¿Qué es la HIPAA?
La Ley de Portabilidad y Responsabilidad del Seguro de Salud (HIPAA) es una ley federal de Estados Unidos que protege la seguridad y la privacidad de la información sanitaria sensible. HIPAA se aplica a:
- Todas las personas, como cualquiera puede o puede poseer PHI.
- Planes de salud (una "entidad cubierta")
- Cámaras de compensación sanitaria (una "entidad cubierta")
- Proveedores sanitarios que cumplan los requisitos (una "entidad cubierta")
- Socios comerciales que prestan un servicio a o en nombre de una entidad cubierta
Creada por el Departamento Federal de Salud y Normas Humanas (HHS) en 1996, HIPAA contiene los siguientes estándares de protección de la privacidad, desglosados en cinco normas generales:
1. Norma de Seguridad HIPAA
La Norma de Seguridad de HIPAA aborda las salvaguardas administrativas, físicas y técnicas que las entidades cubiertas deben implementar para proteger la información sanitaria protegida electrónica (ePHI). Estas protecciones ayudan a garantizar la confidencialidad, integridad y seguridad de las PHI almacenadas, transmitidas o recibidas electrónicamente.
La Regla de Seguridad ayuda esencialmente a las entidades cubiertas a implementar y hacer cumplir las protecciones de privacidad enumeradas en la Regla de Privacidad HIPAA, en relación con ePHI. Debido en gran medida a la Ley HITECH, gran parte, si no la mayoría, de toda la información sanitaria de los pacientes está ahora en formato digital y, por tanto, está sujeta a la Norma de Seguridad HIPAA.
2. Norma de Privacidad HIPAA
La Regla de Privacidad de HIPAA, o Normas para la Privacidad de la Información Sanitaria Identificable Individualmente, establece estándares nacionales para la protección de cierta información sanitaria, específicamente la información sanitaria protegida (PHI), la información electrónica protegida de salud (ePHI) y la información personal identificable (PII) cuando se considera PHI.
La Regla de Privacidad de HIPAA otorga a los pacientes el derecho a:
- Solicitar correcciones en sus datos
- Accede a sus historiales médicos
- Limitar cómo sus datos sanitarios pueden ser compartidos por entidades cubiertas sin su autorización
- Asegúrate de que solo las partes autorizadas puedan acceder a la PHI
- Asegurar el uso y la divulgación adecuados de su información sanitaria
3. Regla de notificación de incumplimiento de la HIPAA
La Regla de Notificación de Incumplimiento de HIPAA exige que las entidades cubiertas por HIPAA y sus socios comerciales proporcionen notificación tras una violación de la PHI no asegurada. Específicamente, las entidades cubiertas deben notificar:
- Personas afectadas
- El Secretario de Salud y Servicios Humanos
- En ciertas circunstancias, los medios de comunicación
Los socios comerciales deben notificar a las entidades cubiertas si la infracción ha ocurrido dentro de su jurisdicción. La notificación debe ser proporcionada a las personas afectadas no más de 60 días después de la brecha e incluir:
- Una breve descripción de la brecha
- Qué tipo de información estaba involucrada
- Cómo deben protegerse las personas frente a posibles daños derivados de la brecha
- Cómo la entidad cubierta está gestionando la brecha y previniendo futuras violaciones
- Información de contacto de la entidad cubierta
4. Norma de Aplicación de la HIPAA
La Norma de Aplicación de HIPAA establece disposiciones conforme a:
- Cumplimiento de HIPAA
- Investigaciones de la HIPAA
- Procedimientos para las audiencias
- Sanciones económicas civiles (CMP) por violaciones de la HIPAA
5. Regla Omnibus de HIPAA
La Regla Omnibus de HIPAA es un conjunto de requisitos legales destinados a aumentar el nivel de seguridad y privacidad de la información sanitaria compartida entre proveedores sanitarios. La Regla Omnibus fue promulgada en 2013 para reforzar las protecciones establecidas bajo la Ley HITECH. También fue la Norma la que amplió la definición de "asociado comercial" para incluir "todas las entidades que creen, reciben, mantienen o transmiten PHI en nombre de una entidad cubierta, dejando claro que las empresas que almacenan PHI en nombre de proveedores de atención sanitaria y planes de salud son socios comerciales."
¿Qué es HITECH?
Junto con HIPAA está la Ley HITECH (Ley de Tecnología de la Información en Salud para la Salud Económica y Clínica), aprobada en 2009 y que insta a los proveedores sanitarios a:
- Adoptar los registros médicos electrónicos (EHR) para mejorar la calidad de la atención al paciente
- Cumplir con los requisitos ampliados de notificación de brechas de datos
- Proteger los datos de ePHI utilizando las protecciones de privacidad adecuadas
Tanto HIPAA como HITECH abordan la seguridad de ePHI, pero las medidas dentro de HITECH apoyan la aplicación de HIPAA a través de la Regla de Notificación de Violaciones y la Norma de Aplicación de HIPAA.
La importancia de la información sanitaria protegida (PHI)
La información sanitaria protegida (PHI) son datos sobre los pacientes:
A medida que la tecnología sigue expandiéndose, la definición de PHIP también lo hará. El cumplimiento de las leyes HIPAA dependerá en gran medida de la capacidad de las entidades cubiertas para anticiparse a estos cambios y identificar y asegurar correctamente la PHI en todas sus distintas formas.
Por qué los líderes sanitarios confían en Fortra para el cumplimiento de HIPAA y HITECH
Las soluciones de seguridad automatizadas y simplificadas de Fortrapueden ayudar a las entidades sanitarias a satisfacer más fácilmente las demandas de los auditores y a proteger los datos sanitarios mientras se esfuerzan por cumplir con los rigurosos requisitos de la Norma de Seguridad de HIPAA. Las entidades sanitarias cubiertas y sus socios comerciales cumplen con sus obligaciones bajo la Norma de Seguridad HIPAA a través de las probadas soluciones de ciberseguridad y cumplimiento normativo de Fortra. Por ejemplo, nuestras soluciones automatizadas de seguridad de datos abordan directamente los requisitos de seguridad de HIPAA, reduciendo el riesgo de errores humanos y disminuyendo la carga de cumplimiento para el personal de TI.
Soluciones Fortra para el cumplimiento de HIPAA
Nuestras soluciones de seguridad sanitaria te permiten no solo romper la cadena de ataques sanitarios, sino hacerlo de una manera que cumple con los requisitos críticos de cumplimiento de HIPAA y mantiene el nombre de tu organización fuera de los titulares de brechas. Fortra cubre datos sanitarios sensibles en todo momento, dondequiera que se encuentren.
El arsenal de soluciones listas para cumplir cumplimiento de Fortraaumenta la eficiencia y productividad, integra la automatización de forma fluida en tus procesos empresariales críticos y logra el cumplimiento de HIPAA con un impacto mínimo en tus recursos internos y flujo de trabajo.
Las soluciones de cumplimiento HIPAA de Fortra incluyen:
"El equipo de apoyo es una gran fortaleza. La facilidad de uso es buena y siempre disfruto de las interacciones. Están ahí para ayudarnos cuando lo necesitemos."
– Responsable de Integración en Southeastern Health
Recurso destacado
Pasos para garantizar el cumplimiento de HIPAA
Como muchas organizaciones descubren que son entidades cubiertas o socios comerciales sujetos a la ley HIPAA, la cuestión de cómo cumplir con HIPAA es lo que más nos preocupa. "Entidades cubiertas inesperadas" pueden incluir organizaciones en campos que van desde marketing hasta finanzas, y se espera que todas cumplan (consulta las preguntas frecuentes para más información).
Responsabilidades de las Entidades Cubiertas
Bajo HIPAA, las entidades cubiertas tienen la responsabilidad de:
- Otorgar a las personas los derechos descritos anteriormente
- Cumplir con las políticas de HIPAA que protegen la privacidad y seguridad de los datos de salud de los pacientes
Las responsabilidades incluyen:
Responsabilidades de privacidad
Responsabilidades de seguridad
Y más, incluyendo:
Pasos de cumplimiento de HIPAA
Realizar una evaluación de riesgos
Las entidades cubiertas han sido multadas por no implementar evaluaciones regulares de riesgos como parte de sus estrategias continuas conforme a HIPAA. Identificar y priorizar posibles amenazas de seguridad para PHI y ePHI, y tener en cuenta elementos como errores humanos, desastres naturales y deficiencias técnicas.
Las entidades cubiertas han sido multadas por no implementar evaluaciones regulares de riesgos como parte de sus estrategias continuas conforme a HIPAA. Identificar y priorizar posibles amenazas de seguridad para PHI y ePHI, y tener en cuenta elementos como errores humanos, desastres naturales y deficiencias técnicas.
Establecer controles de cumplimiento de HIPAA
Implementar salvaguardas PHI en las siguientes tres áreas:
- Administrativo: Forma a los empleados para que accedan y gestionen correctamente la información de información (PHI). Incluye acceso basado en roles, el principio de menor privilegio, mejores prácticas de almacenamiento y transmisión de PHI y ePHI, formación en concienciación de seguridad, controles de integridad y auditoría, y más.
- Físico: Proteger físicamente las áreas que contienen PHI y ePHI, como salas de servidores, archivadores y puestos de trabajo. Implementar políticas obligatorias de cierre de sesión o bloqueo de pantalla cuando los empleados no estén en sus escritorios, exigir tarjetas de identificación para acceder a información sanitaria sensible y bloquear los archivos en papel que contengan datos de salud de los pacientes.
- Técnico: Estas salvaguardas se centran en garantizar la seguridad de la PHI electrónica (ePHI) mediante el uso de soluciones de cumplimiento HIPAA orientadas a la ciberseguridad, como la transferencia segura de archivos (SFT), el cifrado de datos, la protección contra pérdidas de datos (DLP), la clasificación de datos y más.
Implementar salvaguardas PHI en las siguientes tres áreas:
- Administrativo: Forma a los empleados para que accedan y gestionen correctamente la información de información (PHI). Incluye acceso basado en roles, el principio de menor privilegio, mejores prácticas de almacenamiento y transmisión de PHI y ePHI, formación en concienciación de seguridad, controles de integridad y auditoría, y más.
- Físico: Proteger físicamente las áreas que contienen PHI y ePHI, como salas de servidores, archivadores y puestos de trabajo. Implementar políticas obligatorias de cierre de sesión o bloqueo de pantalla cuando los empleados no estén en sus escritorios, exigir tarjetas de identificación para acceder a información sanitaria sensible y bloquear los archivos en papel que contengan datos de salud de los pacientes.
- Técnico: Estas salvaguardas se centran en garantizar la seguridad de la PHI electrónica (ePHI) mediante el uso de soluciones de cumplimiento HIPAA orientadas a la ciberseguridad, como la transferencia segura de archivos (SFT), el cifrado de datos, la protección contra pérdidas de datos (DLP), la clasificación de datos y más.
Asignar un Oficial de Cumplimiento HIPAA
Establece una persona de referencia bajo HIPAA y una cadena de mando que les lleve a ella. Este equipo será responsable de liderar y hacer seguimiento de los esfuerzos relacionados con HIPAA, involucrando a todas las partes interesadas, supervisando la creación de prácticas de privacidad y seguridad bajo HIPAA, implementando la formación en cumplimiento de HIPAA para empleados y elaborando un plan de brechas que incluya notificaciones, informes y mitigaciones obligatorios según HIPAA.
Establece una persona de referencia bajo HIPAA y una cadena de mando que les lleve a ella. Este equipo será responsable de liderar y hacer seguimiento de los esfuerzos relacionados con HIPAA, involucrando a todas las partes interesadas, supervisando la creación de prácticas de privacidad y seguridad bajo HIPAA, implementando la formación en cumplimiento de HIPAA para empleados y elaborando un plan de brechas que incluya notificaciones, informes y mitigaciones obligatorios según HIPAA.
Crear un proceso de notificación de brechas
Establece un plan para facilitar la notificación obligatoria de brechas dentro de los 60 días siguientes a la descubrimiento de una brecha. Esto debe incluir notificar a la Oficina de Derechos Civiles (OCR) y a todas las partes afectadas. Incluir a los medios cuando la brecha afecte a más de 500 personas en una jurisdicción concreta, y todas las notificaciones deben realizarse "sin demora excesiva".
Establece un plan para facilitar la notificación obligatoria de brechas dentro de los 60 días siguientes a la descubrimiento de una brecha. Esto debe incluir notificar a la Oficina de Derechos Civiles (OCR) y a todas las partes afectadas. Incluir a los medios cuando la brecha afecte a más de 500 personas en una jurisdicción concreta, y todas las notificaciones deben realizarse "sin demora excesiva".
Documentar todas las políticas y procedimientos relacionados con HIPAA
Las normas de HIPAA exigen una documentación precisa de todas las políticas y procedimientos relacionados con HIPAA. En caso de una auditoría OCR, estos registros demostrarán el cumplimiento de la organización con HIPAA — o el incumplimiento de la organización. La documentación incluye:
Políticas de privacidad de HIPAA
Controles de seguridad HIPAA
Planes de remediación según la HIPAA
Informes de auditoría interna
Certificados de formación de empleados
Evaluaciones de riesgos
Las normas de HIPAA exigen una documentación precisa de todas las políticas y procedimientos relacionados con HIPAA. En caso de una auditoría OCR, estos registros demostrarán el cumplimiento de la organización con HIPAA — o el incumplimiento de la organización. La documentación incluye:
Políticas de privacidad de HIPAA
Controles de seguridad HIPAA
Planes de remediación según la HIPAA
Informes de auditoría interna
Certificados de formación de empleados
Evaluaciones de riesgos
Consecuencias y sanciones del incumplimiento de la HIPAA
Las violaciones de HIPAA ocurren cuando se han incumplido las Regulaciones de Simplificación Administrativa de HIPAA . El Reglamento de Simplificación Administrativa de HIPAA es "lo que la mayoría de la gente considera HIPAA porque contienen las Disposiciones Generales y la Norma de Aplicación (Parte 160), los Estándares para Transacciones Electrónicas y Elementos de Datos (Parte 162) y las Normas de Privacidad, Seguridad y Notificación de Brechas (Parte 164)." Sin embargo, no se publicaron con HIPAA en 1996, sino varios años después. A todos los efectos, los Reglamentos de Simplificación Administrativa son la parte regulatoria de la Ley HIPAA, que comprende todos los estándares y requisitos legales establecidos en las Normas HIPAA.
Son necesarias directrices muy específicas sobre cómo se almacenan y comparten los datos de salud por hospitales, clínicas, aseguradoras, centros de investigación, farmacias y organizaciones de salud pública para garantizar la privacidad del paciente. Traicionar la confianza de personas que han confiado sus datos conlleva consecuencias.
Preguntas frecuentes sobre el cumplimiento de HIPAA
Listas de verificación de normas de seguridad de HIPAA
La Regla de Seguridad HIPAA es un conjunto de normas nacionales que requieren lo apropiado:
- Salvaguardas administrativas
- Salvaguardas físicas
- Salvaguardas técnicas
Estas salvaguardas garantizan la confidencialidad, integridad y disponibilidad de la PHI electrónica que se crea, mantiene, recibe o utiliza una entidad cubierta. La Norma de Seguridad es un subconjunto de la Regla de Privacidad, aplicable únicamente a la información electrónica de salud, y explica cómo proteger los datos digitales de los pacientes tal y como está cubierto por la Norma de Privacidad. Su intención es proporcionar las especificaciones técnicas, físicas y administrativas necesarias para cumplir con la ley de privacidad HIPAA que protege los datos de salud digital.
Fortra ayuda a las entidades cubiertas y a los socios comerciales a cumplir con la Norma de Seguridad proporcionando las soluciones técnicas de seguridad necesarias para proteger la información sanitaria almacenada, transmitida y generada electrónicamente bajo la ley HIPAA. Estas incluyen soluciones para:
- Prevención de pérdida de datos (DLP)
- Transferencia segura gestionada de archivos (MFT)
- Clasificación de datos
- Colaboración segura
Existen tres categorías de salvaguardas para ayudar a garantizar que las entidades cubiertas y socios comerciales cumplan la Norma de Seguridad de HIPAA: administrativas, físicas y técnicas.
Salvaguardas administrativas para cumplir con los requisitos de las normas de seguridad de HIPAA
Según la Norma de Seguridad de HIPAA, las entidades cubiertas deben hacer cumplir:
Identificar y analizar riesgos
Designar a un Responsable de Privacidad
Gestionar el acceso a la información
Forma a tu plantilla
Evalúa políticas y procedimientos
Salvaguardas físicas para el cumplimiento de las normas de seguridad de HIPAA
Según la Norma de Seguridad de HIPAA, las entidades cubiertas deben implementar:
Limitar el acceso físico
Estaciones de trabajo y dispositivos seguros
Salvaguardas técnicas para el cumplimiento de las normas de seguridad de HIPAA
Según la Norma de Seguridad de HIPAA, las entidades cubiertas deben:
Controlar el acceso a ePHI
Controles de auditoría alrededor de ePHI
Garantizar la integridad de la ePHI
Asegurar la transmisión de ePHI
Descubre cómo Fortra puede ayudar con el cumplimiento de las normas de seguridad de HIPAA
Fortra es el único proveedor que necesitas para sentirte seguro de tu capacidad para implementar las salvaguardas técnicas centrales en el cumplimiento de las Normas de Seguridad de HIPAA.