Consejos para Asegurar el Cumplimiento de HIPAA

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) fue promulgada en 1996 con la intención de proteger la información sensible de los pacientes, referida en el documento como información de identificación personal (PII). Esta pieza esencial de legislación se aplica a todas las organizaciones de atención médica y a cualquier asociado comercial que maneje datos sensibles como resultado de su relación con la industria de la salud.

A medida que la tecnología utilizada para transmitir y gestionar PII ha cambiado, también lo ha hecho HIPAA. La actualización más reciente ocurrió en 2013. Llamada la Regla Final Omnibus, la actualización incluyó cambios clave tanto en la Regla de Seguridad como en la Regla de Notificación de Violaciones, alterando la redacción para que ambas ahora involucren la inclusión de asociados comerciales en los planes de cumplimiento.

Como resultado de la Regla Final Omnibus, los proveedores de atención médica son ahora responsables de garantizar que PII esté protegida a lo largo de toda la cadena de información, lo que significa examinar cuidadosamente a todos, desde desarrolladores de aplicaciones móviles hasta proveedores de servicios de alojamiento en la nube. Siga leyendo para encontrar algunos consejos útiles sobre cómo asegurar el cumplimiento de HIPAA en su forma más reciente.

1. Crear Relaciones Efectivas con Asociados Comerciales

Debido a que todos los proveedores, prestadores de servicios y otros asociados comerciales de un proveedor de atención médica deben cumplir con las regulaciones de HIPAA, es importante desarrollar relaciones efectivas con empresas de buena reputación. Comience por encontrar formas efectivas de transmitir información de manera segura en línea, como implementar una solución de fax electrónico. Luego, pase a asegurarse de que los proveedores de almacenamiento de datos y los desarrolladores de aplicaciones cumplan.

No se limite a aceptar la palabra de una empresa de que siguen las reglas y regulaciones de HIPAA. Obtenga documentación que demuestre el cumplimiento de cada asociado comercial y obligue a la empresa a seguir procedimientos clave de capacitación y auditoría. La Regla de Privacidad requiere que los proveedores de atención médica obtengan garantías satisfactorias de sus asociados comerciales por escrito en forma de contrato u otro acuerdo formal entre las dos entidades.

2. Desarrollar y Mantener una Política de Seguridad Integral

Cada organización de atención médica debe tener una política integral de seguridad de datos que describa cómo se accede, almacena y transmite PII. La política también debe indicar cómo se realizarán las auditorías internas y qué tipo de capacitación recibirán los empleados y proveedores externos en cumplimiento de HIPAA.

Debido a que los requisitos de HIPAA son complejos, muchos proveedores de atención médica luchan por determinar qué incluir en sus políticas de seguridad de datos. Como regla general, incluya cualquier información que se relacione con PII. La política de seguridad de datos debe actualizarse según sea necesario y revisarse regularmente. A medida que se actualizan, los cambios deben comunicarse claramente a los empleados y asociados comerciales para que sea fácil ponerlos en práctica.

3. Tener un Oficial de Seguridad de Datos Dedicado

Dada la complejidad de las reglas y regulaciones de HIPAA, no es razonable esperar que los miembros del personal que no han recibido capacitación específica en seguridad de datos desarrollen, implementen y aseguren el cumplimiento de la política de seguridad de datos de la empresa. Las organizaciones de atención médica más grandes suelen mantener equipos de expertos en seguridad de datos dedicados. Si bien esto puede no ser posible para empresas más pequeñas, es importante tener un Oficial de Seguridad de HIPAA designado porque es un mandato de la Regla de Seguridad.

El Oficial de Seguridad de HIPAA o el equipo deben encargarse de:

• Establecer y hacer cumplir salvaguardias para garantizar el cumplimiento de la Regla de Seguridad.
• Abordar cualquier problema que surja con respecto a los controles de acceso, recuperación ante desastres, continuidad del negocio o respuesta a incidentes.
• Realizar evaluaciones de riesgo internas y facilitar auditorías de terceros de proveedores y asociados comerciales.
• Investigar violaciones de datos e implementar medidas para la mitigación futura.

Integrar tanto el cumplimiento de HIPAA como la seguridad de TI en las estrategias comerciales más amplias de la empresa.

4. Realizar Evaluaciones de Riesgo Regulares

Los Oficiales de Seguridad de HIPAA son responsables de realizar evaluaciones de riesgo regulares e implementar medidas correctivas, pero los empleados de la organización y los asociados comerciales deben trabajar con el SO ofreciendo información precisa. Realizar y documentar evaluaciones de riesgo de rutina ayuda a las organizaciones a prepararse y responder a solicitudes de auditorías aleatorias de HIPAA de manera más efectiva.

Cuando una organización es seleccionada para una auditoría aleatoria, el equipo de seguridad debe prepararse con anticipación realizando una auditoría interna integral. La Oficina de Derechos Civiles (OCR) ofrece todas las listas de verificación y herramientas de evaluación de riesgos necesarias para hacerlo. Muchas organizaciones realizan auditorías internas de rutina de forma trimestral para facilitar la identificación de problemas potenciales.

El mejor lugar para comenzar es con una revisión de documentos relacionados con el cumplimiento y sesiones de capacitación de empleados, pero no evalúe solo cómo se ven las políticas de HIPAA de la empresa en papel. El Oficial de Seguridad también debe realizar recorridos en diferentes áreas de la instalación de atención médica para buscar información visible de pacientes en pantallas de computadoras o escritorios.

5. Establecer Protocolos de Capacitación Explícitos

Tanto el personal de un proveedor de atención médica como sus asociados comerciales deben revisar las políticas de privacidad y protección de datos de la organización durante las sesiones de capacitación relacionadas con HIPAA. Establecer protocolos explícitos siempre es importante.

Tanto las Reglas de Privacidad como de Seguridad ofrecen sugerencias sobre con qué frecuencia se deben requerir estas sesiones de capacitación sobre HIPAA sin dar un marco de tiempo definitivo. Los nuevos empleados deben recibir capacitación dentro de un “plazo razonable”, y se deben implementar cursos de actualización adicionales cuando la instalación realice cambios funcionales o materiales en sus políticas y procedimientos relacionados con HIPAA.

Los protocolos de capacitación deben variar según el rol de los empleados. Los seminarios de capacitación en TI generalmente incluyen más información sobre cómo implementar salvaguardias efectivas al almacenar o transmitir datos digitales, por ejemplo, mientras que las sesiones diseñadas para el personal médico pueden centrarse más en las acciones personales que deben tomarse para asegurar el cumplimiento. Recuerde que proteger PII de amenazas en persona es tan esencial como garantizar una seguridad de datos adecuada cuando se transmite información protegida de los pacientes en forma digital.

Comience a Hacer Cambios

Las organizaciones de atención médica no deben esperar hasta enfrentar una auditoría de HIPAA o, peor aún, multas por incumplimiento, para comenzar a implementar cambios positivos. Comience por contratar a un Oficial de Seguridad de HIPAA dedicado con toda la capacitación necesaria para elaborar políticas específicas, elegir asociados comerciales de buena reputación e implementar salvaguardias contra violaciones de datos y amenazas internas. A partir de ahí, asegurar el cumplimiento de HIPAA es en gran medida una cuestión de mantener todo, desde las políticas de la empresa hasta los protocolos de seguridad de datos, actualizados y documentar todo lo relacionado con el almacenamiento o transmisión de PII para proteger a la organización en caso de una auditoría.