Советы по обеспечению соблюдения HIPAA

Закон о переносимости и подотчетности медицинской страховки (HIPAA) был принят в 1996 году с целью защиты чувствительной информации пациентов, называемой в документе личной идентифицирующей информацией (PII). Этот важный закон применяется ко всем организациям здравоохранения и любым деловым партнерам, которые обрабатывают чувствительные данные в результате своих отношений с медицинской отраслью.

Поскольку технологии, используемые для передачи и управления PII, изменились, изменился и HIPAA. Последнее крупное обновление произошло в 2013 году. Называемое Финальным сводным правилом, обновление включало ключевые изменения как в Правиле безопасности, так и в Правиле уведомления о нарушениях, изменив формулировку так, чтобы оба теперь включали деловых партнеров в планы соблюдения.

В результате Финального сводного правила поставщики медицинских услуг теперь несут ответственность за обеспечение защиты PII на протяжении всей цепочки информации, что означает тщательную проверку всех, от разработчиков мобильных приложений до поставщиков облачных услуг. Читайте дальше, чтобы найти несколько полезных советов о том, как обеспечить соблюдение HIPAA в его последней форме.

1. Создайте эффективные отношения с деловыми партнерами

Поскольку все поставщики, сервисные компании и другие деловые партнеры поставщика медицинских услуг должны соблюдать правила HIPAA, важно развивать эффективные отношения с надежными компаниями. Начните с поиска эффективных способов безопасной передачи информации в Интернете, таких как внедрение решения для электронного факса. Затем перейдите к обеспечению соблюдения со стороны поставщиков хранения данных и разработчиков приложений.

Не просто принимайте на слово, что компания соблюдает правила и нормы HIPAA. Получите документацию, которая демонстрирует соблюдение каждым деловым партнером и обязывает компанию следовать ключевым процедурам обучения и аудита. Правило конфиденциальности требует от поставщиков медицинских услуг получения удовлетворительных письменных гарантий от своих деловых партнеров в форме контракта или другого официального соглашения между двумя сторонами.

2. Разработайте и поддерживайте комплексную политику безопасности

Каждая организация здравоохранения должна иметь комплексную политику безопасности данных, в которой изложено, как PII доступна, хранится и передается. Политика также должна указывать, как будут проводиться внутренние аудиты и какой тип обучения получат сотрудники и сторонние поставщики в области соблюдения HIPAA.

Поскольку требования HIPAA сложны, многие поставщики медицинских услуг испытывают трудности с определением того, что включить в свои политики безопасности данных. В общем, включайте любую информацию, относящуюся к PII. Политика безопасности данных должна обновляться по мере необходимости и регулярно пересматриваться. По мере их обновления изменения должны быть четко доведены до сотрудников и деловых партнеров, чтобы их было легко внедрить в практику.

3. Назначьте ответственного за безопасность данных

Учитывая сложность правил и норм HIPAA, было бы неразумно ожидать, что сотрудники, не прошедшие специальное обучение в области безопасности данных, смогут разработать, внедрить и обеспечить соблюдение политики безопасности данных компании. Более крупные организации здравоохранения часто имеют команды специалистов по безопасности данных. Хотя это может быть невозможно для меньших компаний, важно иметь назначенного Офицера по безопасности HIPAA, поскольку это предписано Правилом безопасности.

Офицер по безопасности HIPAA или команда должны заниматься:

• Установлением и обеспечением соблюдения мер безопасности для соблюдения Правила безопасности.
• Решением любых вопросов, возникающих в отношении контроля доступа, восстановления после катастроф, непрерывности бизнеса или реагирования на инциденты.
• Проведением внутренних оценок рисков и содействием сторонним аудитам поставщиков и деловых партнеров.
• Расследованием утечек данных и внедрением мер для их предотвращения в будущем.

Интеграцией как соблюдения HIPAA, так и ИТ-безопасности в более широкие бизнес-стратегии компании.

4. Проводите регулярные оценки рисков

Офицеры по безопасности HIPAA несут ответственность за проведение регулярных оценок рисков и внедрение корректирующих мер, но сотрудники организации и деловые партнеры должны работать с Офицером по безопасности, предоставляя точную информацию. Проведение и документирование рутинных оценок рисков помогает организациям более эффективно готовиться к запросам на случайные аудиты HIPAA.

Когда организация выбирается для случайного аудита, команда безопасности должна подготовиться заранее, проведя комплексный внутренний аудит. Офис гражданских прав (OCR) предлагает все контрольные списки и инструменты оценки рисков, необходимые для этого. Многие организации проводят рутинные внутренние аудиты ежеквартально, чтобы упростить выявление потенциальных проблем.

Лучшее место для начала — это обзор документов, связанных с соблюдением, и учебных сессий для сотрудников, но не просто оценивайте, как выглядят политики HIPAA компании на бумаге. Офицер по безопасности также должен проводить обходы в различных областях медицинского учреждения, чтобы искать видимую информацию о пациентах на экранах компьютеров или столах.

5. Установите четкие протоколы обучения

Сотрудники поставщика медицинских услуг и его деловые партнеры должны проходить обзор политики конфиденциальности и защиты данных организации во время учебных сессий, связанных с HIPAA. Установление четких протоколов всегда важно.

Как Правило конфиденциальности, так и Правило безопасности предлагают рекомендации относительно того, как часто эти учебные сессии по HIPAA должны проводиться, не указывая при этом конкретные временные рамки. Новым сотрудникам необходимо предоставить обучение в “разумные сроки”, а дополнительные курсы повышения квалификации должны быть внедрены, когда учреждение вносит функциональные или материальные изменения в свои политики и процедуры, связанные с HIPAA.

Протоколы обучения должны варьироваться в зависимости от роли сотрудников. Учебные семинары по ИТ обычно содержат больше информации о том, как внедрять эффективные меры безопасности при хранении или передаче цифровых данных, например, в то время как сессии, предназначенные для медицинского персонала, могут больше сосредоточиться на личных действиях, которые необходимо предпринять для обеспечения соблюдения. Помните, что защита PII от угроз в реальной жизни так же важна, как и обеспечение адекватной безопасности данных, когда защищенная информация пациентов передается в цифровом виде.

Начните вносить изменения

Организации здравоохранения не должны ждать, пока они столкнутся с аудитом HIPAA или, что еще хуже, штрафами за несоблюдение, чтобы начать внедрять положительные изменения. Начните с найма назначенного Офицера по безопасности HIPAA с необходимым обучением для разработки конкретных политик, выбора надежных деловых партнеров и внедрения мер безопасности против утечек данных и внутренних угроз. С этого момента обеспечение соблюдения HIPAA в значительной степени сводится к поддержанию актуальности всего, от корпоративных политик до протоколов безопасности данных, и документированию всего, что касается хранения или передачи PII, чтобы защитить организацию в случае аудита.