HIPAA 준수 체크리스트: HIPAA를 준수하는 방법

Health Information Technology for Economic and Clinical Health (HITECH) Act에 의해 개정된 Health Insurance Portability and Accountability Act (HIPAA)는 개인의 의료 정보와 건강 기록을 안전하게 보호하기 위해 마련되었습니다. HIPAA 준수를 달성하고 유지함으로써 의료 기관은 데이터 침해와 법적 처벌의 위험을 완화하면서 환자의 민감한 건강 정보를 보호할 수 있습니다.

이 글에서는 주요 HIPAA 및 HITECH 요구사항을 자세히 설명하고, 귀사가 HIPAA를 준수하고 데이터 침해로 인해 뉴스 헤드라인에 오르지 않도록 중요한 자료를 제공합니다.

HIPAA 준수란 무엇인가요?

HIPAA 준수 는 개인의 보호 건강 정보( PHI )의 프라이버시, 보안 및 무결성을 보장하기 위해 건강보험 양도 및 책임에 관한 법률(Health Insurance Portability and Accountability Act)이 정한 규정을 준수하는 것을 의미합니다.

HIPAA를 준수해야 하는 조직에는 의료 제공자, 건강 보험 플랜 및 의료 클리어링하우스뿐 아니라, 이들의 비즈니스 어소시에이트가 포함됩니다. HIPAA 적용 대상자는 보호 건강 정보의 데이터 보안 과 보호 건강 정보의 개인정보 보호를 보장해야 합니다. PHI의 예시는 다음과 같습니다:

• 개인의 이름
• 정면 사진 및 이에 준하는 이미지
• 생체 식별자
• 이메일 주소
• 전화번호
• 팩스 번호
• 지리 데이터
• 사회보장번호
• 의료기록번호
• 계좌번호
• 건강보험 수혜자 번호
• 자격증 및 면허 번호
• 차량 식별자 및 일련 번호
• 장치 식별자 및 일련 번호
• 연도를 제외한 날짜
• IP 주소
• 웹 URL
• 고유 식별 번호 또는 코드

HITECH란 무엇인가요?

의료 및 임상 분야의 경제적·임상적 건강을 위한 보건정보기술(Health Information Technology for Economic and Clinical Health, HITECH) 법은 의료 제공자들이 의료 및 건강 기록을 디지털화하도록 유도함으로써 HIPAA 규정을 강화합니다. 이 법은 의미 있는 방식으로 전자 건강기록을 사용하지 못한 경우를 제재하며, 신뢰할 수 있고 상호운용이 가능하며 안전한 전자 건강 데이터의 전국적 활용을 장려하는 것을 목표로 합니다.

HIPAA 규칙과 통제란 무엇인가요?

HIPAA 규칙에는 다음이 포함됩니다:

• HIPAA 개인정보 보호 규칙
• HIPAA 보안 규칙
• HIPAA 침해 통지 규칙
• HIPAA 집행 규칙
• HIPAA 옴니버스 규칙

HIPAA 관리통제는 HIPAA 적용 대상(covered entities)이 PHI를 보호하고 아래에 자세히 설명된 HIPAA 규정을 준수하기 위해 마련해야 하는 정책, 절차 및 기타 조치입니다.

HIPAA 프라이버시 규칙

HIPAA Privacy Rule 는 PHI가 어떻게 사용되고 공개될 수 있는지를 규정하는 일련의 표준을 설명합니다. 이 규칙은 민감한 건강정보의 취급을 관리하는 엄격한 지침을 시행하여 의료 시스템 내에서 환자의 기밀성과 프라이버시를 증진하는 것을 목표로 합니다.

다음은 프라이버시 규칙(Privacy Rule) 요구사항에 대한 HIPAA 관리통제입니다:

1. 프라이버시 정책 및 절차: 적용 대상(covered entities)은 PHI의 프라이버시를 보장하기 위해 정책과 절차의 집합을 개발하고 시행해야 합니다.

2. 인력: HIPAA 적용 대상 기업(covered entities)은 반드시:

• 해당 기관의 개인정보 보호 관행과 리소스의 개발 및 관리를 담당하는 개인정보 보호 책임자를 지정합니다.
• 민원을 접수하고 개인들에게 해당 기관의 개인정보 보호 관행을 알리는 책임을 맡을 연락 창구를 지정합니다.

3. 인력 교육 및 관리: 적용 대상 기업(covered entities)은 Privacy Rule에 따라 업무를 수행할 수 있도록 모든 인력 구성원을 개인정보 보호 관행에 대해 교육해야 합니다.

4. 완화: 적용 대상 기관은 개인정보 보호 정책 또는 HIPAA Privacy Rule을 위반하는 PHI의 사용 또는 공개로 인해 발생하는 모든 유해한 영향을 완화해야 합니다.

5. 데이터 보호조치: 적용 대상 기관은 PHI의 악의적 및 의도치 않은 침해를 모두 방지하기 위해 행정적, 기술적 및 물리적 보호조치를 수립하고 유지해야 합니다.

6. 민원: 적용 대상 기관은 개인이 개인정보 보호 준수와 관련하여 민원을 제기할 수 있는 창구를 마련해야 합니다.

7. 보복 및 면제(면책): HIPAA 적용 대상 기관은 개인이 다음을 한 것에 대해 보복해서는 안 됩니다:

• HIPAA Privacy Rule에서 정한 권리를 행사하는 경우
• HHS 또는 기타 관련 당국이 수행하는 조사에 협조하는 것
• HIPAA Privacy Rule(프라이버시 규칙)를 위반한다고 여겨지는 어떤 행위에도 관여하지 않는 것

8. 문서 및 기록 보존: 준수해야 할 Privacy Rule 규정(프라이버시 정책 및 절차, 민원 기록, 프라이버시 관행 고지 등)을 준수하기 위해 작성된 모든 문서를, 작성일 또는 마지막 효력 발생일로부터 최소 6년간 보관해야 합니다.

9. 예외: 완전 보험이 적용되는 단체 건강 보험 플랜은 요구사항(7)과 (8)만을 준수해야 합니다.

HIPAA Security Rule

The HIPAA Security Rule 는 전자 건강 기록( EHR )의 무결성을 보호하고, 해당 기록이 기밀성과 가용성을 유지하도록 하는 지침을 수립합니다.

미국 국립표준기술연구소(National Institutes of Standards and Technology, NIST)는 이미 확립된 지침 세트 를 통해 조직이 HIPAA Security Rule을 준수하는 보안 실무를 개발하도록 돕습니다. 또한 CIA Triad 를 사용할 수도 있는데, 여기서 "CIA"는 다음 세 가지 구성 요소를 의미합니다.

• Confidentiality: ePHI가 승인되지 않은 사람이나 프로세스에 제공되거나 공개되지 않도록 보장합니다.
• 무결성: ePHI가 승인되지 않은 방식으로 변경되거나 파괴되지 않도록 보장합니다.
• Availability: 승인된 사람이 필요할 때 ePHI에 접근하고 사용할 수 있도록 보장합니다.

HIPAA Security Rule 요구사항에는 민감 데이터에 대해 다음 유형의 통제가 포함됩니다:

• 기술적 보호조치: 접근 통제, 감사 통제, 무결성 통제, 개인/주체 인증, 전송 보안
• 물리적 보호조치: 시설 출입 통제, 워크스테이션 사용, 워크스테이션 보안, 장치 및 미디어 통제
• 관리적 보호조치: 보안 관리 프로세스, 보안 책임의 지정, 인력 보안, 정보 접근 관리, 보안 인식 및 교육, 보안 사고 절차, 비상 대응 계획, 평가, 비즈니스 어소시에이트 계획 및 기타 절차

조직은 종종 "필수(required)"와 "적용 가능(addressable)" 보호조치를 구분합니다:

• 필수 보호조치는 문자 그대로 반드시 준수해야 하며, 해석의 여지는 없습니다.
• 해당되는 요구사항은 조직이 고유한 인프라 또는 기술적 제약을 고려할 수 있도록 어느 정도 유연성을 제공합니다.

HIPAA Breach Notification Rule

HIPAA Breach Notification Rule 는 PHI 침해(보호건강정보의 침해)를 겪은 경우 특정 당사자에게 통지하도록 해당 적용대상자(covered entities)에게 요구합니다. 구체적으로 HIPAA Breach Notification Rule은 다음을 요구합니다:

• 개별 통지: 적용대상자(covered entities)는 PHI 침해를 발견하는 즉시 영향을 받는 개인에게 통지해야 합니다.
• 언론 공지: 침해사고가 해당 주 또는 관할구역의 거주자 500명 초과에게 영향을 미친 것으로 확인되면, 책임이 있는 해당 적용대상 기관은 해당 주 또는 관할구역을 대상으로 하는 주요 언론 매체에 통지해야 합니다.
• 장관(Secretary)에게의 통지: 해당 적용대상 기관은 PHI(보호대상 건강정보) 침해사고를 발견하면 장관(Secretary)에게 통지해야 합니다.

기관은 적절한 위험 평가 절차에 근거하여, 철저한 실사를 수행했음을 입증하고 PHI 침해 가능성이 낮다는 점을 보여줄 수 있습니다.

HIPAA 집행 규칙

HIPAA 집행 규칙은 데이터 침해를 조사하는 방법에 대한 표준을 수립하고, 책임이 있는 당사자에 대한 처벌(과태료) 구조를 명시합니다.

HIPAA 옴니버스 규칙

HIPAA 옴니버스 규칙:

• HITECH에서 요구하는 단계별(계층형) 처벌 구조를 수립합니다.
• 피해(위해) 임계값에 대한 변경 사항을 도입하고, HITECH Act에 따른 안전하지 않은 ePHI에 대한 침해 통지(Breach Notification) 최종 규정을 포함합니다.
• HIPAA를 수정하여 Genetic Information Nondiscrimination Act (GINA)의 조항을 포함합니다. 해당 조항은 보험 인수(underwriting) 목적을 위해 유전 정보를 공개하는 것을 금지합니다
• PHI 및 개인 식별자를 마케팅 목적으로 사용하는 것을 방지합니다

HIPAA Omnibus Rule의 요구 사항은 다음과 같습니다:

• 새 Business Associate Agreement (BAA): 비즈니스 어소시에이트의 서비스를 고용하기 전에, 해당 기관은 새로운 HIPAA를 준수하는 BAA에 서명해야 합니다
• Business Associate Agreement 업데이트: 기존 Business Associate Agreements는 Omnibus Rule을 준수하도록 업데이트되어야 합니다.
• 개인정보 보호정책 업데이트: 개인정보 보호정책은 Omnibus Rule 변경 사항을 준수하도록 업데이트되어야 합니다.
• 업데이트된 프라이버시 관행 고지서(Notice of Privacy Practices, NPP): NPP는 Omnibus Rule이 요구하는 정보를 포함하도록 업데이트되어야 합니다.
• 업데이트된 HIPAA 직원 교육: Omnibus Rule 개정 및 정의 변경에 대한 직원 교육을 제공하고 문서화해야 합니다.

HIPAA 체크리스트

다음 체크리스트를 사용하여 조직이 HIPAA를 준수하는지 확인하는 데 도움을 받으세요.

1) 감사 및 평가

정기적으로 내부 HIPAA 감사를 수행하고 보안 평가 및 개인정보 보호 감사를 실시하여 데이터 보안을 뒷받침하세요:

• NIST 지침을 사용하여 HIPAA Rule SP 800-66, Revision 1에 따라, 필수 연간 HIPAA 감사 및 평가 중 어떤 항목이 귀사에 적용되는지 결정하세요.
• 필수 감사 및 평가를 수행하고, 결과를 분석하여 이해한 뒤, 발견된 문제나 결함을 문서화하세요.
• 해당 문제와 결함을 해결하기 위한 철저한 시정(개선) 계획을 수립하고 문서화하세요.
• 계획을 실행에 옮기고 결과를 검토한 다음, 원하는 결과를 달성하지 못했으면 계획을 업데이트하세요.

2) 프라이버시 규칙 준수

PHI의 사용 및 공개를 규정하는 HIPAA 프라이버시 규칙 통제를 구현하십시오:

• PHI의 사용 및 공개에 대한 개인정보 보호 정책과 절차를 수립하고 시행합니다.
• 개인정보 보호 담당자와 개인정보 보호 불만 접수 담당자를 지정하고, 직원에게 개인정보 보호 관행을 교육합니다.
• 악의적이거나 의도치 않은 PHI 침해를 방지하기 위한 관리적, 기술적, 물리적 보호 조치를 마련합니다.
• 개인이 개인정보 보호 불만을 제기할 수 있는 채널을 마련하고, 프라이버시 규칙을 위반하는 공개의 유해한 영향을 완화하는 프로세스를 마련합니다.
• 프라이버시 규칙에 따른 권리를 행사하거나, HHS 조사에 협조하거나, 프라이버시 규칙 위반에 가담하기를 거부한 개인에게 보복하지 않습니다.
• 프라이버시 규칙에서 요구하는 대로 개인정보 보호 정책, 절차 및 불만 기록을 최소 6년간 보관합니다.

3) 보안 규칙 준수

보안 규칙에서 요구하는 기술적, 물리적, 관리적 보호 조치를 구현하십시오:

• 기술적 보호 조치: 접근 통제, 감사 통제, 무결성 통제, 개인/엔티티 인증, 전송 보안.
• 물리적 보호 조치: 시설 접근 통제, 워크스테이션 사용 및 보안, 기기 및 미디어 통제.
• 관리적 보호 조치: 보안 관리 프로세스, 지정된 보안 책임, 직원 보안, 정보 접근 관리, 보안 인식 및 교육, 사고 대응 절차, 비상 계획, 정기 평가.
• 조직에 필수적인 보호 조치와 선택적인 보호 조치를 문서화하고, 각각에 대한 근거를 기록합니다.

4) 유출 통지 준비

유출 통지 규칙의 기한과 의무를 준수할 수 있도록 조직을 준비시키십시오:

• PHI 유출 발견 즉시 영향을 받은 개인에게 신속하게 통지하는 프로세스를 마련합니다.
• 주 또는 관할구역 거주자 500명 이상에게 영향을 미치는 유출에 대한 언론 통지 계획을 마련합니다.
• PHI가 관련된 모든 유출을 HHS 장관에게 통지하는 프로세스를 마련합니다.
• 적절한 주의 의무 이행과, 해당하는 경우 PHI 침해 가능성이 낮음을 입증하기 위해 위험 평가 문서를 보관합니다.

5) 업무 제휴자 및 정책 관리

옵니버스 규칙에 따라 업무 제휴자 계약 및 개인정보 보호 문서를 최신 상태로 유지하십시오:

• 업무 제휴자와 거래하기 전에 HIPAA를 준수하는 새로운 업무 제휴자 계약(BAA)을 체결합니다.
• 기존 BAA를 검토하고 현재 옵니버스 규칙 요구사항을 반영하여 업데이트합니다.
• 개인정보 보호 정책과 개인정보 보호 관행 고지(NPP)를 옵니버스 규칙 변경사항에 맞게 업데이트합니다.
• 옵니버스 규칙의 개정 및 정의 변경사항에 대한 직원 교육을 문서화합니다.

6) 지속적인 모니터링 및 문서화

준수는 일회성 프로젝트가 아닙니다. 항상 최신 상태로 유지하십시오:

• PHI에 대한 접근을 지속적으로 모니터링하고 의심스럽거나 승인되지 않은 활동을 찾기 위해 감사 로그를 검토합니다.
• 수정 계획, 감사 결과, 준수 문서를 최신 상태로 유지하여 감사자에게 제시할 준비를 갖춵니다.
• 규정, 지침 또는 IT 환경이 변경될 때마다, 그리고 최소 연 1회 이 체크리스트를 검토합니다.

Netwrix의 아이덴티티 및 데이터 보안 포트폴리오가 이러한 HIPAA 요구사항에 어떻게 직접적으로 대응하는지 자세히 알아보려면 HIPAA 준수 솔루션 페이지를 참조하세요.