As empresas que lidam com informações de saúde protegidas (PHI) devem, no entanto, implementar e aderir a medidas de segurança físicas, de rede e de procedimentos. Este artigo irá orientá-lo a entender o que significa conformidade com HIPAA, a lista de verificação e formulários para conformidade, como funciona seu zoom, também como obter seu certificado e modo de transferência.
HIPAA Compliance
O Health Insurance Portability and Accountability Act (HIPAA) é uma lei federal que foi promulgada para proteger os registros e informações médicas dos indivíduos. A conformidade com HIPAA é um modo de vida para as empresas de saúde, a fim de garantir a privacidade, confidencialidade e integridade das informações de saúde protegidas.
A conformidade com a HIPAA é o padrão-ouro para proteger dados confidenciais de pacientes. Portanto, para cumprir a HIPAA, as empresas que lidam com informações de saúde protegidas (PHI) devem implementar e manter medidas de segurança física, de rede e de procedimentos. A conformidade com a HIPAA também é exigida de entidades cobertas (aquelas que fornecem tratamento, pagamento ou operações de saúde) e parceiros de negócios (aqueles que têm acesso às informações do paciente e auxiliam no tratamento, pagamento ou operações). Subcontratados e quaisquer outros parceiros de negócios, por exemplo, devem aderir aos mesmos padrões.
Lista de Verificação de Conformidade HIPAA
Veja a seguir a lista de verificação de conformidade da HIPAA para ajudar sua empresa a cumprir as regulamentações da HIPAA.
#1. Auditorias e Avaliações
Para manter a segurança dos dados, auditorias internas, avaliações de segurança e também auditorias de privacidade na lista de verificação de conformidade HIPAA, deve ser realizado regularmente:
- Determine quais auditorias e avaliações anuais obrigatórias da Norma HIPAA SP 800-66, Revisão 1 se aplicam à sua organização usando o NIST.
- Conduza as auditorias e avaliações necessárias, analise as descobertas e documente quaisquer falhas ou deficiências.
- Crie e documente planos de reparo completos para corrigir esses defeitos e fraquezas.
- Execute os planos, analise os resultados e ajuste o plano conforme necessário se os resultados desejados não forem alcançados.
#2. Avaliação de risco
Para realizar avaliações regulares de risco na lista de verificação de conformidade da HIPAA, de acordo com as diretrizes do NIST, considere o seguinte:
- Avalie o risco associado a cada entidade de forma independente.
- Realizar avaliações de risco para sistemas eletrônicos de armazenamento de informações de saúde (ePHI).
- Criar e implementar uma política de gestão de riscos.
- Avalie a probabilidade e o impacto de possíveis preocupações de ePHI.
- Implemente medidas de segurança adequadas para documentos sensíveis e perigos identificados.
- Estabelecer as melhores práticas e requisitos de manutenção para segurança.
#3. Políticas e procedimentos
Verifique se suas políticas e procedimentos estão em conformidade com a Regra de Privacidade HIPAA, Regra de Segurança HIPAA e Regra de Notificação de Violação da HIPAA. As avaliações anuais devem ser documentadas. Verifique se o seguinte foi projetado e implementado:
- As políticas e procedimentos de privacidade abordam questões como políticas e práticas de uso de dados, divulgações de rotina e não rotineiras, limitação de solicitações de dados confidenciais e problemas relacionados.
- Políticas para parceiros de negócios. Na lista de verificação de conformidade, certifique-se de que os contratos e acordos existentes estejam em conformidade com as regras da HIPAA, alterando-os. Obtenha garantias contratuais adequadas e mantenha registros de penalidades por não conformidade.
- Procedimentos e datas para responder a solicitações de acesso e reclamações de privacidade. Obtenha permissão por escrito dos pacientes antes de usar ou divulgar PHI para tratamento, pagamento ou operações de saúde.
#4. Proteção de dados
Além disso, ao confirmar sua lista de verificação de conformidade com HIPAA, você precisa utilizar proteções de dados para garantir a integridade, disponibilidade e confidencialidade de seus dados.
1. Medidas Técnicas de Segurança
- Controles de integridade e auditoria: Os controles de integridade ajudam a garantir que os dados sejam precisos e de alta qualidade. Configure técnicas de auditoria para monitorar o acesso e a modificação de arquivos e notificá-lo sobre qualquer comportamento anormal.
- Criptografe informações de saúde protegidas eletronicamente (ePHI) antes da transmissão pela Internet para cumprir NIST regulamentos de criptografia.
- Controles de acesso, autorização e autenticação: Certifique-se de que apenas indivíduos autorizados tenham acesso a registros eletrônicos confidenciais. As senhas e outros códigos de segurança devem ser mantidos em sigilo.
2. Barreiras Físicas
- Antes de destruir papéis cruciais, triture-os.
- Estações de trabalho seguras: restrinja o acesso ao ePHI a estações de trabalho específicas. Estabeleça políticas que governem o uso dessas estações de trabalho.
- Estabeleça protocolos para excluir ePHI de um dispositivo se ele for perdido ou roubado, ou se o proprietário do dispositivo deixar a empresa se o dispositivo puder ser acessado por meio de dispositivos móveis.
3. Salvaguardas Administrativas
Conscientização e treinamento de segurança para funcionários: os funcionários devem ser instruídos sobre governança de acesso ePHI e práticas recomendadas de segurança cibernética, como detectar e relatar malware.
Crie um plano para garantir a integridade e a segurança do ePHI em caso de emergência.
#5. Comunicação e treinamento de funcionários
Na lista de verificação, todo o pessoal deve obter treinamento adequado de segurança cibernética e os membros da equipe devem ser instruídos sobre a importância da conformidade com HIPAA:
- Todo o pessoal deve estar familiarizado com as políticas e procedimentos de privacidade da organização.
- Verifique se todos os membros da equipe revisaram e concordaram com as políticas e procedimentos da HIPAA que você estabeleceu.
- Verifique se todos os funcionários receberam treinamento básico em conformidade com HIPAA.
- A documentação de todos os treinamentos de conformidade da HIPAA e a certificação da equipe das regras e procedimentos da HIPAA devem ser mantidas.
- Desenvolver repercussões e regras e processos disciplinares em caso de violação de privacidade.
#6. O escritório do Diretor de Privacidade foi estabelecido.
Cobrar uma pessoa ou escritório específico com responsabilidade por questões de privacidade:
- Nomeie alguém para desenvolver e implementar sua política de privacidade (por exemplo, um responsável pela conformidade HIPAA, privacidade ou segurança).
- Certifique-se de que o treinamento anual HIPAA seja fornecido a todos os funcionários pelo oficial de conformidade HIPAA designado.
#7. Parceiros de negócios
Com frequência, verifique se todos os parceiros de negócios estão em conformidade com as leis da HIPAA:
- Identifique quaisquer associados de negócios que possam receber, enviar, armazenar, processar ou ter acesso a registros ePHI confidenciais.
- Certifique-se de que cada parceiro de negócios celebrou um Contrato de Associado Comercial.
- Anualmente, revise a conformidade com BAAs e HIPAA.
- Crie documentos escritos que demonstrem e documentem sua devida diligência em potenciais parceiros de negócios.
#8. Lista de verificação para notificar uma violação
Estabelecer métodos e procedimentos para responder a incidentes e violações de segurança:
- Manter um registro e coordenar as investigações de ocorrências que envolvam o comprometimento da segurança das PHI.
- Estabelecer padrões e diretrizes de mitigação, bem como políticas e procedimentos disciplinares em caso de violação.
- Crie um método para relatar violações de segurança e outros incidentes relacionados à segurança.
- Estabeleça políticas para notificar pacientes, OCR e a mídia sobre violações de segurança (conforme relevante).
Formulários de Conformidade HIPAA
Se você coletar informações do paciente on-line sem usar formulários de conformidade com HIPAA, poderá sofrer um ataque cibernético ou penalidades e multas relacionadas à HIPAA. Como resultado, os formulários de conformidade com HIPAA são documentos digitais preenchidos pelo usuário que contêm campos, texto e outras entradas de pacientes para realizar uma atividade orientada por dados.
De acordo com os regulamentos da HIPAA, PHI é definido como qualquer dado que possa ser útil para identificar um determinado paciente durante um processo de saúde. Esses dados, no entanto, incluem registros médicos, anotações médicas, correspondência médico-paciente e informações de pagamento e cobrança do paciente. As informações pessoais de saúde (PHI) são, portanto, qualquer informação sobre um indivíduo que um paciente insere em um formulário digital. Como resultado, todas as informações contidas nesse formulário devem ser mantidas em sigilo e protegidas contra acesso não autorizado. Assim, vários regulamentos e diretrizes regem as medidas essenciais para garantir um formulário:
- Conforme especificado na Regra de Segurança da HIPAA, o formulário deve ser protegido adequadamente. Isso requer a implantação de um software de criptografia e segurança aceitável e apropriado para a proteção de dados em trânsito e em repouso. Quando isso ocorre, seu formulário deve proteger os dados localmente e à medida que passam por uma rede de outros aplicativos.
- O dispositivo usado para enviar o formulário deve ter proteções tecnológicas e físicas apropriadas, como proteção de autorização, criptografia e controles de acesso.
- Se o formulário for fornecido por um fornecedor de software de terceiros, o CE deve firmar um Contrato de Associado Comercial (BAA) com o fornecedor descrevendo suas respectivas funções e responsabilidades.
Mesmo com essas proteções, o formulário pode não estar em conformidade se os procedimentos adequados (como gerenciamento de dados ou uso de dispositivos de coleta de dados) não estiverem em uso. Um formulário de não conformidade pode violar PHI e expor sua empresa de saúde a multas de até US$ 50,000 por incidente, bem como a possibilidade de prisão.
Provedores de formulários de conformidade com HIPAA
Existem provedores de formulários de conformidade com HIPAA, que também podem fornecer os melhores formulários necessários para conformidade com HIPAA. Abaixo estão eles.
#1. Formulários do Planilhas Google
Os Formulários Google são os melhores por sua simplicidade, rapidez e facilidade de uso. Além disso, eles se integram ao Google Cloud, que inclui o Planilhas Google. Este desenvolvimento simples de formulários ainda tem um custo, pois pode excluir algumas funcionalidades fornecidas por outros fornecedores especializados.
#2. Formulários Microsoft
O Microsoft Forms é um aplicativo de software que permite criar formulários. Eles são extremamente poderosos, embora bastante desafiadores de usar. É patrocinado por plataformas de nuvem da Microsoft como o Azure, que, como o restante dos produtos da Microsoft, são compatíveis com HIPAA. No entanto, dependendo do seu nível de proficiência, os formulários podem ser um pouco estranhos.
#3. Formulários de pilha de formulários
Formstack também é outro bom serviço de formulário que se concentra exclusivamente nessa função. Além disso, o Formstack permite que os CEs criem listas inteligentes e sensíveis ao contexto e assinaturas eletrônicas para formulários de pacientes, o que é um benefício significativo. Eles são complexos e úteis, mas não são divididos em uma plataforma maior, exigindo armazenamento adicional e suporte de integração.
#4. JotFormName
JotForm, outro serviço de formulário bem conhecido, permite que os clientes criem formulários de conformidade com HIPAA. Ele tem vários recursos incríveis, como processamento de pagamentog e formulários configuráveis, mas faltam alguns críticos, como construção de formulário sensível ao contexto e opções de ramificação.
O que é conformidade com a HIPAA?
Em 1996, os Estados Unidos promulgaram o Health Insurance Portability and Accountability Act (HIPAA) como um primeiro passo para uma reforma moderada da saúde. O objetivo da HIPAA também era reestruturar o setor de saúde reduzindo custos, eliminando processos e encargos administrativos e protegendo a privacidade e a segurança do paciente. Hoje, a conformidade com a HIPAA está, portanto, principalmente apontando para o ponto final; protegendo assim a privacidade e a segurança das informações de saúde dos indivíduos. Eles são especializados em dar suporte a indivíduos e pequenas e médias empresas da maneira mais econômica, eficiente e direta possível para se tornarem compatíveis com HIPAA.
Quem é obrigado a cumprir os requisitos da HIPAA?
Qualquer pessoa que esteja empregada ou associada ao setor de saúde; ou quem tem acesso a informações de saúde protegidas é elegível para isso e entre eles estão os seguintes:
- Prestadores de cuidados de saúde
- Planos de seguro de saúde para funcionários
- Provedores de seguro saúde
- Câmaras de compensação de saúde
- Associados de Negócios (qualquer pessoa que trabalhe com qualquer um dos 4 acima)
Conformidade Zoom HIPAA
É essencial entender o que o zoom se refere nessa situação. O Zoom é uma tecnologia de videoconferência e webconferência baseada em nuvem que integra videoconferência, bate-papo e colaboração em uma única plataforma. Como resultado da conformidade com a HIPAA, muitas empresas de saúde confiam no Zoom para se comunicar com colegas e se envolver com pacientes, compartilhando frequentemente informações confidenciais de saúde (PHI). Além disso, os provedores de plataforma baseados em nuvem, como o Zoom, são classificados como parceiros de negócios, o que significa que eles devem cumprir os regulamentos de conformidade com a HIPAA se usarem sua plataforma para trocar PHI.
O Zoom é um software de videoconferência de conformidade HIPAA que vai além para proteger a confidencialidade das PHI. Portanto, existem dois tipos distintos de necessidades de autenticação do usuário. Além disso, a conformidade do Zoom HIPAA, possui gerenciamento de acesso, que permite que os provedores controlem quem tem acesso à plataforma.
Em conformidade com HIPAA, o Zoom é uma criptografia de ponta a ponta, que garante que todas as mensagens sejam embaralhadas durante a transmissão e sejam visíveis apenas para o remetente ou o destinatário. Mensagens de texto e sessões de bate-papo também são criptografadas. Assim, para tornar as mensagens offline acessíveis, todas as partes devem se envolver em uma troca de chave criptográfica, que exige que todas as partes possuam a mesma chave para criptografar e descriptografar os dados.
O zoom pode ser uma alternativa viável se você estiver procurando por um serviço de videoconferência compatível com HIPAA, permitindo que você se comunique com seus pacientes de forma mais eficaz hoje e no futuro.
Certificação de conformidade HIPAA
A certificação HIPAA indica, portanto, que você concluiu um curso projetado para treiná-lo e educá-lo nas habilidades necessárias para ajudar sua empresa ou organização a se tornar compatível com HIPAA. Isso também não indica que você está em conformidade; em vez disso, significa que você aprendeu a terminologia e a aplicação da Lei de Portabilidade e Responsabilidade do Seguro de Saúde.
Treinamento de Certificação HIPAA
Para se tornar certificado HIPAA, você deve, no entanto, se inscrever em um curso de certificação HIPAA. Existem vários cursos desse tipo oferecidos, tanto on-line quanto off-line, mas nenhum é reconhecido pelo Departamento de Saúde e Serviços Humanos a partir de 2015. As aulas on-line são extremamente úteis porque podem ser concluídas quando você quiser. Este curso, portanto, auxilia na formação de especialistas que serão responsáveis por vários aspectos da conformidade HIPAA dentro de suas respectivas unidades ou organizações de saúde. O treinamento de certificação HIPAA é essencial não apenas para empresas que lidam diretamente com HIPAA, mas também para aqueles que fazem negócios com eles.
Como se tornar certificado HIPAA
- O primeiro passo para se tornar certificado HIPAA é localizar um curso de certificação HIPAA apropriado para os indivíduos que o farão. Embora seja desejável matricular todos os funcionários em tais cursos, se isso não for possível devido a restrições humanas ou financeiras, escolha funcionários que possam ser treinados como instrutores.
- Quando uma empresa de treinamento profissional não puder treinar todos os seus funcionários, o método 'Treinar o Treinador' pode ser usado.
- Você deve ter uma Política HIPAA em vigor, comparável à sua Política de Saúde e Segurança, bem como um procedimento bem escrito com áreas selecionadas inspecionadas mensalmente ou com mais frequência, conforme necessário.
Tudo isso seria difícil de implementar profissionalmente sem profissionais certificados pela HIPAA que também são treinados na implementação de leis.
Transferência de conformidade com HIPAA
Qualquer organização que lide com transferências de arquivos contendo informações de saúde protegidas deve, no entanto, obedecer rigorosamente à Regra de Segurança HIPAA (PHI). De forma resumida, os sistemas de transferência de arquivos devem proteger a confidencialidade, a integridade e também a acessibilidade dos registros individuais de saúde (PHI).
As precauções de segurança são classificadas em três categorias na Regra de Segurança: salvaguardas administrativas, físicas e tecnológicas. As empresas podem proteger dados e realizar transferências de arquivos em conformidade com HIPAA seguindo estas práticas recomendadas:
- Impedir que indivíduos não autorizados tenham acesso a informações de saúde protegidas.
- Mantenha um registro de todas as atividades do usuário em sistemas que contenham PHI.
- Certifique-se de que os protocolos de segurança estejam em vigor para proteger os dados em trânsito contra acesso não autorizado.
- Desconecte as sessões eletrônicas após a conclusão das transferências de arquivos.
- Qualquer transmissão de PHI deve ser criptografada.
- Demonstre que os dados transferidos não foram alterados, hackeados ou destruídos sem autorização.
É prudente colaborar com especialistas em segurança da informação que tenham ampla experiência no desenvolvimento, instalação e auditoria de soluções de tecnologia da informação compatíveis com HIPAA.
O que significa estar em conformidade com a HIPAA?
A conformidade com a HIPAA é o padrão-ouro para proteger dados confidenciais de pacientes. Para cumprir a HIPAA, as empresas que lidam com informações de saúde protegidas (PHI) devem implementar e manter medidas de segurança física, de rede e de procedimentos.
Quais são as três regras da HIPAA?
As três regras que regem a HIPAA são
- Regras de Privacidade
- Regras de segurança
- Regras de notificação de violação
Qual é o objetivo do HIPAA?
Uma lei federal conhecida como Health Insurance Portability and Accountability Act de 1996 (HIPAA) determinou o desenvolvimento de padrões nacionais para impedir a divulgação de informações confidenciais de saúde do paciente sem o conhecimento ou consentimento do paciente.
Como você explica HIPAA para um paciente?
Fornecer aos pacientes um resumo do conteúdo da Política de Privacidade é a melhor abordagem para explicar a HIPAA aos pacientes. Isso incluirá todas as informações pertinentes. Por exemplo, diga ao paciente que ele tem o direito de solicitar seus registros médicos a qualquer momento.
Quais são os 2 principais componentes do HIPAA?
Título I: Acesso à Saúde, Portabilidade e Renovação. Protege a cobertura do seguro saúde em caso de perda ou mudança de emprego. Inclui cobertura para condições pré-existentes.
Inclui cobertura para condições pré-existentes.
TÍTULO II: Simplificação Administrativa
