HIPAA 준수란 무엇인가: 규정 준수를 위한 가이드라인

건강보험 양도성 및 책임에 관한 법률(Health Insurance Portability and Accountability Act, HIPAA)은 민감한 환자 건강 정보와 의료 기록을 유지하기 위한 국가 표준을 수립함으로써 개인의 프라이버시를 보호하기 위해 마련된 미국 법입니다. HIPAA 준수 규칙에는 공중보건서비스법(Public Health Service Act)과 건강정보기술을 위한 경제 및 임상 건전성(HITECH)법(Health Information Technology for Economic and Clinical Health Act) 등을 포함한 여러 다른 입법의 요구사항이 반영되어 있습니다.

이 문서에서는 HIPAA 요구 사항을 심층적으로 살펴보고, 조직이 HIPAA를 준수하기 위해 IT 보안 관점에서 알아야 할 모든 세부 정보를 제공합니다. 컴플라이언스 모범 사례에 대해 더 알아보려면 다음을 확인하세요. HIPAA Compliance Checklist.

HIPAA 준수란 무엇인가요?

HIPAA 준수 요구 사항은 전자 형태의 환자 건강 및 의료 데이터를 보호하기 위한 기준을 정합니다. 입법자들은 여러 가지 핵심 목표를 달성하기 위해 HIPAA를 제정했습니다:

• 의료 서비스 개선
• 환자의 개인정보를 보호합니다.
• 기관이 환자의 요청 시 의료 기록을 제공하도록 요구합니다.
• 건강보험의 이동성을 향상시킵니다.
• 건강 데이터 침해가 발생하는 경우 환자에게 알림이 제공되도록 보장합니다.

미국 보건복지부(U.S. Department of Health and Human Services, HHS)는 HIPAA를 감독하며, HHS 민권국(Office for Civil Rights, OCR)은 준수 여부를 평가하기 위해 정기적으로 HIPAA 감사를 실시합니다.

보호 건강 정보(Protected Health Information, PHI)란 무엇인가요?

HIPAA를 준수하려면 조직은 보호 건강 정보에 대해 적절한 데이터 보안 조치(예: HIPAA 준수 소프트웨어)를 마련해야 합니다.

보호 건강 정보(Protected Health Information, PHI)는 전자적으로 전송되거나 저장되는지, 종이 문서에 기록되어 있는지, 혹은 구두로 전달되는지와 관계없이 개인을 식별할 수 있는 모든 건강 정보입니다. PHI에는 개인의 과거, 현재 또는 미래의 건강과 관련된 모든 정보, 의료 서비스 치료에 대한 세부 사항, 그리고 개인을 식별할 수 있는 결제 정보가 포함됩니다. PHI의 예시는 다음과 같습니다:

• 사회보장번호(Social Security number)
• 이름
• 환자 진료와 관련된 생년월일, 사망일 또는 치료일 등 기타 날짜
• 사진
• 연락처 정보
• 의무기록 번호

누가 HIPAA를 준수해야 합니까?

HIPAA는 환자의 의료 데이터를 처리하는 두 집단에 대한 정보를 규정합니다. 그 집단은 covered entities와 business associates입니다.

covered entity란 무엇인가요?

A covered entity 는 고객을 위해 PHI를 처리하고 보유하는 개인 또는 조직입니다. 예로는 의사, 약국, 요양원, 클리닉, 건강 보험 회사가 있습니다.

하지만 건강 정보를 취급하는 모든 조직이 covered entity로 간주되는 것은 아닙니다. 한 가지 예는 의료 서비스를 제공하지 않고, HIPAA 규정에서 다루는 거래와 관련하여 의료 정보를 전송하지 않는 연구 조직입니다.

business associate란 무엇인가요?

비즈니스 어소시에이트는 보건의료 활동과 기능을 지원하기 위해 covered entity(적용 대상 기관)에 서비스를 제공하는 조직입니다. covered entity는 보건의료 기능을 지원하기 위해 비즈니스 어소시에이트에 PHI(보호대상 건강정보)를 공개할 수는 있지만, 비즈니스 어소시에이트의 독립적인 목적이나 용도를 위한 정보 제공은 아닙니다.

일반적으로 covered entity와 business associate 간의 관계를 설정할 때는 business associate agreement(비즈니스 어소시에이트 계약) 또는 계약서가 필요합니다. 다만 일부 경우에는 계약이 필요하지 않을 수 있으므로, 조직은 자체적으로 확인·조사할 필요가 있습니다.

HIPAA가 환자 개인정보를 보호하는 방법

HIPAA의 환자 보호의 핵심은 Privacy Rule 입니다. HIPAA Privacy Rule은 개인의 건강정보를 사용하고 공개하는 데 관한 기준을 제공합니다. 또한 환자의 프라이버시 권리에 대한 기준과, 환자 건강정보의 사용을 통제하는 기준도 정합니다.

환자의 PHI(개인 건강정보)에 대한 접근 권리

개별 환자는 개인정보 보호 규칙(Privacy Rule)에 따라 자신의 건강정보에 접근할 권리가 있습니다. 개인은 서면으로 작성하고 서명한 문서를 통해, 자신의 PHI를 누가 더 볼 수 있는지도 지정할 수 있습니다.

환자가 PHI를 요청하면, 정보는 일반적으로 지정된 기록 세트(designated record set)로 제공되며, 그 안에는 다음이 포함됩니다:

• 검사 결과(예: 검사실 검사 결과), 진료 기록, X-ray(엑스레이) 등 청구 및 의료 기록
• 환자의 건강보험(health plan)에 대한 청구, 등록 및 결제 정보
• 환자에 대한 의사결정에 사용되는 기타 기록

해당 정보는 의사결정에 사용되지 않았으므로 지정된 기록 세트에서 일부 정보가 제외됩니다. 여기에는 다음에 관한 데이터가 포함됩니다:

• 환자 안전 기록
• 품질 관리 정보
• 법적 절차를 위해 수집된 정보

PHI 요청 처리

대상자는 PHI 요청을 서면으로 또는 이메일이나 웹 포털과 같은 전자적 통신을 통해 제출하도록 요구할 수 있습니다. 대상자는 요청이나 확인을 위해 비합리적인 조치를 취해서는 안 되며, 환자가 접근 권한을 얻는 것을 합리적으로 지연할 수도 없습니다.

요청된 정보의 종류에 따라 요청은 종이 또는 전자 형식으로 처리될 수 있습니다. 대상자는 요청일로부터 30일(달력 기준) 이내에 요청된 정보를 제공해야 합니다.

대상자는 다음으로 인해 발생한 비용을 회수하기 위해 수수료를 부과할 수 있습니다.

• 복사본 생성
• 요청을 처리하기 위한 소모품 구매
• 우편 요금
• 개인이 동의한 경우 PHI 요약본 준비

경우에 따라 준거 대상 기관이 PHI 요청을 거부할 수 있습니다. 이러한 상황에는 다음이 포함될 수 있습니다:

• 심리치료 기록
• 진행 중인 연구에 포함된 PHI
• 누군가에게 해를 끼칠 가능성이 합리적으로 높은 상황

EHR 보안 및 개인정보 보호

2013년 9월, 입법자들은 HITECH Act를 옴니버스 규칙(Omnibus Rule)과 함께 HIPAA에 통합했습니다. HITECH Act는 의료 제공자가 전자 건강 기록( EHRs )을 사용하도록 장려하기 위해 마련되었으며, 이는 전자 보호 건강 정보(ePHI)로도 알려져 있습니다. 또한 HITECH Act는 HIPAA를 준수하지 않는 것으로 확인된 기관은 상당한 벌금의 대상이 될 수 있다고 규정했습니다.

HIPAA 표준 거래

HITECH는 Transaction and Code Set Rule(TCS)에서 표준 거래를 다룹니다. TCS 규칙은 의료 제공자, 건강보험사 및 보험 가입 고객 간의 의료 데이터 전자 전송에 대한 표준을 채택합니다.

HIPAA를 위한 보안 관리

HIPAA 보안 규칙

EHR에 대한 데이터 보안을 보장하기 위해 HIPAA Security Rule 는 의료기관 및 비즈니스 어소시에이트를 위한 안전 기준을 수립했습니다. 이 규칙에 따르면 의료기관은 다음을 준수해야 합니다:

• 다음의 confidentiality, integrity and availability 을 그들이 생성, 수신, 보관 또는 전송하는 모든 e-PHI에 대해 보장해야 합니다.
• 정보의 보안 또는 무결성에 대해 합리적으로 예상되는 위협을 식별하고 이에 대비해 보호하십시오.
• 합리적으로 예상되는 허용되지 않은 사용 또는 공개로부터 보호하십시오.
• 조직의 인력이 준수하도록 보장하십시오.

HIPAA Security Rule을 준수하기 위해, 조직은 미국 국립표준기술연구소(NIST)가 수립한 가이드라인을 따를 수 있습니다 . 이 가이드라인에는 HIPAA 준수를 위해 조직이 구현할 수 있는 통제 및 정책 권고사항이 포함되어 있습니다.

HIPAA Safeguards

NIST는 EHR 보호조치의 3가지 범주를 다음과 같이 제시합니다:

• 관리적 보호조치
• 기술적 보호조치
• 물리적 보호조치

이러한 보호조치는 필수 (구현해야 함) 또는 권고 (환경에 대해 합리적이고 적절하다면 구현해야 함)일 수 있습니다.

관리적 보호조치

• 보안 관리 프로세스: 보안 위반을 감지하고, 예방하고, 확산을 억제하며, 시정하기 위해 시스템을 사용합니다.
• 보안 책임의 지정: 정책 및 절차의 시행과 개발을 담당할 공적 책임자를 지정합니다.
• 인력 보안: 필요한 직원에게만 ePHI에 대한 액세스를 허용하고, 승인되지 않은 사용자가 접근하지 못하도록 방지합니다.
• 정보 접근 관리: ePHI에 대한 접근을 승인하기 위해 보안 시스템을 사용합니다.
• 보안 인식 및 교육: 모든 직원에게 데이터 보안 실무와 인식에 대해 교육합니다.
• 보안 사고 절차: 보안 사고에 대한 프로토콜을 수립합니다.
• 비상 대비 계획: 시스템 손상에 대비한 긴급 관리 계획을 수립합니다.
• 평가: 데이터 보안과 신뢰성을 파악하기 위해 정기적으로 시스템 평가를 수행합니다.

기술적 보호조치

• 접근 통제: 접근 권한이 부여된 개인 또는 소프트웨어 프로그램에만 액세스를 허용합니다.
• 감사(로그) 제어: ePHI와 관련된 활동을 기록하고 점검할 수 있는 시스템을 사용합니다.
• 무결성: ePHI의 무단 오용을 방지하기 위한 방법을 수립합니다.
• 개인 또는 주체 인증: 강력한 검증 조치를 갖춘 보안 시스템을 사용합니다.
• 전송 보안: 전자 전송 중에 승인되지 않은 ePHI 접근을 방지하기 위한 보안 조치를 구현합니다.

물리적 보호조치

• 시설 출입 통제: ePHI에 대한 물리적 접근을 제한합니다.
• 워크스테이션 사용: ePHI에 액세스하는 워크스테이션에 대한 워크플로 및 구성 요구사항을 수립합니다.
• 워크스테이션 보안: 워크스테이션 사용을 승인된 사용자로 제한합니다.
• 장치 및 매체 제어: ePHI가 포함된 하드웨어와 매체의 수령 및 반출(제거)을 관리합니다.

데이터 위험 분석

보안 관리 프로세스 지침에 따라 보안 규칙에서는 위험 분석 또는 위험 평가 및 관리 를 요구합니다.

데이터 위험 분석에 관한 NIST 가이드는 여러 단계로 구성되며, 여기에는 다음이 포함됩니다:

1. 취약점과 위협을 식별합니다.
2. 현재의 데이터 보안을 평가합니다.
3. 위협 가능성과 잠재적 영향 파악.

HIPAA 위반의 비용

침해 통지

침해(breach)란 프라이버시 규칙(Privacy Rule)에 따른 PHI의 무단 사용 또는 공개를 의미합니다. 일부 경우에는 위험 분석(risk analysis)을 바탕으로 손상된 PHI가 발생할 가능성이 낮다는 점을 조직이 입증할 수 있습니다.

데이터 침해가 발생하면, 조직은 우편 또는 이메일로 영향을 받는 개인에게 통지하고, 언론에 알리며, 온라인 양식을 통해 HHS 장관(HHS Secretary)에게 보고서를 제출해야 하며, 이 모든 조치는 60일 이내에 이루어져야 합니다.

HIPAA 위반에 따른 벌칙과 과태료

침해 사고가 HIPAA 위반으로 이어지면 HIPAA Enforcement Rule 가 조사, 심리 및 벌칙을 규정합니다. HIPAA 벌칙의 일반적인 원인에는 암호화되지 않은 장치의 분실 또는 도난, 직원 교육 부족, 데이터베이스 침해, 환자 정보에 대한 사내 소문 등이 있습니다.

HITECH Act는 위반에 대해 4단계의 과태료 수준을 다음과 같이 제시합니다:

• Tier A: 개인 또는 기관이 위반을 저질렀다는 사실을 알지 못한 경우의 위반.
• Tier B: 정당한 사유가 있는 위반이지만 고의적인 태만(willful neglect)은 아닌 경우.
• Tier C: 고의적 태만으로 인한 위반이지만, 해당 개인 또는 기관이 상황을 시정할 수 있습니다.
• Tier D: 30일 이내에 상황이 시정되지 않은 Tier C 위반.

HHS OCR은 그들의 "Wall of Shame" 웹사이트에 위반 사례를 게시합니다. 다른 사이트는 벌금과 합의(settlement)로 연결되는 링크를 게시합니다. 최근 사례에는 다음이 포함됩니다:

• 2020년 9월, Premera Blue Cross는 600만 명이 넘는 개인에게 영향을 준 데이터 침해와 관련해 합의를 이끌어내기 위해 6,850,000달러의 벌금이 부과되었습니다.
• 2020년 7월, Lifespan Health System은 암호화되지 않은 도난 노트북과 관련해 100만 달러가 넘는 벌금을 부과받았습니다.
• 2019년 10월, Elite Dental Associates는 소셜 미디어를 통해 환자 정보를 공개한 혐의로 10,000달러의 벌금 처분을 받았습니다.

이러한 단계를 다루는 실용적인 체크리스트를 보려면 HIPAA 준수 체크리스트를 참조하거나, Netwrix의 아이덴티티 및 데이터 보안 포트폴리오가 PHI에 대한 접근 권한을 확인하고 HIPAA 감사에서 이를 입증하는 데 어떻게 도움이 되는지 HIPAA 준수 솔루션 페이지에서 확인하세요.