Lista de verificación de cumplimiento de HIPAA: cómo cumplir con HIPAA

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA), según enmendada por la Ley de Tecnología de Información de Salud para la Economía y la Salud Clínica (HITECH), está diseñada para mantener la información médica y los registros de salud de los individuos protegidos. Al lograr y mantener la HIPAA compliance, las organizaciones de atención médica pueden proteger la información de salud sensible de los pacientes mientras mitigan los riesgos de violaciones de datos y sanciones legales.

Este artículo detalla los requisitos clave de HIPAA y HITECH y proporciona recursos importantes para que pueda asegurarse de que su negocio cumpla con HIPAA y evitar aparecer en los titulares de filtración de datos.

¿Qué es el cumplimiento de HIPAA?

El cumplimiento de HIPAA se refiere a cumplir con las regulaciones establecidas en la Ley de Portabilidad y Responsabilidad de Seguros de Salud para garantizar la privacidad, seguridad e integridad de la información de salud protegida (PHI) de los individuos.

Las organizaciones que deben cumplir con HIPAA incluyen proveedores de atención médica, planes de salud y centros de compensación de atención médica, así como sus asociados comerciales. Las entidades cubiertas por HIPAA deben garantizar la privacidad y la seguridad de los datos de la información de salud protegida. Ejemplos de PHI incluyen:

• Nombres de individuos
• Fotos de rostro completo e imágenes comparables
• Identificadores biométricos
• Direcciones de correo electrónico
• Números de teléfono
• Números de fax
• Datos geográficos
• Números de Seguridad Social
• Números de historias clínicas
• Números de cuenta
• Números de beneficiario del plan de salud
• Números de certificados y licencias
• Identificadores de vehículos y números de serie
• Identificadores de dispositivos y números de serie
• Fechas, excepto el año
• Direcciones IP
• URLs web
• Cualquier número o código identificador único

¿Qué es HITECH?

La Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) mejora las regulaciones de HIPAA al incentivar a los proveedores a digitalizar los registros médicos y de salud. La ley penaliza los fallos en el uso de registros de salud electrónicos de manera significativa y tiene como objetivo fomentar el uso a nivel nacional de datos de salud electrónicos confiables, interoperables y seguros.

¿Qué son las reglas y controles de HIPAA?

Las reglas de HIPAA incluyen:

• Regla de Privacidad HIPAA
• Regla de Seguridad HIPAA
• Regla de Notificación de Brecha HIPAA
• Regla de Aplicación de HIPAA
• Regla Omnibus HIPAA

Los controles de HIPAA son políticas, procedimientos y otras medidas que las entidades cubiertas por HIPAA necesitan implementar para proteger la PHI y cumplir con las normas de HIPAA, como se detalla a continuación.

Regla de Privacidad HIPAA

La HIPAA Privacy Rule describe un conjunto de normas que regulan cómo se puede utilizar y divulgar la PHI. Esta regla tiene como objetivo imponer pautas estrictas que rijan el manejo de datos de salud sensibles, fomentando la confidencialidad y privacidad del paciente dentro de los sistemas de atención médica.

Aquí están los controles de HIPAA para los requisitos de la Regla de Privacidad:

1. Políticas y procedimientos de privacidad: Las entidades cubiertas deben desarrollar y promulgar un conjunto de políticas y procedimientos para garantizar la privacidad de la PHI.

2. Personal: Las entidades cubiertas por HIPAA deben:

• Designe un oficial de privacidad responsable del desarrollo y la administración de las prácticas y recursos de privacidad de la entidad.
• Establezca un punto de contacto responsable de recibir quejas e informar a las personas sobre las prácticas de privacidad de la entidad.

3. Capacitación y gestión de la fuerza laboral: Las entidades cubiertas deben capacitar a todos los miembros de la fuerza laboral en prácticas de privacidad para que puedan administrar sus funciones en cumplimiento con la Regla de Privacidad.

4. Mitigación: Las entidades cubiertas deben mitigar cualquier efecto perjudicial causado por el uso o divulgación de PHI que viole las políticas de privacidad o la Norma de Privacidad HIPAA.

5. Salvaguardias de datos: Las entidades cubiertas deben establecer y mantener salvaguardias administrativas, técnicas y físicas para prevenir tanto violaciones malintencionadas como no intencionales de la PHI.

6. Quejas: Las entidades cubiertas deben establecer canales a través de los cuales las personas puedan presentar quejas sobre el cumplimiento de la privacidad.

7. Represalias y renuncia: Una entidad cubierta por HIPAA no puede tomar represalias contra un individuo por:

• Ejerciendo sus derechos según lo estipulado por la Regla de Privacidad de HIPAA
• Ayudando en una investigación realizada por HHS u otras autoridades relevantes
• Negándose a participar en cualquier acto que se crea que viola la Regla de Privacidad de HIPAA

8. Documentación y retención de registros: Una entidad cubierta debe mantener toda la documentación creada con el propósito de cumplir con las regulaciones de la Regla de Privacidad (políticas y procedimientos de privacidad, registros de quejas, avisos de prácticas de privacidad, etc.) por lo menos seis años después de la creación o última fecha efectiva.

9. Excepción: Los planes de salud grupales completamente asegurados están obligados a cumplir solo con los requisitos (7) y (8).

Regla de Seguridad HIPAA

La HIPAA Security Rule establece pautas que protegen la integridad de los registros de salud electrónicos (EHR) y garantizan que permanezcan confidenciales y disponibles.

El Instituto Nacional de Estándares y Tecnología (NIST) tiene un conjunto de pautas establecidas para ayudar a las organizaciones a desarrollar prácticas de seguridad que cumplan con la Regla de Seguridad HIPAA. También pueden utilizar el CIA Triad, donde "CIA" representa estos tres componentes:

• Confidencialidad: Asegúrese de que la ePHI no esté disponible ni sea divulgada a personas o procesos no autorizados.
• Integridad: Asegúrese de que el ePHI no se altere o destruya de manera no autorizada.
• Availability: Ensure ePHI is accessible and usable on demand by authorized persons.

Los requisitos de la Regla de Seguridad HIPAA incluyen los siguientes tipos de controles para datos sensibles:

• Salvaguardias técnicas: Controles de acceso, controles de auditoría, controles de integridad, autenticación de persona/entidad, seguridad de transmisión
• Salvaguardias físicas: controles de acceso a las instalaciones, uso de estaciones de trabajo, seguridad de estaciones de trabajo, controles de dispositivos y medios
• Salvaguardias administrativas: Proceso de gestión de seguridad, responsabilidad asignada de seguridad, seguridad de la fuerza laboral, gestión de acceso a la información, conciencia y capacitación en seguridad, procedimientos ante incidentes de seguridad, planes de contingencia, evaluación, planes de asociados comerciales y otros procedimientos

Las organizaciones a menudo distinguen entre salvaguardias "obligatorias" y "tratables":

• Se deben seguir las salvaguardias requeridas al pie de la letra; no hay margen para interpretación.
• Addressable requirements afford organizations some flexibility to account for unique infrastructural or technical limitations.

Regla de Notificación de Brecha HIPAA

The HIPAA Breach Notification Rule requires covered entities to notify certain parties when they suffer a breach of PHI. Specifically, the HIPAA Breach Notification Rule requires:

• Aviso individual: Las entidades cubiertas deben notificar a los individuos afectados al descubrir una violación de PHI.
• Aviso a los medios: Si se descubre que una brecha ha afectado a más de 500 residentes de un estado o jurisdicción, las entidades cubiertas responsables deben notificar a los principales medios de comunicación que sirven al estado o jurisdicción.
• Aviso al Secretario: Las entidades cubiertas deben notificar al Secretario al descubrir una violación de PHI.

Es posible que las entidades demuestren su debida diligencia y muestren una baja probabilidad de compromiso de PHI basándose en procedimientos adecuados de evaluación de riesgos.

Regla de Aplicación de HIPAA

La Regla de Aplicación de HIPAA establece estándares sobre cómo investigar violaciones de datos y describe una estructura de penalizaciones para las partes responsables.

Regla Omnibus HIPAA

La Regla Omnibus HIPAA:

• Establece una estructura de penalizaciones escalonada como lo requiere HITECH
• Introduce cambios en el umbral de daño e incluye la regla final sobre la Notificación de Brecha para ePHI no asegurada bajo la Ley HITECH
• Modifica la HIPAA para incluir disposiciones de la Genetic Information Nondiscrimination Act (GINA), que prohíbe la divulgación de información genética con fines de suscripción
• Previene el uso de PHI e identificadores personales con fines de marketing

Los requisitos de la Regla Omnibus de HIPAA incluyen lo siguiente:

• Nuevos Acuerdos de Asociado de Negocios (BAAs): Antes de emplear los servicios de un asociado de negocios, las entidades deben firmar un nuevo BAA conforme a HIPAA
• Actualizaciones del Acuerdo de Asociado Comercial: Los Acuerdos de Asociado Comercial existentes deben actualizarse para cumplir con la Regla Omnibus.
• Actualizaciones de la política de privacidad: Las políticas de privacidad deben actualizarse para cumplir con los cambios de la Regla Omnibus.
• Aviso actualizado de Prácticas de Privacidad (NPP): Los NPP deben actualizarse para cubrir la información requerida por la Regla Omnibus.
• Capacitación actualizada del personal sobre HIPAA: Se debe proporcionar y documentar la capacitación del personal sobre las enmiendas de la Regla Omnibus y los cambios de definición.

Lista de verificación de HIPAA

Utilice la siguiente lista de verificación para ayudar a su organización a garantizar el cumplimiento de HIPAA.

1) Auditorías y evaluaciones

Realice periódicamente una auditoría interna de HIPAA, evaluación de seguridad y auditoría de privacidad para apoyar la seguridad de datos:

• Determine cuáles de las auditorías y evaluaciones anuales requeridas por HIPAA son aplicables a su organización, de acuerdo con la Regla HIPAA SP 800-66, Revisión 1, utilizando las pautas de NIST.
• Realice las auditorías y evaluaciones requeridas, analice y comprenda los resultados y documente cualquier problema o deficiencia.
• Cree y documente planes de remediación exhaustivos para abordar esos problemas y deficiencias.
• Ponga en marcha los planes, revise los resultados y actualice el plan si no se lograron los resultados deseados.

2) Cumplimiento de la Regla de Privacidad

Implemente los controles de la Regla de Privacidad de HIPAA que rigen el uso y la divulgación de la PHI:

• Desarrolle y aplique políticas y procedimientos de privacidad para el uso y la divulgación de la PHI.
• Designe a un responsable de privacidad y un punto de contacto para quejas de privacidad, y capacite al personal en las prácticas de privacidad.
• Establezca salvaguardas administrativas, técnicas y físicas para prevenir divulgaciones maliciosas o no intencionales de PHI.
• Establezca un canal para que las personas presenten quejas de privacidad, y un proceso para mitigar los efectos dañinos de cualquier divulgación que infrinja la Regla de Privacidad.
• Evite tomar represalias contra personas por ejercer sus derechos conforme a la Regla de Privacidad, colaborar con una investigación del HHS o negarse a participar en una infracción de la Regla de Privacidad.
• Conserve las políticas de privacidad, los procedimientos y los registros de quejas durante al menos seis años, según exige la Regla de Privacidad.

3) Cumplimiento de la Regla de Seguridad

Implemente las salvaguardas técnicas, físicas y administrativas que exige la Regla de Seguridad:

• Salvaguardas técnicas: control de acceso, controles de auditoría, controles de integridad, autenticación de personas/entidades y seguridad de la transmisión.
• Salvaguardas físicas: control de acceso a las instalaciones, uso y seguridad de estaciones de trabajo, y control de dispositivos y medios.
• Salvaguardas administrativas: proceso de gestión de seguridad, responsabilidad de seguridad asignada, seguridad del personal, gestión de acceso a la información, concienciación y capacitación en seguridad, procedimientos de incidentes, planes de contingencia y evaluación periódica.
• Documente qué salvaguardas son obligatorias y cuáles son abordables para su organización, y su justificación para cada una.

4) Preparación para la notificación de infracciones

Prepare a su organización para cumplir con los plazos y obligaciones de la Regla de Notificación de Infracciones:

• Establezca un proceso para notificar a las personas afectadas poco después de descubrir una infracción de PHI.
• Prepare un plan de notificación a los medios para infracciones que afecten a más de 500 residentes de un estado o jurisdicción.
• Establezca un proceso para notificar al Secretario del HHS de cualquier infracción que involucre PHI.
• Conserve la documentación de evaluación de riesgos para demostrar la debida diligencia y, cuando corresponda, una baja probabilidad de compromiso de la PHI.

5) Gestión de asociados comerciales y políticas

Mantenga actualizados los acuerdos con asociados comerciales y la documentación de privacidad conforme a la Regla Omnibus:

• Firme nuevos Acuerdos de Asociado Comercial (BAA) conformes con HIPAA antes de contratar a cualquier asociado comercial.
• Revise y actualice los BAA existentes para reflejar los requisitos actuales de la Regla Omnibus.
• Actualice las políticas de privacidad y su Aviso de Prácticas de Privacidad (NPP) para reflejar los cambios de la Regla Omnibus.
• Documente la capacitación del personal sobre las modificaciones y cambios de definiciones de la Regla Omnibus.

6) Monitoreo y documentación continuos

El cumplimiento no es un proyecto de una sola vez. Manténgalo actualizado:

• Supervise continuamente el acceso a la PHI y revise los registros de auditoría en busca de actividad sospechosa o no autorizada.
• Mantenga actualizados los planes de remediación, los resultados de auditoría y la documentación de cumplimiento, listos para mostrarlos a un auditor.
• Revise esta lista de verificación al menos una vez al año, y siempre que cambien las normativas, las guías o su entorno de TI.

Para obtener una visión más detallada de cómo el portafolio de seguridad de identidad y datos de Netwrix se corresponde directamente con estos requisitos de HIPAA, consulte nuestra página de soluciones de cumplimiento de HIPAA.