Bedrijven die omgaan met beschermde gezondheidsinformatie (PHI) moeten echter fysieke, netwerk- en procedurele beveiligingsmaatregelen implementeren en naleven. Dit artikel zal u helpen te begrijpen wat HIPAA-compliance betekent, de checklist en formulieren om te voldoen, hoe de zoom werkt, ook hoe u het certificaat en de wijze van overdracht kunt verkrijgen.
HIPAA-conformiteit
De Health Insurance Portability and Accountability Act (HIPAA) is een federale wet die is uitgevaardigd om de medische dossiers en informatie van individuen te beschermen. HIPAA-compliance is een manier van leven voor bedrijven in de gezondheidszorg om de privacy, vertrouwelijkheid en integriteit van beschermde gezondheidsinformatie te waarborgen.
Naleving van HIPAA is de gouden standaard voor het beschermen van gevoelige patiëntgegevens. Om te voldoen aan HIPAA, moeten bedrijven die met beschermde gezondheidsinformatie (PHI) omgaan, fysieke, netwerk- en procedurele beveiligingsmaatregelen implementeren en onderhouden. Naleving van HIPAA is ook vereist van gedekte entiteiten (die medische behandeling, betaling of operaties bieden) en zakenpartners (degenen die toegang hebben tot patiëntinformatie en helpen bij behandeling, betaling of operaties). Onderaannemers en eventuele andere zakenrelaties moeten zich bijvoorbeeld aan dezelfde normen houden.
Checklist voor naleving van HIPAA
Hieronder vindt u de HIPAA-compliancechecklist om uw bedrijf te helpen bij het voldoen aan de HIPAA-regelgeving.
#1. Audits en beoordelingen
Om gegevensbeveiliging, interne audits, beveiligingsbeoordelingen en ook privacy-audits in de HIPAA-compliancechecklist te behouden, moet deze regelmatig worden uitgevoerd:
- Bepaal welke HIPAA Rule SP 800-66, Revisie 1 verplichte jaarlijkse audits en beoordelingen van toepassing zijn op uw organisatie met behulp van de NIST.
- Voer de vereiste audits en evaluaties uit, analyseer de bevindingen en documenteer eventuele fouten of tekortkomingen.
- Maak en documenteer grondige reparatieplannen om dergelijke defecten en zwakheden te verhelpen.
- Voer de plannen uit, analyseer de resultaten en pas het plan zo nodig aan als de gewenste resultaten niet worden bereikt.
#2. Risicobeoordeling
Houd rekening met het volgende om regelmatig risicobeoordelingen uit te voeren in de HIPAA-compliancechecklist, in overeenstemming met de NIST-richtlijnen:
- Evalueer het risico dat aan elke entiteit is verbonden onafhankelijk.
- Risicobeoordelingen uitvoeren voor elektronische opslagsystemen voor gezondheidsinformatie (ePHI).
- Opstellen en implementeren van een risicomanagementbeleid.
- Evalueer de waarschijnlijkheid en impact van mogelijke ePHI-problemen.
- Zorg voor passende beveiligingsmaatregelen voor geïdentificeerde gevoelige documenten en gevaren.
- Stel best practices en onderhoudsvereisten voor beveiliging vast.
#3. Beleid en procedures
Zorg ervoor dat uw beleid en procedures voldoen aan de HIPAA-privacyregel, de HIPAA-beveiligingsregel en de HIPAA-regel voor het melden van inbreuken. Jaarlijkse evaluaties moeten worden gedocumenteerd. Stel vast dat het volgende is ontworpen en geïmplementeerd:
- Privacybeleid en -procedures behandelen kwesties zoals beleid en praktijken voor gegevensgebruik, routinematige en niet-routinematige openbaarmakingen, het beperken van verzoeken om gevoelige gegevens en gerelateerde problemen.
- Beleid voor zakenpartners. Zorg er in de nalevingscontrolelijst voor dat bestaande contracten en overeenkomsten voldoen aan de HIPAA-regels door ze te wijzigen. Zorg voor adequate contractgaranties en houd een administratie bij van boetes voor niet-naleving.
- Procedures en data voor het reageren op verzoeken om toegang en privacyklachten. Vraag schriftelijke toestemming van patiënten voordat u PHI gebruikt of openbaar maakt voor behandeling, betaling of zorgoperaties.
#4. Gegevensbescherming
Ook bij het bevestigen van uw HIPAA-compliancechecklist, moet u gegevensbeveiligingen gebruiken om de integriteit, beschikbaarheid en vertrouwelijkheid van uw gegevens te waarborgen.
1. Technische veiligheidsmaatregelen
- Integriteitscontroles en auditing: Integriteitscontroles helpen ervoor te zorgen dat gegevens nauwkeurig en van hoge kwaliteit zijn. Configureer controletechnieken om toegang en wijziging van bestanden te controleren en om u op de hoogte te stellen van abnormaal gedrag.
- Versleutel elektronisch beschermde gezondheidsinformatie (ePHI) voorafgaand aan verzending via internet om te voldoen aan: NIST encryptie regelgeving.
- Toegangs-, autorisatie- en authenticatiecontroles: stel vast dat alleen geautoriseerde personen toegang hebben tot gevoelige elektronische bestanden. Wachtwoorden en andere beveiligingscodes moeten vertrouwelijk worden behandeld.
2. Fysieke barrières
- Versnipper ze voordat u cruciale papieren versnippert.
- Beveiligde werkstations: beperk de toegang tot ePHI tot specifieke werkstations. Stel beleid op voor het gebruik van deze werkstations.
- Stel protocollen op voor het verwijderen van ePHI van een apparaat bij verlies of diefstal, of als de eigenaar van het apparaat het bedrijf verlaat als het apparaat toegankelijk is via mobiele apparaten.
3. Administratieve waarborgen
Beveiligingsbewustzijn en training voor werknemers: Medewerkers moeten worden voorgelicht over ePHI-toegangsbeheer en best practices op het gebied van cyberbeveiliging, zoals het detecteren en rapporteren van malware.
Maak een plan om de integriteit en veiligheid van ePHI te waarborgen in geval van nood.
#5. Communicatie met en training van medewerkers
In de checklist moet al het personeel adequate cyberbeveiligingstraining krijgen en leden van het team moeten worden voorgelicht over het belang van HIPAA-compliance:
- Al het personeel moet bekend zijn met het privacybeleid en de procedures van de organisatie.
- Zorg ervoor dat alle teamleden het HIPAA-beleid en de procedures die u hebt vastgesteld, hebben gelezen en ermee akkoord gaan.
- Controleer of alle medewerkers een basistraining hebben gekregen over HIPAA-compliance.
- Documentatie van alle HIPAA-nalevingstrainingen en personeelsattesten van HIPAA-regels en -procedures moeten worden bijgehouden.
- Ontwikkel repercussies en disciplinaire regels en processen in het geval van een privacyschending.
#6. Het kantoor van de Privacy Officer is opgericht.
Een specifieke persoon of kantoor belasten met de verantwoordelijkheid voor privacykwesties:
- Wijs iemand aan om uw privacybeleid te ontwikkelen en te implementeren (bijvoorbeeld een HIPAA-compliance, privacy of beveiligingsfunctionaris).
- Zorg ervoor dat de jaarlijkse HIPAA-training aan alle werknemers wordt gegeven door de aangewezen HIPAA-compliancefunctionaris.
#7. Zakenpartners
Controleer regelmatig of alle zakenpartners de HIPAA-wetten naleven:
- Identificeer eventuele zakenpartners die gevoelige ePHI-records kunnen ontvangen, verzenden, opslaan, verwerken of er toegang toe hebben.
- Controleer of elke zakenpartner een zakenpartnerovereenkomst heeft uitgevoerd.
- Controleer jaarlijks de naleving van BAA's en HIPAA.
- Maak schriftelijke documenten die uw due diligence met betrekking tot potentiële zakenpartners aantonen en documenteren.
#8. Checklist voor het melden van een inbreuk
Stel methoden en procedures vast voor het reageren op beveiligingsincidenten en -inbreuken:
- Houd een logboek bij van en coördineer onderzoeken naar voorvallen waarbij de PHI-beveiliging in gevaar komt.
- Stel mitigatienormen en richtlijnen vast, evenals disciplinaire beleidslijnen en procedures in het geval van een overtreding.
- Maak een methode voor het melden van beveiligingsinbreuken en andere beveiligingsgerelateerde incidenten.
- Stel beleid vast voor het informeren van patiënten, OCR en de media over beveiligingsinbreuken (indien relevant).
HIPAA-nalevingsformulieren
Als u online patiëntgegevens verzamelt zonder HIPAA-conformiteitsformulieren te gebruiken, kunt u een cyberaanval of HIPAA-gerelateerde straffen en boetes oplopen. Als gevolg hiervan zijn HIPAA-nalevingsformulieren door de gebruiker ingevulde digitale documenten die velden, tekst en andere invoer van patiënten bevatten om een gegevensgestuurde activiteit uit te voeren.
Volgens de HIPAA-regelgeving wordt PHI gedefinieerd als alle gegevens die nuttig kunnen zijn om een bepaalde patiënt tijdens een zorgproces te identificeren. Deze gegevens omvatten echter medische dossiers, doktersbriefjes, correspondentie tussen patiënt en arts en betalings- en factuurgegevens van patiënten. Persoonlijke gezondheidsinformatie (PHI) is daarom alle informatie over een persoon die een patiënt in een digitaal formulier invoert. Als gevolg hiervan moet alle informatie in dat formulier vertrouwelijk worden behandeld en worden beschermd tegen ongeoorloofde toegang. Daarom bepalen meerdere regels en richtlijnen de essentiële maatregelen om een formulier te beveiligen:
- Zoals gespecificeerd in de beveiligingsregel van HIPAA, moet het formulier op de juiste manier worden beveiligd. Dit vereist de inzet van aanvaardbare, geschikte coderings- en beveiligingssoftware voor de bescherming van gegevens in transit en in rust. Als gevolg hiervan moet uw formulier gegevens zowel lokaal als via een netwerk van andere toepassingen beveiligen.
- Het apparaat dat wordt gebruikt om het formulier in te dienen, moet over passende technologische en fysieke beveiligingen beschikken, zoals autorisatiebescherming, versleuteling en toegangscontrole.
- Als het formulier wordt gegeven door een externe softwareleverancier, moet de CE een Business Associate Agreement (BAA) aangaan met de leverancier waarin hun en uw respectieve rollen en aansprakelijkheden worden uiteengezet.
Zelfs met deze waarborgen kan het formulier niet-conform zijn als de juiste procedures (zoals gegevensbeheer of het gebruik van apparaten voor het verzamelen van gegevens) niet worden gebruikt. Formulieren voor niet-naleving kunnen PHI schenden en uw zorgbedrijf blootstellen aan boetes tot $ 50,000 per incident, evenals het vooruitzicht van gevangenisstraf.
Aanbieders van HIPAA-nalevingsformulieren
Er zijn providers op HIPAA-complianceformulieren, die u ook de beste formulieren kunnen bieden die u nodig hebt voor HIPAA-compliance. Hieronder staan ze.
#1. Google Spreadsheets-formulieren
Google Formulieren zijn het beste vanwege hun eenvoud, snelheid en gebruiksgemak. Bovendien integreren ze met Google Cloud, waaronder Google Spreadsheets. Deze ongecompliceerde vormontwikkeling brengt nog steeds een prijs met zich mee, aangezien sommige functionaliteiten die door andere gespecialiseerde leveranciers worden geleverd, kunnen worden uitgesloten.
#2. Microsoft Formulieren
Microsoft Forms is een softwaretoepassing waarmee u formulieren kunt ontwerpen. Ze zijn extreem krachtig, zij het nogal uitdagend om te gebruiken. Het wordt gesponsord door Microsoft-cloudplatforms zoals Azure, die, net als de rest van de producten van Microsoft, HIPAA-compatibel zijn. Afhankelijk van uw vaardigheidsniveau kunnen de formulieren echter een beetje onhandig zijn.
#3. Formstack-formulieren
Formstack is ook een andere goede formulierservice die zich uitsluitend op die functie richt. Bovendien stelt Formstack CE's in staat om intelligente, contextgevoelige lijsten en elektronische handtekeningen voor patiëntformulieren te maken, wat een aanzienlijk voordeel is. Deze zijn ingewikkeld en nuttig, maar ze zijn niet opgesplitst in een groter platform, waardoor extra opslag- en integratieondersteuning nodig is.
#4. JotForm
Met JotForm, een andere bekende formulierservice, kunnen klanten HIPAA-complianceformulieren maken. Het heeft verschillende geweldige functies, zoals: betalingsverwerkingg en configureerbare vormen, maar er ontbreken enkele kritische, zoals contextgevoelige formulieren en vertakkingskeuzes.
Wat is HIPAA-conformiteit?
In 1996 hebben de Verenigde Staten de Health Insurance Portability and Accountability Act (HIPAA) aangenomen als een eerste stap op weg naar een gematigde hervorming van de gezondheidszorg. Het doel van HIPAA was ook om de gezondheidszorg te herstructureren door kosten te verlagen, administratieve processen en lasten te elimineren en de privacy en veiligheid van patiënten te waarborgen. Tegenwoordig wijst de naleving van HIPAA dus vooral op het laatste punt; waardoor de privacy en veiligheid van de gezondheidsinformatie van individuen wordt beschermd. Ze zijn gespecialiseerd in het ondersteunen van individuen en kleine tot middelgrote ondernemingen op de meest kosteneffectieve, tijdbesparende en ongecompliceerde manier die mogelijk is om HIPAA-compliant te worden.
Wie moet voldoen aan de HIPAA-vereisten?
Iedereen die in dienst is van of verbonden is met de zorgsector; of die toegang heeft tot beschermde gezondheidsinformatie komt hiervoor in aanmerking en onder hen zijn:
- Zorgverleners
- Ziektekostenverzekeringen voor werknemers
- Aanbieders van zorgverzekeringen
- Clearinghouses voor de gezondheidszorg
- Zakenpartners (iedereen die met een van de 4 hierboven werkt)
Zoom HIPAA-conformiteit
Het is essentieel om te begrijpen waar zoom in deze situatie naar verwijst. Zoom is een cloudgebaseerde technologie voor video- en webconferenties die videoconferenties, chats en samenwerking integreert in één enkel platform. Als gevolg hiervan vertrouwen veel bedrijven in de gezondheidszorg op Zoom om met collega's te communiceren en met patiënten in contact te komen, waarbij vaak vertrouwelijke gezondheidsinformatie (PHI) wordt gedeeld. Bovendien worden cloudgebaseerde platformaanbieders zoals Zoom geclassificeerd als zakenpartners, wat betekent dat ze moeten voldoen aan de HIPAA-nalevingsvoorschriften als ze hun platform gebruiken om PHI uit te wisselen.
Zoom is HIPAA-videoconferentiesoftware die voldoet aan de eisen en die verder gaat dan het beschermen van de vertrouwelijkheid van PHI. Daarom zijn er twee verschillende soorten gebruikersauthenticatiebehoeften. Bovendien biedt Zoom HIPAA-compliance toegangsbeheer, waarmee providers kunnen bepalen wie toegang heeft tot het platform.
In overeenstemming met HIPAA is Zoom een end-to-end-codering, die ervoor zorgt dat alle berichten tijdens de verzending worden versleuteld en alleen zichtbaar zijn voor de afzender of ontvanger. Tekstberichten en chatsessies zijn ook versleuteld. Om offline berichten toegankelijk te maken, moeten alle partijen dus een cryptografische sleuteluitwisseling uitvoeren, waarbij alle partijen over dezelfde sleutel moeten beschikken voor het versleutelen en ontsleutelen van de gegevens.
Zoom kan een haalbaar alternatief zijn als u op zoek bent naar een HIPAA-conforme videoconferentieservice, zodat u nu en in de toekomst effectiever met uw patiënten kunt communiceren.
HIPAA-conformiteitscertificering
HIPAA-certificering geeft dus aan dat u een cursus hebt afgerond die is ontworpen om u te trainen en op te leiden in de vaardigheden die nodig zijn om uw bedrijf of organisatie te helpen HIPAA-compliant te worden. Dit betekent ook niet dat u compliant bent; het betekent eerder dat u de terminologie en toepassing van de Health Insurance Portability and Accountability Act hebt geleerd.
HIPAA-certificeringstraining
Om HIPAA-gecertificeerd te worden, moet u zich echter inschrijven voor een HIPAA-certificeringscursus. Er worden verschillende van dergelijke cursussen aangeboden, zowel online als offline, maar geen enkele wordt sinds 2015 erkend door het ministerie van Volksgezondheid en Human Services. Online lessen zijn erg handig omdat ze op uw gemak kunnen worden gevolgd. Deze cursus helpt daarom bij de opleiding van specialisten die verantwoordelijk zijn voor verschillende aspecten van HIPAA-compliance binnen hun respectieve zorgeenheden of organisaties. HIPAA-certificeringstraining is niet alleen essentieel voor bedrijven die rechtstreeks met HIPAA te maken hebben, maar ook voor degenen die zaken met hen doen.
HIPAA-gecertificeerd worden
- De eerste stap om HIPAA-gecertificeerd te worden, is het vinden van een geschikte HIPAA-certificeringscursus voor de personen die deze zullen volgen. Hoewel het wenselijk is om alle werknemers voor dergelijke cursussen in te schrijven, als dit niet mogelijk is vanwege menselijke of financiële beperkingen, kiest u werknemers die kunnen worden opgeleid als trainers.
- Wanneer een professioneel leerbedrijf niet in staat is al uw personeel op te leiden, kan de 'Train the Trainer'-methode worden toegepast.
- U moet een HIPAA-beleid hebben, vergelijkbaar met uw gezondheids- en veiligheidsbeleid, evenals een goed geschreven procedure met geselecteerde gebieden die maandelijks of vaker worden geïnspecteerd als dat nodig is.
Dit alles zou moeilijk professioneel te implementeren zijn zonder HIPAA-gecertificeerde professionals die ook zijn getraind in het implementeren van Act.
HIPAA-nalevingsoverdracht
Elke organisatie die bestandsoverdrachten met beschermde gezondheidsinformatie afhandelt, moet zich echter strikt houden aan de HIPAA-beveiligingsregel (PHI). Kort gezegd, systemen voor bestandsoverdracht moeten de vertrouwelijkheid, integriteit en ook toegankelijkheid van individuele medische dossiers (PHI) beschermen.
Beveiligingsmaatregelen worden in de beveiligingsregel ingedeeld in drie categorieën: administratieve, fysieke en technologische beveiligingen. Bedrijven kunnen gegevens beveiligen en HIPAA-compatibele bestandsoverdrachten uitvoeren door deze best practices te volgen:
- Voorkom dat onbevoegden toegang krijgen tot beschermde gezondheidsinformatie.
- Houd een logboek bij van alle gebruikersactiviteiten op systemen die PHI bevatten.
- Zorg ervoor dat er beveiligingsprotocollen zijn om gegevens die onderweg zijn te beschermen tegen ongeoorloofde toegang.
- Verbreek de verbinding met de elektronische sessies nadat de bestandsoverdrachten zijn voltooid.
- Elke verzending van PHI moet worden gecodeerd.
- Toon aan dat de overgedragen gegevens niet zonder toestemming zijn gewijzigd, gehackt of vernietigd.
Het is verstandig om samen te werken met informatiebeveiligingsspecialisten die uitgebreide ervaring hebben met het ontwikkelen, installeren en ook controleren van HIPAA-compatibele informatietechnologie-oplossingen.
Wat betekent het om in overeenstemming te zijn met HIPAA?
Naleving van HIPAA is de gouden standaard voor het beschermen van gevoelige patiëntgegevens. Om te voldoen aan HIPAA, moeten bedrijven die omgaan met beschermde gezondheidsinformatie (PHI) fysieke, netwerk- en procedurele beveiligingsmaatregelen implementeren en onderhouden.
Wat zijn de drie regels van HIPAA?
De drie regels die van toepassing zijn op HIPAA zijn:
- Privacy regels
- Beveiligingsregels
- Regels voor het melden van overtredingen
Wat is het doel van HIPAA?
Een federale wet die bekend staat als de Health Insurance Portability and Accountability Act van 1996 (HIPAA) verplichtte de ontwikkeling van nationale normen om de openbaarmaking van gevoelige gezondheidsinformatie van patiënten zonder medeweten of toestemming van de patiënt te voorkomen.
Hoe leg je HIPAA uit aan een patiënt?
Patiënten een samenvatting geven van de inhoud van het privacybeleid is de beste manier om HIPAA aan patiënten uit te leggen. Hierin staat alle relevante informatie. Vertel de patiënt bijvoorbeeld dat hij het recht heeft om zijn medisch dossier op elk moment op te vragen.
Wat zijn de 2 belangrijkste componenten van HIPAA?
Titel I: Toegang tot gezondheidszorg, draagbaarheid en verlenging. Beschermt de dekking van de ziektekostenverzekering in geval van baanverlies of verandering. Inclusief dekking voor reeds bestaande aandoeningen.
Inclusief dekking voor reeds bestaande aandoeningen.
TITEL II: Administratieve vereenvoudiging
