Krankenversicherungs-Portabilitäts- und Rechenschaftsgesetz (HIPAA)

Seit 1996 wurde der HIPAA um Verfahren zur sicheren elektronischen Speicherung und Weitergabe medizinischer Patientendaten erweitert. Er enthält außerdem Bestimmungen zur Verwaltungsvereinfachung, die durch die Festlegung nationaler Standards die Effizienz steigern und die Verwaltungskosten senken sollen.

Im Gesundheitswesen ist mit „HIPAA-Compliance“ meist die Einhaltung von HIPAA-Titel II gemeint. Titel II, auch bekannt als Bestimmungen zur Verwaltungsvereinfachung, enthält die folgenden HIPAA-Compliance-Anforderungen:

• Nationaler Anbieterkennungsstandard. Jede Gesundheitseinrichtung, einschließlich Einzelpersonen, Arbeitgeber, Krankenkassen und Gesundheitsdienstleister, muss über eine eindeutige 10-stellige Nationale Anbieterkennung Nummer oder NPI.
• Transaktions- und Codesatzstandard. Gesundheitsorganisationen müssen einen standardisierten Mechanismus befolgen für Elektronischer Datenaustausch (EDI) um Versicherungsansprüche geltend zu machen und zu bearbeiten.
• HIPAA-Datenschutzregel. Diese offiziell als „Standards for Privacy of Individually Identifiable Health Information“ bekannte Regelung legt nationale Standards zum Schutz der Gesundheitsdaten von Patienten fest.
• HIPAA-Sicherheitsregel. Die Sicherheitsstandards zum Schutz elektronisch geschützter Gesundheitsinformationen (ePHI) legen Standards für die Sicherheit von Patientendaten fest.
• HIPAA-Durchsetzungsregel. Diese Regel legt Richtlinien für die Untersuchung von Verstößen gegen die HIPAA-Konformität fest.
• HIPAA-Datenschutzbeauftragter: Abgedeckte Einheiten (Einheiten, die die HIPAA-Anforderungen erfüllen müssen) müssen einen schriftlichen Satz von Datenschutzverfahren verabschieden und einen Datenschutzbeauftragter für die Entwicklung und Umsetzung aller erforderlichen Richtlinien und Verfahren verantwortlich sein.

Eine HIPAA-pflichtige Einrichtung ist jede Organisation oder jedes Unternehmen, das direkt mit geschützten Gesundheitsdaten (PHI) oder persönlichen Gesundheitsakten (PHRs) arbeitet. Diese Einrichtungen sind verpflichtet, die Bestimmungen des HIPAA und des Health Information Technology for Economic and Clinical Health (HITECH) Act zum Schutz von PHI und PHRs einzuhalten .

Die abgedeckten Einheiten lassen sich in drei Kategorien einteilen:

1. Krankenversicherung. Zu den Gesundheitsdienstleistern zählen Ärzte, Kliniken, Psychologen, Zahnärzte, Chiropraktiker, Pflegeheime und Apotheken.
2. Gesundheitsplan. Zu den Krankenversicherungsplänen zählen Krankenversicherungsgesellschaften, Health Maintenance Organizations (HMOs), betriebliche Krankenversicherungspläne und staatliche Gesundheitsprogramme wie Medicare, Medicaid und militärische Gesundheitsprogramme.
3. Clearingstelle für das Gesundheitswesen. Clearingstellen im Gesundheitswesen sind Einrichtungen, die nicht standardisierte Gesundheitsinformationen, die sie von anderen Einrichtungen erhalten, in ein Standardformat umwandeln oder umgekehrt. Beispiele hierfür sind Abrechnungsdienste und kommunale Gesundheitssysteme zur Verwaltung von Gesundheitsdaten.

Organisationen können mithilfe des Online-Tools des US-Gesundheitsministeriums (HHS) feststellen, ob sie als HIPAA-pflichtige Einrichtung oder BA gelten und ob sie folglich die Bestimmungen von HIPAA einhalten müssen oder nicht.

Zusätzliche Empfehlungen zur Cybersicherheit

Darüber hinaus helfen Ihnen die folgenden Empfehlungen, sich und Ihr Unternehmen vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.