Checklist per la conformità HIPAA: come essere conformi alla HIPAA

Il Health Insurance Portability and Accountability Act (HIPAA), come modificato dal Health Information Technology for Economic and Clinical Health (HITECH) Act, è stato progettato per proteggere le informazioni mediche e i record sanitari degli individui. Ottenendo e mantenendo la conformità a HIPAA compliance, le organizzazioni sanitarie possono tutelare le informazioni sanitarie sensibili dei pazienti riducendo al contempo i rischi di violazioni dei dati e sanzioni legali.

Questo articolo dettaglia i requisiti fondamentali HIPAA e HITECH e fornisce risorse importanti in modo che tu possa assicurarti che la tua azienda sia conforme a HIPAA ed evitare di finire nelle rubriche di violazione dei dati.

Cos'è la conformità HIPAA?

La conformità HIPAA si riferisce al rispetto delle normative stabilite nel Health Insurance Portability and Accountability Act per garantire la privacy, la sicurezza e l'integrità delle informazioni sanitarie protette (PHI) degli individui.

Le organizzazioni che devono conformarsi all'HIPAA includono fornitori di assistenza sanitaria, piani sanitari e centri di elaborazione dati sanitari, così come i loro associati commerciali. Le entità coperte da HIPAA devono garantire la privacy e la data security delle protected health information. Esempi di PHI includono:

• Nomi degli individui
• Foto del viso intero e immagini comparabili
• Identificatori biometrici
• Indirizzi email
• Numeri di telefono
• Numeri FAX
• Dati geografici
• Numeri di previdenza sociale
• Numeri di cartella clinica
• Numeri di conto
• Numeri dei beneficiari del piano sanitario
• Numeri di certificati e licenze
• Identificativi del veicolo e numeri di serie
• Identificatori di dispositivo e numeri di serie
• Date, eccetto l'anno
• Indirizzi IP
• URL web
• Qualsiasi numero o codice identificativo unico

Cos'è HITECH?

La legge Health Information Technology for Economic and Clinical Health (HITECH) potenzia i regolamenti HIPAA incentivando i fornitori a digitalizzare i registri medici e sanitari. La legge penalizza i mancati utilizzi di registri sanitari elettronici in modi significativi e mira a incoraggiare l'uso su scala nazionale di dati elettronici sanitari affidabili, interoperabili e sicuri.

Quali sono le regole e i controlli HIPAA?

Le regole HIPAA includono:

• Regola sulla Privacy HIPAA
• Regola sulla sicurezza HIPAA
• Regola di Notifica di Violazione HIPAA
• Regola di applicazione HIPAA
• Regola Omnibus HIPAA

I controlli HIPAA sono politiche, procedure e altre misure che le entità coperte da HIPAA devono implementare per proteggere le PHI e conformarsi alle regole HIPAA, come dettagliato di seguito.

Regola sulla Privacy HIPAA

La HIPAA Privacy Rule descrive un insieme di standard che regolano come le PHI possono essere utilizzate e divulgate. Questa norma mira a far rispettare linee guida rigorose che governano la gestione dei dati sanitari sensibili, promuovendo la riservatezza e la privacy dei pazienti all'interno dei sistemi sanitari.

Ecco i controlli HIPAA per i requisiti della Privacy Rule:

1. Politiche e procedure sulla privacy: Le entità coperte devono sviluppare e attuare un insieme di politiche e procedure per garantire la privacy delle PHI.

2. Personale: le entità coperte da HIPAA devono:

• Nomina un responsabile della privacy incaricato dello sviluppo e dell'amministrazione delle pratiche e delle risorse sulla privacy dell'entità.
• Stabilire un punto di contatto responsabile per la ricezione dei reclami e per informare gli individui sulle pratiche di privacy dell'entità.

3. Formazione e gestione del personale: Le entità responsabili devono formare tutti i membri del personale sulle pratiche di privacy affinché possano amministrare le loro funzioni in conformità con la Normativa sulla Privacy.

4. Mitigazione: Le entità coperte devono mitigare qualsiasi effetto dannoso causato dall'uso o dalla divulgazione di PHI che viola le politiche sulla privacy o la Normativa sulla Privacy HIPAA.

5. Salvaguardie dei dati: Le entità coperte devono stabilire e mantenere salvaguardie amministrative, tecniche e fisiche per prevenire sia violazioni intenzionali che non intenzionali di PHI.

6. Reclami: Le entità coperte devono stabilire canali attraverso i quali gli individui possono presentare reclami riguardo la conformità alla privacy.

7. Ritorsione e rinuncia: Un'entità coperta da HIPAA non può esercitare ritorsioni contro un individuo per:

• Esercitando i loro diritti come previsto dalla HIPAA Privacy Rule
• Assistere un'indagine condotta da HHS o altre autorità competenti
• Rifiutare di impegnarsi in qualsiasi atto ritenuto in violazione del HIPAA Privacy Rule

8. Documentazione e conservazione dei registri: Un'entità coperta deve mantenere tutta la documentazione creata ai fini del rispetto delle normative del Privacy Rule (politiche e procedure sulla privacy, registri dei reclami, avvisi sulle pratiche di privacy, ecc.) per almeno sei anni dalla data di creazione o dall'ultima data di efficacia.

9. Eccezione: I piani sanitari di gruppo completamente assicurati sono obbligati a rispettare solo i requisiti (7) e (8).

Regola sulla sicurezza HIPAA

La HIPAA Security Rule stabilisce linee guida che proteggono l'integrità dei registri sanitari elettronici (EHR) e ne garantiscono la riservatezza e la disponibilità.

L'Istituto Nazionale degli Standard e della Tecnologia (NIST) ha un insieme di linee guida stabilite per aiutare le organizzazioni a sviluppare pratiche di sicurezza conformi alla Normativa sulla Sicurezza HIPAA. Possono anche utilizzare il CIA Triad, dove "CIA" sta per questi tre componenti:

• Riservatezza: Assicurare che le informazioni sanitarie protette (ePHI) non siano disponibili o divulgate a persone o processi non autorizzati.
• Integrità: Assicurarsi che l'ePHI non venga alterato o distrutto in modo non autorizzato.
• Disponibilità: Assicurare che l'ePHI sia accessibile e utilizzabile su richiesta da parte di persone autorizzate.

I requisiti della HIPAA Security Rule includono i seguenti tipi di controlli per i dati sensibili:

• Salvaguardie tecniche: Controlli di accesso, controlli di audit, controlli di integrità, autenticazione di persona/entità, sicurezza della trasmissione
• Salvaguardie fisiche: Controllo degli accessi agli impianti, utilizzo delle postazioni di lavoro, sicurezza delle postazioni di lavoro, controlli su dispositivi e supporti
• Salvaguardie amministrative: Processo di gestione della sicurezza, responsabilità assegnata alla sicurezza, sicurezza del personale, gestione dell'accesso alle informazioni, consapevolezza e formazione sulla sicurezza, procedure per gli incidenti di sicurezza, piani di contingenza, valutazione, piani associati all'impresa e altre procedure

Le organizzazioni spesso distinguono tra misure di sicurezza "obbligatorie" e "da indirizzare":

• È necessario seguire alla lettera le misure di protezione; non c'è spazio per interpretazioni.
• Addressable requirements afford organizations some flexibility to account for unique infrastructural or technical limitations.

Regola di Notifica di Violazione HIPAA

The HIPAA Breach Notification Rule requires covered entities to notify certain parties when they suffer a breach of PHI. Specifically, the HIPAA Breach Notification Rule requires:

• Notifica individuale: Le entità coperte sono tenute a notificare gli individui interessati dopo aver scoperto una violazione del PHI.
• Avviso ai media: In caso di violazione che abbia interessato più di 500 residenti di uno stato o giurisdizione, le entità coperte responsabili devono notificare gli organi di informazione di rilievo che servono lo stato o la giurisdizione.
• Notifica al Segretario: Le entità coperte devono notificare al Segretario in caso di scoperta di una violazione del PHI.

È possibile per le entità dimostrare la loro diligenza e dimostrare una bassa probabilità di compromissione del PHI in base a procedure adeguate di valutazione del rischio.

Regola di applicazione HIPAA

La regola sull'applicazione dell'HIPAA stabilisce standard su come indagare sulle violazioni dei dati e delinea una struttura di sanzioni per le parti responsabili.

Regola Omnibus HIPAA

La regola HIPAA Omnibus:

• Stabilisce una struttura di sanzioni a più livelli come richiesto da HITECH
• Introduce modifiche alla soglia di danno e include la regola finale sulla Notifica di Violazione per ePHI non protetti sotto l'HITECH Act
• Modifica l'HIPAA per includere disposizioni del Genetic Information Nondiscrimination Act (GINA), che vieta la divulgazione di informazioni genetiche a fini di sottoscrizione
• Impedisce l'uso di PHI e identificativi personali a scopi di marketing

I requisiti della HIPAA Omnibus Rule includono i seguenti:

• Nuovi Accordi Associati Commerciali (BAAs): Prima di impiegare i servizi di un associato commerciale, le entità devono firmare un nuovo BAA conforme a HIPAA
• Aggiornamenti dell'Accordo Associato Commerciale: Gli Accordi Associati Commerciali esistenti devono essere aggiornati per conformarsi alla Regola Omnibus.
• Aggiornamenti della politica sulla privacy: Le politiche sulla privacy devono essere aggiornate per conformarsi alle modifiche della Omnibus Rule.
• Avviso aggiornato delle Pratiche sulla Privacy (NPP): Gli NPP devono essere aggiornati per includere le informazioni richieste dalla Norma Omnibus.
• Formazione del personale aggiornata HIPAA: La formazione del personale sulle modifiche al Regolamento Omnibus e sui cambiamenti di definizione deve essere fornita e documentata.

Checklist HIPAA

Utilizzate la seguente lista di controllo per aiutare la vostra organizzazione a garantire la conformità con HIPAA.

1) Audit e valutazioni

Eseguire regolarmente un audit interno HIPAA, valutazione della sicurezza e audit della privacy per supportare la Data Security:

• Determina quali tra le revisioni e valutazioni annuali HIPAA richieste sono applicabili alla tua organizzazione, secondo la Regola HIPAA SP 800-66, Revisione 1, utilizzando le linee guida NIST.
• Conduci gli audit e le valutazioni richieste, analizza e comprendi i risultati e documenta eventuali problemi o carenze.
• Creare e documentare piani di rimedio dettagliati per affrontare tali problemi e carenze.
• Mettete in atto i piani, esaminate i risultati e aggiornate il piano se i risultati desiderati non sono stati raggiunti.

2) Conformità alla Regola sulla Privacy

Implementa i controlli della Regola sulla Privacy HIPAA che disciplinano l'uso e la divulgazione delle PHI:

• Sviluppa e attua politiche e procedure sulla privacy per l'uso e la divulgazione delle PHI.
• Nomina un responsabile della privacy e un punto di contatto per i reclami sulla privacy, e forma il personale sulle pratiche di privacy.
• Stabilisci misure di protezione amministrative, tecniche e fisiche per prevenire violazioni dolose o accidentali delle PHI.
• Predisponi un canale per la presentazione di reclami sulla privacy e un processo per mitigare gli effetti dannosi di qualsiasi divulgazione che violi la Regola sulla Privacy.
• Evita ritorsioni contro chi esercita i propri diritti ai sensi della Regola sulla Privacy, collabora a un'indagine dell'HHS o si rifiuta di partecipare a una violazione della Regola sulla Privacy.
• Conserva politiche sulla privacy, procedure e registri dei reclami per almeno sei anni, come richiesto dalla Regola sulla Privacy.

3) Conformità alla Regola sulla Sicurezza

Implementa le misure di protezione tecniche, fisiche e amministrative richieste dalla Regola sulla Sicurezza:

• Misure tecniche: controllo degli accessi, controlli di audit, controlli di integrità, autenticazione di persone/entità e sicurezza della trasmissione.
• Misure fisiche: controllo degli accessi alla struttura, uso e sicurezza delle postazioni di lavoro, e controllo di dispositivi e supporti.
• Misure amministrative: processo di gestione della sicurezza, responsabilità di sicurezza assegnata, sicurezza del personale, gestione dell'accesso alle informazioni, formazione e consapevolezza sulla sicurezza, procedure per gli incidenti, piani di emergenza e valutazione periodica.
• Documenta quali misure di protezione sono obbligatorie e quali sono opzionali per la tua organizzazione, insieme alla relativa motivazione.

4) Preparazione alla notifica delle violazioni

Prepara la tua organizzazione a rispettare le tempistiche e gli obblighi della Regola sulla Notifica delle Violazioni:

• Stabilisci un processo per notificare tempestivamente le persone interessate dopo aver scoperto una violazione delle PHI.
• Prepara un piano di notifica ai media per le violazioni che interessano più di 500 residenti di uno stato o giurisdizione.
• Stabilisci un processo per notificare al Segretario dell'HHS qualsiasi violazione che coinvolga le PHI.
• Conserva la documentazione della valutazione dei rischi per dimostrare la dovuta diligenza e, ove applicabile, una bassa probabilità di compromissione delle PHI.

5) Gestione dei business associate e delle policy

Mantieni aggiornati gli accordi con i business associate e la documentazione sulla privacy in conformità alla Regola Omnibus:

• Firma nuovi Business Associate Agreement (BAA) conformi a HIPAA prima di coinvolgere qualsiasi business associate.
• Rivedi e aggiorna i BAA esistenti per riflettere gli attuali requisiti della Regola Omnibus.
• Aggiorna le politiche sulla privacy e la tua Informativa sulle Pratiche di Privacy (NPP) per riflettere le modifiche della Regola Omnibus.
• Documenta la formazione del personale sulle modifiche e sui cambiamenti di definizione della Regola Omnibus.

6) Monitoraggio e documentazione continui

La conformità non è un progetto una tantum. Mantienila aggiornata:

• Monitora continuamente l'accesso alle PHI e rivedi i log di audit per individuare attività sospette o non autorizzate.
• Mantieni aggiornati i piani di correzione, i risultati degli audit e la documentazione sulla conformità, pronti da mostrare a un revisore.
• Rivedi questa checklist almeno una volta all'anno e ogni volta che cambiano normative, linee guida o il tuo ambiente IT.

Per una panoramica più dettagliata di come il portfolio di sicurezza delle identità e dei dati di Netwrix si allinea direttamente a questi requisiti HIPAA, consulta la nostra pagina soluzioni di conformità HIPAA.