Plantilla de Evaluación de Riesgos HIPAA

¿Qué es una evaluación de riesgo HIPAA?

Una evaluación de riesgo HIPAA ayuda a las organizaciones a determinar y evaluar las amenazas a la seguridad de la información de salud protegida electrónica (ePHI), incluyendo el potencial de divulgación no autorizada como lo requiere la Regla de Privacidad.

Si su organización crea, recibe, mantiene o transmite ePHI, incluso utilizando un sistema certificado de registro de salud electrónico (EHR), debe evaluar sus riesgos de seguridad para asegurarse de que ha tomado las mejores medidas posibles para proteger su ePHI. Una vez que identifique esos riesgos, debe implementar salvaguardias administrativas, físicas y técnicas para mantener el cumplimiento con la Norma de Seguridad HIPAA.

A medida que las entidades de atención médica trabajan para lograr el cumplimiento de HIPAA, las herramientas de análisis de riesgos y gestión de riesgos pueden ser invaluables; a menudo te permiten proteger la confidencialidad, integridad y disponibilidad de tu ePHI de manera más efectiva y eficiente de lo que podrías con procesos manuales.

Adaptando una evaluación de riesgos a su organización

Los requisitos de evaluación de riesgos de HIPAA le permiten adaptar la evaluación al entorno y circunstancias de su organización, incluyendo:

• El tamaño, la complejidad y las capacidades de su organización
• La infraestructura técnica, el hardware y las capacidades de seguridad de su organización
• La probabilidad y la criticidad de los riesgos potenciales para ePHI
• El costo de las medidas de seguridad

Especificaciones de implementación: requeridas versus direccionables

Una evaluación de riesgo HIPAA contendrá muchas especificaciones de implementación, que son instrucciones detalladas para cumplir con un cierto estándar. Algunas son obligatorias, mientras que otras son abordables:

• Las especificaciones requeridas documentan las políticas o procedimientos que cada entidad cubierta y sus asociados comerciales deben implementar. Un ejemplo de esto es el análisis de riesgos.
• Las especificaciones abordables no son opcionales, pero las organizaciones tienen la flexibilidad de elegir los procesos o controles adecuados para cumplirlas. Por ejemplo, la gestión de contraseñas es una especificación abordable, ya que existen múltiples formas de garantizar que solo personas de confianza accedan a tus sistemas. Una de ellas es usar autenticación multifactor.
  

No puedes negarte a adoptar una especificación de implementación basándote únicamente en el costo.

Terminología clave

Aquí están las definiciones de términos comunes a HIPAA, adaptados de NIST 800-30:

• ePHI (información protegida de salud electrónica) — Datos sobre la salud, tratamiento o facturación de un paciente que podrían identificar a dicho paciente. ePHI es PHI en forma electrónica; tiene los mismos requisitos de confidencialidad que todo el PHI, pero la facilidad de copiar y transmitir ePHI requiere salvaguardias especiales para prevenir violaciones.
• Vulnerabilidad — Un defecto o debilidad en los procedimientos de un sistema de seguridad, diseño, implementación de controles internos que podría ser activado accidentalmente o explotado intencionalmente, resultando en una violación de la seguridad o incumplimiento de la política de seguridad.
• Amenaza — La posibilidad de que una fuente de amenaza active accidentalmente o explote intencionadamente una vulnerabilidad específica.
• Riesgo — Se refiere al riesgo relacionado con TI. El riesgo describe el impacto neto en el negocio basado en la probabilidad de que una amenaza específica active una vulnerabilidad particular. Incluye factores como la responsabilidad legal y la pérdida de misión.
• Análisis de riesgos (o evaluación de riesgos) — El proceso de identificar todos los riesgos para la seguridad del sistema, la probabilidad de que causen daños y las medidas de protección que pueden mitigar ese daño. Es una parte de la gestión de riesgos.
• Gestión de riesgos — El proceso de implementar medidas y prácticas de seguridad para reducir adecuadamente los riesgos y vulnerabilidades a un grado razonable para el cumplimiento.

Pasos en el análisis de riesgos

NIST 800-30 detalla los siguientes pasos para una evaluación de riesgo compatible con HIPAA:

Paso 1. Determine el alcance del análisis.

Un análisis de riesgos considera toda la ePHI, independientemente del medio electrónico utilizado para crear, recibir, mantener o transmitir los datos, o de la ubicación de los mismos. Cubre todos los riesgos y vulnerabilidades razonables a la confidencialidad, integridad y disponibilidad de su ePHI.

Paso 2. Reúna información completa y precisa sobre el uso y divulgación de ePHI.

Este proceso incluye:

• Revisando proyectos pasados y existentes
• Realizando entrevistas
• Revisando la documentación
• Utilizando otras técnicas de recolección de datos según sea necesario
• Documentando todos los datos recopilados

Es posible que ya haya completado este paso para cumplir con la Regla de Privacidad de HIPAA, aunque no fuera directamente obligatorio.

Paso 3. Identificar amenazas y vulnerabilidades potenciales.

Mire los datos recopilados y considere qué tipos de amenazas y vulnerabilidades existen para cada pieza de información.

Paso 4. Evalúe sus medidas de seguridad actuales.

Documente las medidas que ya ha implementado para mitigar los riesgos a su ePHI. Estas medidas pueden ser técnicas o no técnicas:

• Las medidas técnicas incluyen el hardware y el software del sistema de información, como el control de acceso, la autenticación, el cifrado, el cierre de sesión automático y los controles de auditoría.
• Las medidas no técnicas incluyen controles operativos y de gestión, como políticas, procedimientos y medidas de seguridad física o ambiental.

Luego analice si la configuración y el uso de esas medidas de seguridad son apropiados.

Paso 5. Determine la probabilidad de ocurrencia de la amenaza.

Evalúe la probabilidad de que una amenaza active o explote una vulnerabilidad específica. Considere cada combinación posible de amenaza y vulnerabilidad, y clasifíquelas según la probabilidad de un incidente. Los métodos de calificación comunes incluyen etiquetar cada riesgo como Alto, Medio y Bajo, o proporcionar un peso numérico que exprese la probabilidad de ocurrencia.

Paso 6. Determine el impacto potencial de la ocurrencia de amenazas.

Considere los posibles resultados de cada amenaza de datos, tales como:

• Acceso o divulgación no autorizados
• Pérdida o corrupción permanente
• Pérdida temporal o indisponibilidad
• Pérdida del flujo de efectivo financiero
• Pérdida de activos físicos

Estime el impacto de cada resultado. Las medidas pueden ser cualitativas o cuantitativas. Documente todos los impactos razonables y las valoraciones asociadas con cada resultado.

Paso 7. Determine el nivel de riesgo.

Analice los valores asignados a la probabilidad de ocurrencia de cada amenaza y el impacto. Asigne el nivel de riesgo basado en el promedio de las probabilidades e impactos asignados.

Paso 8. Identificar las medidas de seguridad apropiadas y finalizar la documentación.

Identifique las posibles medidas de seguridad que podría utilizar para reducir cada riesgo a un nivel razonable. Para cada medida, considere:

• La efectividad de la medida
• Requisitos legislativos o reglamentarios para la implementación
• Requisitos de políticas y procedimientos organizacionales

Documente todos los hallazgos para completar su evaluación de riesgos.

Plantilla de Evaluación de Riesgos HIPAA

A continuación se presenta una plantilla de evaluación de riesgos HIPAA con una descripción y un ejemplo para cada sección. Esta es una plantilla general que deberá adaptar a las necesidades específicas de su organización. Todos los nombres de empresas y personales utilizados en esta plantilla son ficticios y se utilizan únicamente como ejemplos.

1. Introducción

Explique el motivo del documento.

Este documento describe el alcance y enfoque de la evaluación de riesgos para Allied Health 4 U, Inc. (en adelante denominada Allied Health 4 U). Incluye el inventario de datos de la organización, la determinación de amenazas y vulnerabilidades, las medidas de seguridad y los resultados de la evaluación de riesgos.

1.1 Propósito

Explique por qué necesita una evaluación de riesgos.

El propósito de la evaluación de riesgos es identificar áreas de riesgo potencial, asignar responsabilidades, caracterizar las actividades y sistemas de mitigación de riesgos, y guiar los procedimientos de acción correctiva para cumplir con el Estándar de Seguridad HIPAA.

1.2 Alcance

Documente el flujo de datos de pacientes dentro de su organización. Describa todos los componentes del sistema, elementos, ubicaciones de los sitios de campo, usuarios (incluido el uso de una fuerza laboral remota) y cualquier detalle adicional sobre el sistema EHR.

Documente y defina sus sistemas de TI, componentes e información, incluyendo medios extraíbles y dispositivos de computación portátiles.

El alcance de este documento incluye los procesos técnicos, físicos y administrativos que rigen toda la ePHI recibida, creada, mantenida o transmitida por Allied Health 4 U.

El objetivo es evaluar y analizar el uso de recursos y controles, tanto planificados como implementados, para eliminar, mitigar o gestionar la explotación de vulnerabilidades por amenazas internas y externas al sistema de registros de salud electrónicos (EHR).

Allied Health 4 U satisface las necesidades de pacientes y profesionales en Medical City en Regency Park, IL. El centro médico relacionado proporciona el firewall de internet primario y la seguridad física básica para la instalación. La organización proporciona todas las demás necesidades tecnológicas y de seguridad para Allied Health 4 U, Inc.

Allied Health 4 U utiliza laptops, tabletas y PCs de escritorio para acceder al ePHI de los pacientes. El acceso remoto desde fuera de Allied Health 4 U está estrictamente prohibido. Tres servidores se encuentran en una sala de servidores cerrada con vigilancia por video activada.

2. Enfoque de Evaluación de Riesgos

Defina los métodos que utiliza para realizar la evaluación de riesgos.

Allied Health 4 U realiza la evaluación de riesgos inventariando todos los dispositivos físicos y datos electrónicos creados, recibidos, mantenidos o transmitidos por la organización; entrevistando a usuarios y administradores del sistema de historias clínicas electrónicas; y analizando los datos del sistema para determinar posibles vulnerabilidades y amenazas al sistema.

2.1 Participantes

Identifique a los participantes, como todo el personal de TI y la gerencia, responsables de o que interactúan con el EHR. Incluya una lista de nombres y roles de los participantes, como Chief Information Officer o Asset Owner.

El oficial de seguridad de ePHI y el Equipo de Gestión de Riesgos son responsables de mantener y ejecutar el análisis de riesgos de seguridad de ePHI y el proceso de gestión de riesgos para Allied Health 4 U.

1. Director de Información: Bradley Gray, MD
2. Oficial de Cumplimiento: Jean Parker, MD
3. Equipo de Evaluación de Riesgos: William Brown, Takisha Lutrelle y Lili Obrador

2.2 Técnicas utilizadas para recopilar información

Enumere los métodos utilizados para identificar e inventariar los datos de ePHI, dispositivos físicos, procesos y procedimientos.

Las siguientes técnicas se utilizan para recopilar información para la evaluación de riesgos:

• Entrevistas con el Director de Información, el equipo de Gestión de Riesgos, usuarios
• Revisión de Documentación — Políticas y procesos de TI, informes de amenazas y vulnerabilidades, informes de incidentes, documentos de clasificación de información.
• Visitas al sitio — Ubicación de Regency Park, cualquier ubicación futura

2.3 Desarrollo y Descripción de la Escala de Riesgo

Describa cuándo se realizan las evaluaciones de riesgo, la matriz de nivel de riesgo en uso, cómo se determinan los riesgos y una clasificación de riesgo con al menos tres niveles.

Allied Health 4 U realiza evaluaciones de riesgo en los siguientes momentos:

• Después de las actualizaciones de software al EHR
• Después de la implementación de nuevo hardware, software o firmware
• Después de un informe de una violación de datos

Utilice la siguiente matriz de riesgo para determinar la escala del riesgo:

Escala de riesgo:

• ALTO: >25 a 50
• MEDIO: >5 a 25
• BAJO: >0.5 a 5

3. Caracterización del sistema

Identifique los límites del sistema de TI en consideración y los recursos e información que componen el sistema. La caracterización establece el esfuerzo del alcance de la evaluación de riesgos, muestra la vía de autorización o acreditación y proporciona información sobre la conectividad, responsabilidad y soporte.

El sistema EHR de Allied Health 4 U está compuesto por todos los portátiles, ordenadores de sobremesa, tabletas, servidores y la ePHI contenida en ellos.

3.1 Información relacionada con el sistema

Proporcione información relacionada y una breve descripción del entorno de procesamiento.

3.2 Usuarios del sistema

Describa quién utiliza el sistema, incluyendo detalles sobre la ubicación del usuario y el nivel de acceso.

4. Amenazas y vulnerabilidades

Enumere todas las amenazas y vulnerabilidades creíbles del sistema que se está evaluando. A menudo, puede proporcionar una breve descripción aquí y presentar los resultados detallados en un apéndice o una hoja de cálculo separada.

4.1 Identificación de amenazas

Desarrolle un catálogo de amenazas razonablemente anticipadas. Su mayor preocupación son las amenazas humanas provenientes de ex-empleados, criminales, proveedores, pacientes o cualquier otra persona con motivación, acceso y conocimiento del sistema.

4.2 Identificación de vulnerabilidades

Enumere todas las vulnerabilidades del sistema técnicas y no técnicas que las amenazas potenciales podrían desencadenar o explotar. Incluya políticas y procedimientos incompletos o en conflicto, salvaguardias insuficientes (tanto físicas como electrónicas) y otros defectos o debilidades en cualquier parte del sistema.

Allied Health 4 U identifica las siguientes vulnerabilidades:

4.3 Medidas de seguridad

Documente y evalúe la efectividad de todos los controles técnicos y no técnicos que están o serán implementados para mitigar el riesgo.

5. Resultados de la evaluación de riesgos

Describa las observaciones (las vulnerabilidades y las amenazas que pueden desencadenarlas), mida cada riesgo y ofrezca recomendaciones para la implementación de controles o acciones correctivas. Los resultados detallados suelen presentarse mejor en un apéndice o una hoja de cálculo separada.

6. Historial de Revisiones

Realiza un seguimiento de todos los cambios en tu evaluación de riesgos HIPAA.