Les entreprises qui traitent des informations de santé protégées (PHI) doivent cependant mettre en œuvre et respecter des mesures de sécurité physiques, de réseau et procédurales. Cet article vous guidera pour comprendre ce que signifie la conformité HIPAA, la liste de contrôle et les formulaires pour se conformer, comment fonctionne son zoom, également comment obtenir son certificat et son mode de transfert.
conformité HIPAA
La loi HIPAA (Health Insurance Portability and Accountability Act) est une loi fédérale qui a été promulguée pour protéger les dossiers médicaux et les informations des individus. La conformité HIPAA est un mode de vie pour les entreprises de soins de santé afin d'assurer la confidentialité, la confidentialité et l'intégrité des informations de santé protégées.
La conformité à la loi HIPAA est la norme de référence en matière de protection des données sensibles des patients. Par conséquent, pour se conformer à la loi HIPAA, les entreprises qui traitent des informations de santé protégées (PHI) doivent mettre en œuvre et maintenir des mesures de sécurité physiques, de réseau et procédurales. La conformité à la loi HIPAA est également exigée des entités couvertes (celles qui fournissent des soins de santé, des paiements ou des opérations) et des associés commerciaux (ceux qui ont accès aux informations sur les patients et aident au traitement, au paiement ou aux opérations). Les sous-traitants et tout autre partenaire commercial, par exemple, doivent adhérer aux mêmes normes.
Liste de contrôle de conformité HIPAA
Voici la liste de contrôle de conformité HIPAA pour aider votre entreprise à se conformer aux réglementations HIPAA.
#1. Audits et évaluations
Pour maintenir la sécurité des données, les audits internes, les évaluations de sécurité et également les audits de confidentialité dans la liste de contrôle de conformité HIPAA, il convient de procéder régulièrement :
- Déterminez quels audits et évaluations annuels obligatoires de la règle HIPAA SP 800-66, révision 1 s'appliquent à votre organisation à l'aide du NIST.
- Effectuez les audits et les évaluations requis, analysez les résultats et documentez les défauts ou les lacunes.
- Créer et documenter des plans de réparation approfondis pour remédier à ces défauts et faiblesses.
- Exécutez les plans, analysez les résultats et ajustez le plan si nécessaire si les résultats souhaités ne sont pas atteints.
#2. Évaluation du risque
Pour effectuer des évaluations régulières des risques dans la liste de contrôle de conformité HIPAA, conformément aux directives du NIST, tenez compte des points suivants :
- Évaluer le risque associé à chaque entité indépendamment.
- Effectuer des évaluations des risques pour les systèmes de stockage électronique des informations de santé (ePHI).
- Créer et mettre en œuvre une politique de gestion des risques.
- Évaluer la probabilité et l'impact des problèmes potentiels d'ePHI.
- Mettre en place des mesures de sécurité adaptées aux documents sensibles et aux dangers identifiés.
- Établir les meilleures pratiques et les exigences de maintenance pour la sécurité.
#3. Les politiques et les procédures
Assurez-vous que vos politiques et procédures respectent la règle de confidentialité HIPAA, la règle de sécurité HIPAA et la règle de notification de violation HIPAA. Les évaluations annuelles doivent être documentées. Assurez-vous que ce qui suit est conçu et mis en œuvre :
- Les politiques et procédures de confidentialité traitent de questions telles que les politiques et pratiques d'utilisation des données, les divulgations courantes et non courantes, la limitation des demandes de données sensibles et les problèmes connexes.
- Politiques pour les associés d'affaires. Dans la liste de contrôle de conformité, assurez-vous que les contrats et accords existants sont conformes aux règles HIPAA en les modifiant. Obtenir des assurances contractuelles adéquates et tenir des registres des sanctions en cas de non-conformité.
- Procédures et dates de réponse aux demandes d'accès et aux plaintes relatives à la confidentialité. Obtenez l'autorisation écrite des patients avant d'utiliser ou de divulguer des RPS pour un traitement, un paiement ou des opérations de soins de santé.
#4. Protection des données
De plus, lors de la confirmation de votre liste de contrôle de conformité HIPAA, vous devez utiliser des mesures de protection des données pour garantir l'intégrité, la disponibilité et la confidentialité de vos données.
1. Mesures techniques de sécurité
- Contrôles d'intégrité et audit : les contrôles d'intégrité permettent de garantir que les données sont exactes et de haute qualité. Configurez des techniques d'audit pour surveiller l'accès et la modification des fichiers et pour vous avertir de tout comportement anormal.
- Crypter les informations de santé protégées électroniquement (ePHI) avant leur transmission sur Internet pour se conformer à NIST règles de cryptage.
- Contrôles d'accès, d'autorisation et d'authentification : assurez-vous que seules les personnes autorisées ont accès aux enregistrements électroniques sensibles. Les mots de passe et autres codes de sécurité doivent rester confidentiels.
2. Barrières physiques
- Avant de déchiqueter des papiers cruciaux, déchiquetez-les.
- Postes de travail sécurisés : restreignez l'accès à ePHI à des postes de travail spécifiques. Établir des politiques régissant l'utilisation de ces postes de travail.
- Établissez des protocoles pour supprimer les ePHI d'un appareil en cas de perte ou de vol, ou si le propriétaire de l'appareil quitte l'entreprise si l'appareil est accessible via des appareils mobiles.
3. Garanties administratives
Sensibilisation à la sécurité et formation des employés : les membres du personnel doivent être formés à la gouvernance de l'accès ePHI et aux meilleures pratiques en matière de cybersécurité, telles que la détection et le signalement des logiciels malveillants.
Créer un plan pour assurer l'intégrité et la sécurité des ePHI en cas d'urgence.
#5. Communication avec et formation des employés
Dans la liste de contrôle, tout le personnel doit suivre une formation adéquate en matière de cybersécurité et les membres de l'équipe doivent être sensibilisés à l'importance de la conformité HIPAA :
- Tout le personnel doit connaître les politiques et procédures de confidentialité de l'organisation.
- Assurez-vous que tous les membres de l'équipe ont examiné et accepté les politiques et procédures HIPAA que vous avez établies.
- Assurez-vous que tout le personnel a reçu une formation de base sur la conformité HIPAA.
- La documentation de toutes les formations de conformité HIPAA et l'attestation du personnel des règles et procédures HIPAA doivent être conservées.
- Élaborer des répercussions et des règles et processus disciplinaires en cas de violation de la vie privée.
#6. Le bureau du responsable de la protection de la vie privée a été créé.
Chargez une personne ou un bureau spécifique de la responsabilité des questions de confidentialité :
- Nommez quelqu'un pour développer et mettre en œuvre votre politique de confidentialité (par exemple, un responsable de la conformité, de la confidentialité ou de la sécurité HIPAA).
- Veiller à ce que la formation annuelle HIPAA soit dispensée à tous les employés par le responsable de la conformité HIPAA désigné.
#7. Associés d'affaires
Vérifiez fréquemment que tous les associés commerciaux sont en conformité avec les lois HIPAA :
- Identifiez tous les associés commerciaux susceptibles de recevoir, d'envoyer, de stocker, de traiter ou d'avoir accès à des enregistrements ePHI sensibles.
- Assurez-vous que chaque partenaire commercial a signé un accord de partenariat commercial.
- Chaque année, examinez la conformité aux BAA et à la loi HIPAA.
- Créez des documents écrits qui démontrent et documentent votre diligence raisonnable sur les partenaires commerciaux potentiels.
#8. Liste de contrôle pour notifier une violation
Établir des méthodes et des procédures pour répondre aux incidents de sécurité et aux violations :
- Tenir un journal et coordonner les enquêtes sur les événements impliquant la compromission de la sécurité des RPS.
- Établir des normes et des directives d'atténuation, ainsi que des politiques et des procédures disciplinaires en cas d'infraction.
- Créez une méthode pour signaler les failles de sécurité et autres incidents liés à la sécurité.
- Établissez des politiques pour informer les patients, l'OCR et les médias des failles de sécurité (le cas échéant).
Formulaires de conformité HIPAA
Si vous collectez des informations sur les patients en ligne sans utiliser de formulaires de conformité HIPAA, vous risquez de subir une cyberattaque ou des sanctions et amendes liées à HIPAA. Par conséquent, les formulaires de conformité HIPAA sont des documents numériques remplis par l'utilisateur qui contiennent des champs, du texte et d'autres entrées des patients afin d'effectuer une activité basée sur les données.
Selon la réglementation HIPAA, les PHI sont définies comme toutes les données pouvant être utiles pour identifier un patient particulier au cours d'un processus de soins de santé. Ces données comprennent toutefois les dossiers médicaux, les notes du médecin, la correspondance patient-médecin et les informations de paiement et de facturation du patient. Les renseignements personnels sur la santé (RPS) sont donc toute information sur un individu qu'un patient saisit dans un formulaire numérique. Par conséquent, toutes les informations contenues dans ce formulaire doivent rester confidentielles et protégées contre tout accès non autorisé. Ainsi, de multiples réglementations et directives régissent les mesures essentielles pour sécuriser un formulaire :
- Comme spécifié dans la règle de sécurité HIPAA, le formulaire doit être protégé de manière appropriée. Cela nécessite le déploiement de logiciels de chiffrement et de sécurité acceptables et appropriés pour la protection des données en transit et au repos. En conséquence, votre formulaire doit sauvegarder les données à la fois localement et lorsqu'elles passent sur un réseau d'autres applications.
- L'appareil utilisé pour soumettre le formulaire doit disposer de protections technologiques et physiques appropriées, telles que la protection des autorisations, le cryptage et les contrôles d'accès.
- Si le formulaire est fourni par un fournisseur de logiciels tiers, le CE doit conclure un accord d'association commerciale (BAA) avec le fournisseur décrivant ses rôles et responsabilités respectifs ainsi que les vôtres.
Même avec ces garanties, le formulaire peut ne pas être conforme si les procédures appropriées (telles que la gestion des données ou l'utilisation de dispositifs de collecte de données) ne sont pas utilisées. Un formulaire de non-conformité peut enfreindre les RPS et exposer votre entreprise de soins de santé à des amendes pouvant aller jusqu'à 50,000 XNUMX $ par incident, ainsi qu'à la possibilité d'une peine d'emprisonnement.
Fournisseurs de formulaires de conformité HIPAA
Il existe des fournisseurs de formulaires de conformité HIPAA, qui peuvent également vous fournir les meilleurs formulaires dont vous avez besoin sur la conformité HIPAA. Ci-dessous sont-ils.
#1. Formulaires Google Sheets
Les formulaires Google sont les meilleurs pour leur simplicité, leur rapidité et leur facilité d'utilisation. De plus, ils s'intègrent à Google Cloud, qui inclut Google Sheets. Ce simple développement de formulaire a tout de même un coût, car il peut exclure certaines fonctionnalités fournies par d'autres fournisseurs spécialisés.
#2. Formulaires Microsoft
Microsoft Forms est une application logicielle qui vous permet de concevoir des formulaires. Ils sont extrêmement puissants, bien que plutôt difficiles à utiliser. Il est sponsorisé par les plateformes cloud de Microsoft comme Azure, qui, comme le reste des produits Microsoft, sont conformes à la HIPAA. Cependant, selon votre niveau de compétence, les formulaires peuvent être un peu gênants.
#3. Formulaires Formstack
Formstack est également un autre bon service de formulaire qui se concentre exclusivement sur cette fonction. De plus, Formstack permet aux CE de créer des listes et des signatures électroniques intelligentes et contextuelles pour les formulaires des patients, ce qui constitue un avantage significatif. Celles-ci sont complexes et utiles, mais elles ne sont pas divisées en une plate-forme plus grande, ce qui nécessite une prise en charge supplémentaire du stockage et de l'intégration.
#4. JotFormName
JotForm, un autre service de formulaire bien connu, permet aux clients de créer des formulaires conformes à la loi HIPAA. Il a plusieurs fonctionnalités étonnantes, telles que processus de paiementg et des formulaires configurables, mais il en manque quelques-uns essentiels, tels que la création de formulaires contextuels et les choix de branchement.
Qu'est-ce que la conformité HIPAA?
En 1996, les États-Unis ont promulgué la Health Insurance Portability and Accountability Act (HIPAA) comme première étape vers une réforme modérée des soins de santé. L'objectif de HIPAA était également de restructurer le secteur de la santé en réduisant les coûts, en éliminant les processus et les charges administratives et en protégeant la confidentialité et la sécurité des patients. Aujourd'hui, la conformité avec HIPAA pointe donc principalement sur le dernier point ; protégeant ainsi la confidentialité et la sécurité des informations de santé des individus. Ils se spécialisent dans le soutien aux particuliers et aux petites et moyennes entreprises de la manière la plus rentable, la plus rapide et la plus simple possible afin de se conformer à la loi HIPAA.
Qui est tenu de se conformer aux exigences HIPAA ?
Toute personne qui travaille ou est associée à l'industrie de la santé ; ou qui a accès à des informations de santé protégées y est éligible et parmi eux figurent les suivants :
- Les fournisseurs de soins de santé
- Régimes d'assurance maladie des employés
- Fournisseurs d'assurance maladie
- Centres d'information sur les soins de santé
- Associés commerciaux (toute personne qui travaille avec l'un des 4 ci-dessus)
Conformité HIPAA
Il est essentiel de comprendre à quoi se réfère le zoom dans cette situation. Zoom est une technologie de vidéoconférence et de conférence Web basée sur le cloud qui intègre la vidéoconférence, le chat et la collaboration sur une seule plateforme. En conséquence, pour gérer la conformité HIPAA, de nombreuses entreprises de soins de santé s'appuient sur Zoom pour communiquer avec leurs collègues et dialoguer avec les patients, partageant fréquemment des informations de santé confidentielles (PHI). De plus, les fournisseurs de plates-formes basées sur le cloud comme Zoom sont classés comme des associés commerciaux, ce qui signifie qu'ils doivent se conformer aux réglementations de conformité HIPAA s'ils utilisent leur plate-forme pour échanger des PHI.
Zoom est un logiciel de visioconférence conforme à la loi HIPAA qui va au-delà de la protection de la confidentialité des PHI. Par conséquent, il existe deux types distincts de besoins d'authentification des utilisateurs. De plus, la conformité Zoom HIPAA comprend la gestion des accès, qui permet aux fournisseurs de contrôler qui a accès à la plate-forme.
Conformément à la conformité HIPAA, Zoom est un cryptage de bout en bout, qui garantit que tous les messages sont brouillés pendant la transmission et ne sont visibles que pour l'expéditeur ou le destinataire. Les messages texte et les sessions de chat sont également cryptés. Ainsi, pour rendre les messages hors ligne accessibles, toutes les parties doivent s'engager dans un échange de clé cryptographique, ce qui nécessite que toutes les parties possèdent la même clé pour chiffrer et déchiffrer les données.
Zoom peut être une alternative viable si vous recherchez un service de visioconférence conforme à la loi HIPAA, ce qui vous permettra de communiquer plus efficacement avec vos patients aujourd'hui et à l'avenir.
Certification de conformité HIPAA
La certification HIPAA indique donc que vous avez terminé un cours conçu pour vous former et vous éduquer sur les compétences nécessaires pour aider votre entreprise ou organisation à se conformer à la loi HIPAA. Cela n'indique pas non plus que vous êtes conforme ; cela implique plutôt que vous avez appris la terminologie et l'application de la loi sur la transférabilité et la responsabilité de l'assurance maladie.
Formation à la certification HIPAA
Pour devenir certifié HIPAA, vous devez cependant vous inscrire à un cours de certification HIPAA. Il existe divers cours de ce type proposés, à la fois en ligne et hors ligne, mais aucun n'est reconnu par le ministère de la Santé et des Services sociaux à partir de 2015. Les cours en ligne sont extrêmement pratiques car ils peuvent être suivis à votre guise. Ce cours aide donc à la formation de spécialistes qui seront responsables de divers aspects de la conformité HIPAA au sein de leurs unités ou organisations de soins de santé respectives. La formation à la certification HIPAA est essentielle non seulement pour les entreprises qui traitent directement avec HIPAA, mais également pour celles qui font affaire avec elles.
Comment devenir certifié HIPAA
- La première étape pour devenir certifié HIPAA est de trouver un cours de certification HIPAA approprié pour les personnes qui le suivront. S'il est souhaitable d'inscrire tous les salariés à de telles formations, si cela n'est pas possible en raison de contraintes humaines ou financières, choisissez des salariés pouvant être formés comme formateurs.
- Lorsqu'une entreprise de formation professionnelle n'est pas en mesure de former l'ensemble de votre personnel, la méthode « Train the Trainer » peut être utilisée.
- Vous devez avoir une politique HIPAA en place, comparable à votre politique de santé et de sécurité, ainsi qu'une procédure bien écrite avec des zones sélectionnées inspectées mensuellement ou plus fréquemment si nécessaire.
Tout cela serait difficile à mettre en œuvre professionnellement sans des professionnels certifiés HIPAA qui sont également formés à la mise en œuvre de la loi.
Transfert de conformité HIPAA
Toute organisation qui gère les transferts de fichiers contenant des informations de santé protégées doit cependant respecter scrupuleusement la règle de sécurité HIPAA (PHI). En bref, les systèmes de transfert de fichiers doivent protéger la confidentialité, l'intégrité et également l'accessibilité des dossiers de santé individuels (PHI).
Les mesures de sécurité sont classées en trois catégories dans la règle de sécurité : mesures de protection administratives, physiques et technologiques. Les entreprises peuvent sécuriser les données et effectuer des transferts de fichiers conformes à la loi HIPAA en suivant ces bonnes pratiques :
- Empêcher les personnes non autorisées d'accéder aux informations de santé protégées.
- Maintenez un journal de toutes les activités des utilisateurs sur les systèmes qui contiennent des PHI.
- Assurez-vous que des protocoles de sécurité sont en place pour protéger les données en transit contre tout accès non autorisé.
- Déconnectez les sessions électroniques une fois les transferts de fichiers terminés.
- Toute transmission de PHI doit être cryptée.
- Démontrer que les données transférées n'ont pas été modifiées, piratées ou détruites sans autorisation.
Il est prudent de collaborer avec des spécialistes de la sécurité de l'information qui possèdent une vaste expérience dans le développement, l'installation et également l'audit de solutions de technologie de l'information conformes à la loi HIPAA.
Que signifie être en conformité avec HIPAA ?
La conformité à la loi HIPAA est la norme de référence en matière de protection des données sensibles des patients. Pour se conformer à la loi HIPAA, les entreprises qui traitent des informations de santé protégées (PHI) doivent mettre en œuvre et maintenir des mesures de sécurité physiques, de réseau et procédurales.
Quelles sont les trois règles de l'HIPAA ?
Les trois règles qui régissent HIPAA sont
- Règles de confidentialité
- Règles de sécurité
- Règles de notification des infractions
Quel est le but de HIPAA ?
Une loi fédérale connue sous le nom de Health Insurance Portability and Accountability Act de 1996 (HIPAA) a mandaté l'élaboration de normes nationales pour empêcher la divulgation d'informations sensibles sur la santé des patients à l'insu du patient ou sans son consentement.
Comment expliquez-vous HIPAA à un patient ?
Donner aux patients un résumé du contenu de la politique de confidentialité est la meilleure approche pour expliquer HIPAA aux patients. Celui-ci contiendra toutes les informations pertinentes. Par exemple, dites au patient qu'il a le droit de demander son dossier médical à tout moment.
Quels sont les 2 composants principaux de HIPAA ?
Titre I : Accès aux soins de santé, transférabilité et renouvellement. Protège la couverture d'assurance maladie en cas de perte ou de changement d'emploi. Comprend une couverture pour les conditions préexistantes.
Comprend une couverture pour les conditions préexistantes.
TITRE II : Simplification administrative
