que comprometan la seguridad de la PHI.
- Establecer estándares y pautas de mitigación, así como políticas y procedimientos disciplinarios en caso de una infracción.
- Cree un método para informar violaciones de seguridad y otros incidentes relacionados con la seguridad.
- Establezca políticas para notificar a los pacientes, OCR y los medios de comunicación sobre violaciones de seguridad (según corresponda).
Formularios de cumplimiento de HIPAA
Si recopila información de pacientes en línea sin usar formularios de cumplimiento de HIPAA, puede sufrir un ataque cibernético o sanciones y multas relacionadas con HIPAA. Como resultado, los formularios de cumplimiento de HIPAA son documentos digitales completados por el usuario que contienen campos, texto y otras entradas de los pacientes para realizar una actividad basada en datos.
De acuerdo con las regulaciones de HIPAA, PHI se define como cualquier dato que puede ser útil para identificar a un paciente en particular durante un proceso de atención médica. Sin embargo, estos datos incluyen registros médicos, notas del médico, correspondencia médico-paciente e información de pago y facturación del paciente. Por lo tanto, la información de salud personal (PHI, por sus siglas en inglés) es cualquier información sobre un individuo que un paciente ingresa en un formulario digital. Como resultado, toda la información dentro de ese formulario debe mantenerse confidencial y protegida contra el acceso no autorizado. Por lo tanto, múltiples regulaciones y pautas rigen las medidas esenciales para asegurar un formulario:
- Como se especifica en la regla de seguridad de HIPAA, el formulario debe protegerse adecuadamente. Esto requiere la implementación de software de seguridad y encriptación aceptable y apropiado para la protección de los datos en tránsito y en reposo. Cuando se produce un resultado, su formulario debe salvaguardar los datos tanto localmente como a medida que pasa por una red de otras aplicaciones.
- El dispositivo utilizado para enviar el formulario debe contar con las protecciones tecnológicas y físicas adecuadas, como protección de autorización, encriptación y controles de acceso.
- Si el formulario es proporcionado por un proveedor de software de terceros, el CE debe celebrar un Acuerdo de socio comercial (BAA) con el proveedor que describa sus funciones y responsabilidades respectivas y las de usted.
Incluso con estas salvaguardas, el formulario puede no cumplir si no se utilizan los procedimientos adecuados (como la gestión de datos o el uso de dispositivos de recopilación de datos). Los formularios de incumplimiento pueden violar la PHI y exponer a su compañía de atención médica a multas de hasta $50,000 por incidente, así como a la posibilidad de ir a la cárcel.
Proveedores de formularios de cumplimiento de HIPAA
Hay proveedores de formularios de cumplimiento de HIPAA, que también pueden proporcionarle los mejores formularios que necesita sobre el cumplimiento de HIPAA. Abajo están ellos.
#1. Formularios de Hojas de cálculo de Google
Los formularios de Google son los mejores por su simplicidad, rapidez y facilidad de uso. Además, se integran con Google Cloud, que incluye Google Sheets. Este desarrollo sencillo de formularios aún tiene un costo, ya que puede excluir algunas funcionalidades proporcionadas por otros proveedores especializados.
#2. Formularios de Microsoft
Microsoft Forms es una aplicación de software que le permite diseñar formularios. Son extremadamente poderosos, aunque bastante difíciles de usar. Está patrocinado por plataformas en la nube de Microsoft como Azure, que, al igual que el resto de los productos de Microsoft, cumplen con HIPAA. Sin embargo, dependiendo de su nivel de competencia, los formularios pueden ser un poco incómodos.
#3. Formularios de pila de formularios
Formstack también es otro buen servicio de formularios que se enfoca exclusivamente en esa función. Además, Formstack permite a los CE crear listas inteligentes sensibles al contexto y firmas electrónicas para los formularios de los pacientes, lo cual es un beneficio significativo. Estos son complejos y útiles, pero no están divididos en una plataforma más grande, lo que requiere almacenamiento adicional y soporte de integración.
#4. JotForm
JotForm, otro servicio de formularios muy conocido, permite a los clientes crear formularios de cumplimiento de HIPAA. Tiene varias características sorprendentes, como procesamiento de pagosg y formularios configurables, pero le faltan algunos críticos, como la creación de formularios sensibles al contexto y las opciones de bifurcación.
¿Qué es el cumplimiento de HIPAA?
En 1996, Estados Unidos promulgó la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) como un primer paso hacia una reforma moderada de la atención médica. El objetivo de HIPAA también era reestructurar la industria de la atención médica mediante la reducción de costos, la eliminación de procesos y cargas administrativos y la protección de la privacidad y la seguridad de los pacientes. Hoy en día, el cumplimiento de HIPAA apunta principalmente al punto final; protegiendo así la privacidad y seguridad de la información de salud de las personas. Se especializan en apoyar a individuos y pequeñas y medianas empresas de la manera más rentable, eficiente en el tiempo y sencilla posible para cumplir con HIPAA.
¿Quién está obligado a cumplir con los requisitos de HIPAA?
Cualquiera que esté empleado o asociado con la industria de la salud; o quien tenga acceso a información protegida de salud es elegible para ello y entre ellos se encuentran los siguientes:
- Proveedores de servicios de salud
- Planes de seguro de salud para empleados
- Proveedores de seguros de salud
- Cámaras de compensación de atención médica
- Socios comerciales (cualquiera que trabaje con cualquiera de los 4 anteriores)
Zoom Cumplimiento de HIPAA
Es fundamental entender a qué se refiere el zoom en esta situación. Zoom es una tecnología de videoconferencia y conferencia web basada en la nube que integra videoconferencia, chat y colaboración en una sola plataforma. Como resultado, en el manejo del cumplimiento de HIPAA, muchas compañías de atención médica confían en Zoom para comunicarse con colegas e interactuar con pacientes, compartiendo con frecuencia información de salud confidencial (PHI). Además, los proveedores de plataformas basadas en la nube como Zoom se clasifican como socios comerciales, lo que significa que deben cumplir con las normas de cumplimiento de HIPAA si usan su plataforma para intercambiar PHI.
Zoom es un software de videoconferencia que cumple con HIPAA que va más allá para salvaguardar la confidencialidad de la PHI. Por lo tanto, existen dos tipos distintos de necesidades de autenticación de usuario. Además, el cumplimiento de Zoom HIPAA presenta administración de acceso, lo que permite a los proveedores controlar quién tiene acceso a la plataforma.
En conformidad con HIPAA, Zoom es un cifrado de extremo a extremo que garantiza que todos los mensajes se codifican durante la transmisión y solo son visibles para el remitente o el receptor. Los mensajes de texto y las sesiones de chat también están encriptados. Por lo tanto, para que los mensajes fuera de línea sean accesibles, todas las partes deben participar en un intercambio de claves criptográficas, lo que requiere que todas las partes posean la misma clave para cifrar y descifrar los datos.
Zoom puede ser una alternativa viable si está buscando un servicio de videoconferencia que cumpla con HIPAA, lo que le permitirá comunicarse con sus pacientes de manera más efectiva hoy y en el futuro.
Certificación de cumplimiento de HIPAA
La certificación HIPAA indica que ha terminado un curso diseñado para capacitarlo y educarlo en las habilidades necesarias para ayudar a su empresa u organización a cumplir con HIPAA. Esto tampoco indica que esté en cumplimiento; más bien, implica que se le ha enseñado la terminología y la aplicación de la Ley de Portabilidad y Responsabilidad del Seguro Médico.
Capacitación de certificación HIPAA
Sin embargo, para obtener la certificación HIPAA, debe inscribirse en un curso de certificación HIPAA. Se ofrecen varios cursos de este tipo, tanto en línea como fuera de línea, pero ninguno está reconocido por el Departamento de Salud y Servicios Humanos a partir de 2015. Las clases en línea son extremadamente útiles porque pueden completarse en su tiempo libre. Por lo tanto, este curso ayuda en la educación de especialistas que serán responsables de varios aspectos del cumplimiento de HIPAA dentro de sus respectivas unidades u organizaciones de atención médica. La capacitación en certificación de HIPAA es esencial no solo para las empresas que tratan directamente con HIPAA, sino también para aquellas que hacen negocios con ellas.
Cómo obtener la certificación HIPAA
- El primer paso para obtener la certificación HIPAA es encontrar un curso de certificación HIPAA apropiado para las personas que lo tomarán. Si bien es deseable inscribir a todos los empleados en dichos cursos, si esto no es posible debido a limitaciones humanas o financieras, elija empleados que puedan ser capacitados como capacitadores.
- Cuando una empresa de capacitación profesional no puede capacitar a todo su personal, se puede utilizar el método 'Capacitar al capacitador'.
- Debe tener una Política HIPAA, comparable a su Política de Salud y Seguridad, así como un procedimiento bien escrito con áreas seleccionadas inspeccionadas mensualmente o con mayor frecuencia según sea necesario.
Cualquiera de esto sería difícil de implementar profesionalmente sin profesionales certificados por HIPAA que también estén capacitados en la implementación de la Ley.
Transferencia de cumplimiento de HIPAA
Sin embargo, cualquier organización que maneje transferencias de archivos que contengan información de salud protegida debe obedecer estrictamente la regla de seguridad de HIPAA (PHI). En resumen, los sistemas de transferencia de archivos deben proteger la confidencialidad, la integridad y también la accesibilidad de los registros de salud individuales (PHI).
Las precauciones de seguridad se clasifican en tres categorías en la Regla de Seguridad: salvaguardias administrativas, físicas y tecnológicas. Las empresas pueden proteger los datos y realizar transferencias de archivos compatibles con HIPAA siguiendo estas mejores prácticas:
- Evitar que personas no autorizadas accedan a la información de salud protegida.
- Mantenga un registro de toda la actividad del usuario en los sistemas que contienen PHI.
- Asegúrese de que existan protocolos de seguridad para proteger los datos en tránsito del acceso no autorizado.
- Desconecte las sesiones electrónicas después de que se completen las transferencias de archivos.
- Cualquier transmisión de PHI debe estar encriptada.
- Demostrar que los datos transferidos no fueron alterados, pirateados o destruidos sin autorización.
Es prudente colaborar con especialistas en seguridad de la información que tengan una amplia experiencia en el desarrollo, la instalación y la auditoría de soluciones de tecnología de la información compatibles con HIPAA.
¿Qué significa cumplir con HIPAA?
El cumplimiento de HIPAA es el estándar de oro para proteger los datos confidenciales de los pacientes. Para cumplir con HIPAA, las empresas que manejan información de salud protegida (PHI) deben implementar y mantener medidas de seguridad físicas, de red y de procedimiento.
¿Cuáles son las tres reglas de HIPAA?
Las tres reglas que rigen HIPAA son
- Reglas de privacidad
- Reglas de seguridad
- Reglas de notificación de incumplimiento
¿Cuál es el propósito de HIPAA?
Una ley federal conocida como Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA, por sus siglas en inglés) ordenó el desarrollo de estándares nacionales para evitar la divulgación de información confidencial sobre la salud del paciente sin el conocimiento o consentimiento del paciente.
¿Cómo se explica HIPAA a un paciente?
Darles a los pacientes un resumen del contenido de la Política de privacidad es el mejor enfoque para explicar HIPAA a los pacientes. Esto incluirá toda la información pertinente. Por ejemplo, dígale al paciente que tiene derecho a solicitar su historial médico en cualquier momento.
¿Cuáles son los 2 componentes principales de HIPAA?
Título I: Acceso a la Atención Médica, Portabilidad y Renovación. Protege la cobertura del seguro de salud en caso de pérdida o cambio de trabajo. Incluye cobertura para condiciones preexistentes.
Incluye cobertura para condiciones preexistentes.
TÍTULO II: Simplificación Administrativa
