Le aziende che gestiscono le informazioni sanitarie protette (PHI) devono, tuttavia, implementare e aderire a misure di sicurezza fisica, di rete e procedurale. Questo articolo ti guiderà a capire cosa significa conformità HIPAA, la checklist e i moduli per conformarsi, come funziona il suo zoom, anche come ottenere il suo certificato e modalità di trasferimento.
conformità HIPAA
L'Health Insurance Portability and Accountability Act (HIPAA) è una legge federale emanata per salvaguardare le cartelle cliniche e le informazioni degli individui. La conformità HIPAA è uno stile di vita per le aziende sanitarie al fine di garantire la privacy, la riservatezza e l'integrità delle informazioni sanitarie protette.
La conformità con HIPAA è il gold standard per la protezione dei dati sensibili dei pazienti. Pertanto, per conformarsi all'HIPAA, le aziende che gestiscono le informazioni sanitarie protette (PHI) devono implementare e mantenere misure di sicurezza fisica, di rete e procedurale. La conformità con HIPAA è richiesta anche per le entità coperte (quelle che forniscono cure mediche, pagamenti o operazioni) e soci in affari (coloro che hanno accesso alle informazioni sui pazienti e assistono con cure, pagamenti o operazioni). I subappaltatori e qualsiasi altro socio in affari, ad esempio, devono aderire agli stessi standard.
Lista di controllo della conformità HIPAA
Di seguito è riportato l'elenco di controllo di conformità HIPAA per aiutare la tua azienda a conformarsi alle normative HIPAA.
# 1. Audit e valutazioni
Per mantenere la sicurezza dei dati, gli audit interni, le valutazioni della sicurezza e anche gli audit della privacy nell'elenco di controllo di conformità HIPAA, dovrebbe essere condotto su base regolare:
- Determina quale regola HIPAA SP 800-66, revisione 1, audit e valutazioni annuali obbligatorie si applicano alla tua organizzazione utilizzando il NIST.
- Condurre gli audit e le valutazioni richiesti, analizzare i risultati e documentare eventuali errori o carenze.
- Creare e documentare piani di riparazione approfonditi per rimediare a tali difetti e debolezze.
- Eseguire i piani, analizzare i risultati e adattare il piano secondo necessità se i risultati desiderati non vengono raggiunti.
#2. Valutazione del rischio
Per condurre valutazioni del rischio regolari nella checklist di conformità HIPAA, in conformità con le linee guida NIST, considerare quanto segue:
- Valutare il rischio associato a ciascuna entità in modo indipendente.
- Condurre valutazioni del rischio per i sistemi elettronici di archiviazione delle informazioni sanitarie (ePHI).
- Creare e implementare una politica di gestione del rischio.
- Valutare la probabilità e l'impatto di potenziali problemi di ePHI.
- Mettere in atto misure di sicurezza adeguate per i documenti e i rischi sensibili identificati.
- Stabilire le migliori pratiche e i requisiti di manutenzione per la sicurezza.
#3. Politiche e procedure
Accertati che le tue politiche e procedure aderiscano alla regola sulla privacy HIPAA, alla regola di sicurezza HIPAA e alla regola di notifica di violazione HIPAA. Le valutazioni annuali dovrebbero essere documentate. Accertarsi che sia progettato e implementato:
- Le politiche e le procedure sulla privacy affrontano questioni come le politiche e le pratiche sull'utilizzo dei dati, le divulgazioni di routine e non di routine, la limitazione delle richieste di dati sensibili e i problemi correlati.
- Politiche per i soci in affari. Nella checklist di conformità, assicurati che i contratti e gli accordi esistenti siano conformi alle regole HIPAA modificandoli. Ottenere adeguate assicurazioni contrattuali e conservare i registri delle sanzioni per non conformità.
- Modalità e date di risposta alle richieste di accesso e reclami privacy. Ottenere l'autorizzazione scritta dai pazienti prima di utilizzare o divulgare le PHI per il trattamento, il pagamento o le operazioni sanitarie.
#4. Protezione dati
Anche nel confermare la tua checklist di conformità HIPAA, devi utilizzare le salvaguardie dei dati per garantire l'integrità, la disponibilità e la riservatezza dei tuoi dati.
1. Misure tecniche di sicurezza
- Controlli di integrità e auditing: i controlli di integrità aiutano a garantire che i dati siano accurati e di alta qualità. Configura le tecniche di controllo per monitorare l'accesso e la modifica dei file e per notificarti qualsiasi comportamento anomalo.
- Crittografare le informazioni sanitarie protette elettronicamente (ePHI) prima della trasmissione su Internet per conformarsi NIST norme di crittografia.
- Controlli di accesso, autorizzazione e autenticazione: accertare che solo le persone autorizzate abbiano accesso a record elettronici sensibili. Le password e altri codici di sicurezza devono essere mantenuti riservati.
2. Barriere fisiche
- Prima di distruggere documenti cruciali, distruggili.
- Workstation sicure: limita l'accesso a ePHI a workstation specifiche. Stabilire politiche che regolano l'uso di queste workstation.
- Stabilire protocolli per eliminare ePHI da un dispositivo in caso di smarrimento o furto o se il proprietario del dispositivo lascia l'attività se è possibile accedere al dispositivo tramite dispositivi mobili.
3. Garanzie amministrative
Consapevolezza della sicurezza e formazione per i dipendenti: i membri del personale dovrebbero essere istruiti sulla governance dell'accesso ePHI e sulle migliori pratiche di sicurezza informatica, ad esempio su come rilevare e segnalare il malware.
Creare un piano per garantire l'integrità e la sicurezza di ePHI in caso di emergenza.
#5. Comunicazione e formazione dei dipendenti
Nella lista di controllo, tutto il personale dovrebbe ricevere un'adeguata formazione sulla sicurezza informatica e i membri del team dovrebbero essere istruiti sull'importanza della conformità HIPAA:
- Tutto il personale deve avere familiarità con le politiche e le procedure sulla privacy dell'organizzazione.
- Accertati che tutti i membri del team abbiano esaminato e accettato le politiche e le procedure HIPAA che hai stabilito.
- Accertarsi che tutto il personale abbia ricevuto una formazione di base sulla conformità HIPAA.
- Dovrebbe essere mantenuta la documentazione di tutta la formazione sulla conformità HIPAA e l'attestazione del personale delle regole e procedure HIPAA.
- Sviluppare ripercussioni e regole e processi disciplinari in caso di violazione della privacy.
#6. E' stato istituito l'ufficio del Garante della Privacy.
Incaricare una persona o un ufficio specifico di responsabilità per problemi di privacy:
- Nominare qualcuno che sviluppi e implementi la tua politica sulla privacy (ad esempio, un responsabile della conformità HIPAA, della privacy o della sicurezza).
- Assicurare che la formazione annuale HIPAA sia fornita a tutti i dipendenti dal responsabile della conformità HIPAA designato.
#7. Soci in affari
Verificare frequentemente che tutti i soci in affari siano conformi alle leggi HIPAA:
- Identificare eventuali soci in affari che possono ricevere, inviare, archiviare, elaborare o avere accesso a record ePHI sensibili.
- Accertarsi che ciascun partner commerciale abbia sottoscritto un contratto di società in affari.
- Annualmente, rivedere la conformità BAA e HIPAA.
- Crea documenti scritti che dimostrino e documentino la tua due diligence su potenziali partner commerciali.
#8. Lista di controllo per la notifica di una violazione
Stabilire metodi e procedure per rispondere a incidenti e violazioni della sicurezza:
- Mantenere un registro e coordinare le indagini sugli eventi che implicano la compromissione della sicurezza delle PHI.
- Stabilire standard e linee guida per la mitigazione, nonché politiche e procedure disciplinari in caso di violazione.
- Crea un metodo per segnalare violazioni della sicurezza e altri incidenti relativi alla sicurezza.
- Stabilire politiche per notificare ai pazienti, all'OCR e ai media le violazioni della sicurezza (se pertinente).
Moduli di conformità HIPAA
Se raccogli informazioni sui pazienti online senza utilizzare un modulo di conformità HIPAA, potresti subire un attacco informatico o sanzioni e multe relative all'HIPAA. Di conseguenza, i moduli di conformità HIPAA sono documenti digitali compilati dall'utente che contengono campi, testo e altri input dei pazienti al fine di eseguire un'attività basata sui dati.
Secondo le normative HIPAA, PHI è definito come qualsiasi dato che può essere utile per identificare un particolare paziente durante un processo sanitario. Questi dati, tuttavia, includono cartelle cliniche, note mediche, corrispondenza medico-paziente e informazioni relative al pagamento e alla fatturazione del paziente. Le informazioni sulla salute personale (PHI) sono quindi tutte le informazioni su un individuo che un paziente inserisce in un modulo digitale. Di conseguenza, tutte le informazioni all'interno di tale modulo devono essere mantenute riservate e protette da accessi non autorizzati. Pertanto, più regolamenti e linee guida regolano le misure essenziali per garantire un modulo:
- Come specificato nella norma di sicurezza dell'HIPAA, il modulo deve essere protetto in modo appropriato. Ciò richiede l'implementazione di un software di crittografia e sicurezza accettabile e appropriato per la protezione dei dati in transito e inattivi. Quando un risultato, il tuo modulo deve salvaguardare i dati sia a livello locale che mentre passa su una rete di altre applicazioni.
- Il dispositivo utilizzato per inviare il modulo deve disporre di adeguate protezioni tecnologiche e fisiche, come protezione dell'autorizzazione, crittografia e controlli di accesso.
- Se il modulo viene fornito da un fornitore di software di terze parti, il CE deve stipulare un contratto di società in affari (BAA) con il fornitore che delinei i loro rispettivi ruoli e responsabilità.
Anche con queste garanzie, il modulo potrebbe non essere conforme se non vengono utilizzate procedure adeguate (come la gestione dei dati o l'uso di dispositivi di raccolta dati). Un modulo di non conformità può violare le PHI ed esporre la tua azienda sanitaria a multe fino a $ 50,000 per incidente, nonché alla prospettiva del carcere.
Fornitori di moduli di conformità HIPAA
Ci sono fornitori sui moduli di conformità HIPAA, che possono anche fornirti i migliori moduli di cui hai bisogno per la conformità HIPAA. Di seguito sono loro.
# 1. Moduli di Fogli Google
I moduli Google sono i migliori per la loro semplicità, rapidità e facilità d'uso. Inoltre, si integrano con Google Cloud, che include Fogli Google. Questo semplice sviluppo di moduli ha ancora un costo, poiché potrebbe escludere alcune funzionalità fornite da altri fornitori specializzati.
#2. Moduli Microsoft
Microsoft Forms è un'applicazione software che consente di progettare moduli. Sono estremamente potenti, anche se piuttosto difficili da usare. È sponsorizzato da piattaforme cloud Microsoft come Azure, che, come il resto dei prodotti Microsoft, sono conformi HIPAA. Tuttavia, a seconda del tuo livello di competenza, i moduli possono essere un po' imbarazzanti.
#3. Moduli Formstack
Formstack è anche un altro buon servizio di moduli che si concentra esclusivamente su quella funzione. Inoltre, Formstack consente ai CE di creare elenchi intelligenti e sensibili al contesto e firme elettroniche per i moduli dei pazienti, il che rappresenta un vantaggio significativo. Questi sono complessi e utili, ma non sono suddivisi in una piattaforma più ampia, che richiede ulteriore spazio di archiviazione e supporto per l'integrazione.
#4. JotForm
JotForm, un altro noto servizio di modulistica, consente ai clienti di creare moduli conformi all'HIPAA. Ha diverse caratteristiche sorprendenti, come processo di pagamentog e moduli configurabili, ma ne mancano alcuni critici, come la creazione di moduli sensibile al contesto e le scelte di ramificazione.
Che cos'è la conformità HIPAA?
Nel 1996, gli Stati Uniti hanno emanato l'Health Insurance Portability and Accountability Act (HIPAA) come primo passo verso una riforma sanitaria moderata. L'obiettivo di HIPAA era anche quello di ristrutturare il settore sanitario riducendo i costi, eliminando i processi e gli oneri amministrativi e salvaguardando la privacy e la sicurezza dei pazienti. Oggi, il rispetto dell'HIPAA punta quindi principalmente sull'ultimo punto; proteggendo così la privacy e la sicurezza delle informazioni sulla salute delle persone. Sono specializzati nel supportare individui e piccole e medie imprese nel modo più conveniente, efficiente in termini di tempo e diretto possibile per diventare conformi all'HIPAA.
Chi è tenuto a soddisfare i requisiti HIPAA?
Chiunque abbia un rapporto di lavoro o di associazione con il settore sanitario; o chi ha accesso a informazioni sanitarie protette ha diritto a questo e tra questi sono i seguenti:
- Fornitori di servizi sanitari
- Piani di assicurazione sanitaria dei dipendenti
- Fornitori di assicurazioni sanitarie
- Camere di smistamento sanitarie
- Soci in affari (chiunque lavori con uno dei 4 sopra)
Zoom Conformità HIPAA
È essenziale capire a cosa si riferisce lo zoom in questa situazione. Zoom è una tecnologia di videoconferenza e Web basata su cloud che integra videoconferenza, chat e collaborazione in un'unica piattaforma. Di conseguenza, nella gestione della conformità HIPAA, molte aziende sanitarie si affidano a Zoom per comunicare con i colleghi e interagire con i pazienti, condividendo spesso informazioni sanitarie riservate (PHI). Inoltre, i fornitori di piattaforme basate su cloud come Zoom sono classificati come soci in affari, il che significa che devono rispettare le normative di conformità HIPAA se utilizzano la loro piattaforma per scambiare PHI.
Zoom è un software di videoconferenza conforme HIPAA che va ben oltre per salvaguardare la riservatezza delle PHI. Pertanto, esistono due tipi distinti di esigenze di autenticazione dell'utente. Inoltre, la conformità Zoom HIPAA include la gestione degli accessi, che consente ai provider di controllare chi ha accesso alla piattaforma.
In conformità HIPAA, Zoom è una crittografia end-to-end, che garantisce che tutti i messaggi vengano codificati durante la trasmissione e siano visibili solo al mittente o al destinatario. Anche i messaggi di testo e le sessioni di chat sono crittografati. Pertanto, per rendere accessibili i messaggi offline, tutte le parti devono impegnarsi in uno scambio di chiavi crittografiche, che richiede che tutte le parti possiedano la stessa chiave per crittografare e decrittografare i dati.
Zoom può essere una valida alternativa se stai cercando un servizio di videoconferenza conforme a HIPAA, che ti consentirà di comunicare con i tuoi pazienti in modo più efficace oggi e in futuro.
Certificazione di conformità HIPAA
La certificazione HIPAA indica quindi che hai terminato un corso progettato per formarti e istruirti sulle competenze necessarie per aiutare la tua azienda o organizzazione a diventare conforme HIPAA. Anche questo non indica che sei conforme; piuttosto, implica che ti è stata insegnata la terminologia e l'applicazione della legge sulla portabilità e la responsabilità dell'assicurazione sanitaria.
Formazione per la certificazione HIPAA
Per ottenere la certificazione HIPAA, tuttavia, dovresti iscriverti a un corso di certificazione HIPAA. Esistono vari corsi di questo tipo offerti, sia online che offline, ma nessuno è riconosciuto dal Dipartimento della salute e dei servizi umani a partire dal 2015. Le lezioni online sono estremamente utili perché possono essere completate a tuo piacimento. Questo corso, quindi, assiste nella formazione di specialisti che saranno responsabili di vari aspetti della conformità HIPAA all'interno delle rispettive unità o organizzazioni sanitarie. La formazione per la certificazione HIPAA è essenziale non solo per le aziende che si occupano direttamente di HIPAA, ma anche per quelle che fanno affari con loro.
Come ottenere la certificazione HIPAA
- Il primo passo per ottenere la certificazione HIPAA è individuare un corso di certificazione HIPAA appropriato per le persone che lo seguiranno. Sebbene sia auspicabile iscrivere tutti i dipendenti a tali corsi, se ciò non è possibile a causa di vincoli umani o finanziari, scegliere dipendenti che possano essere formati come formatori.
- Quando un'azienda di formazione professionale non è in grado di formare tutto il personale, è possibile utilizzare il metodo "Forma il formatore".
- Dovresti disporre di una politica HIPAA, paragonabile alla tua politica di salute e sicurezza, nonché una procedura ben scritta con aree selezionate ispezionate mensilmente o più frequentemente, se necessario.
Tutto ciò sarebbe difficile da implementare professionalmente senza professionisti certificati HIPAA che sono anche formati nell'attuazione della legge.
Trasferimento di conformità HIPAA
Qualsiasi organizzazione che gestisce i trasferimenti di file contenenti informazioni sanitarie protette deve tuttavia rispettare fermamente la regola di sicurezza HIPAA (PHI). In una forma abbreviata, i sistemi di trasferimento di file devono proteggere la riservatezza, l'integrità e anche l'accessibilità delle cartelle cliniche individuali (PHI).
Le precauzioni di sicurezza sono classificate in tre categorie nella norma di sicurezza: salvaguardie amministrative, fisiche e tecnologiche. Le aziende possono proteggere i dati ed eseguire trasferimenti di file conformi HIPAA seguendo queste best practice:
- Impedire a persone non autorizzate di accedere a informazioni sanitarie protette.
- Mantenere un registro di tutte le attività degli utenti sui sistemi che contengono PHI.
- Assicurati che i protocolli di sicurezza siano in atto per proteggere i dati in transito da accessi non autorizzati.
- Disconnetti le sessioni elettroniche al termine dei trasferimenti di file.
- Qualsiasi trasmissione di PHI deve essere crittografata.
- Dimostrare che i dati trasferiti non sono stati alterati, violati o distrutti senza autorizzazione.
È prudente collaborare con specialisti della sicurezza delle informazioni che hanno una vasta esperienza nello sviluppo, nell'installazione e nella verifica di soluzioni informatiche conformi all'HIPAA.
Cosa significa essere conformi a HIPAA?
La conformità con HIPAA è il gold standard per la protezione dei dati sensibili dei pazienti. Per conformarsi all'HIPAA, le aziende che gestiscono le informazioni sanitarie protette (PHI) devono implementare e mantenere misure di sicurezza fisica, di rete e procedurale.
Quali sono le tre regole dell'HIPAA?
Le tre regole che regolano HIPAA sono
- Regole sulla privacy
- Regole di sicurezza
- Regole di notifica di violazione
Qual è lo scopo dell'HIPAA?
Una legge federale nota come Health Insurance Portability and Accountability Act del 1996 (HIPAA) ha imposto lo sviluppo di standard nazionali per impedire la divulgazione di informazioni sensibili sulla salute del paziente all'insaputa del paziente o senza il suo consenso.
Come si spiega HIPAA a un paziente?
Fornire ai pazienti un riepilogo dei contenuti dell'informativa sulla privacy è l'approccio migliore per spiegare l'HIPAA ai pazienti. Ciò includerà tutte le informazioni pertinenti. Ad esempio, dire al paziente che ha il diritto di chiedere la propria cartella clinica in qualsiasi momento.
Quali sono i 2 componenti principali dell'HIPAA?
Titolo I: Accesso all'assistenza sanitaria, portabilità e rinnovo. Tutela la copertura assicurativa sanitaria in caso di perdita o cambiamento di lavoro. Include la copertura per condizioni preesistenti.
Include la copertura per condizioni preesistenti.
TITOLO II: Semplificazione amministrativa
