Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA)

Desde 1996, la HIPAA se ha modificado para incluir procesos que permitan almacenar y compartir electrónicamente de forma segura la información médica de los pacientes. También incluye disposiciones de simplificación administrativa, cuyo objetivo es aumentar la eficiencia y reducir los costos administrativos mediante el establecimiento de estándares nacionales.

En el ámbito sanitario, la mayoría de las personas se refieren al cumplimiento de la HIPAA al Título II. También conocido como disposiciones de Simplificación Administrativa, el Título II incluye los siguientes requisitos de cumplimiento de la HIPAA:

• Estándar Nacional de Identificador de Proveedor. Cada entidad de atención médica, incluidos individuos, empleadores, planes de salud y proveedores de atención médica, debe tener un código único de 10 dígitos. Identificador Nacional de Proveedor número, o NPI.
• Estándar de transacciones y conjuntos de códigos. Las organizaciones de atención médica deben seguir un mecanismo estandarizado para intercambio electrónico de datos (EDI) con el fin de presentar y procesar reclamaciones de seguros.
• Regla de privacidad de HIPAA. Oficialmente conocida como Estándares para la Privacidad de la Información de Salud Individualmente Identificable, esta regla establece estándares nacionales para proteger la información de salud del paciente.
• Regla de seguridad de HIPAA. Las Normas de Seguridad para la Protección de la Información Electrónica de Salud Protegida (ePHI) establecen estándares para la seguridad de los datos de los pacientes.
• Regla de cumplimiento de HIPAA. Esta regla establece pautas para las investigaciones de violaciones al cumplimiento de HIPAA.
• Oficial de Privacidad de HIPAA:Las entidades cubiertas (entidades que deben cumplir con los requisitos de HIPAA) deben adoptar un conjunto escrito de procedimientos de privacidad y designar un oficial de privacidad Ser responsable de desarrollar e implementar todas las políticas y procedimientos requeridos.

Una entidad cubierta por la HIPAA es cualquier organización o corporación que maneja directamente información de salud protegida (PHI) o registros de salud personales (PHR) . Las entidades cubiertas están obligadas a cumplir con la HIPAA y las disposiciones de la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) para la protección de la PHI y los PHR.

Las entidades cubiertas se dividen en tres categorías:

1. Proveedor de cuidado de la salud. Los proveedores de atención médica incluyen médicos, clínicas, psicólogos, dentistas, quiroprácticos, hogares de ancianos y farmacias.
2. Plan de salud. Los planes de salud incluyen compañías de seguros de salud, organizaciones de mantenimiento de la salud (HMO), planes de salud de empresas y programas de atención médica gubernamentales, como Medicare, Medicaid y programas de atención médica militar.
3. Centro de intercambio de información sanitaria. Los centros de intercambio de información sanitaria son entidades que procesan la información sanitaria no estandarizada que reciben de otra entidad a un formato estándar, o viceversa. Algunos ejemplos son los servicios de facturación y los sistemas de salud comunitarios para la gestión de datos sanitarios.

Las entidades pueden utilizar la herramienta en línea del HHS para determinar si califican como una entidad cubierta por HIPAA o una asociación comercial y, en consecuencia, si deben cumplir con HIPAA o no.

Recomendaciones adicionales de ciberseguridad

Además, las siguientes recomendaciones le ayudarán a usted y a su empresa a mantenerse seguros frente a las diversas amenazas cotidianas. Todas las sugerencias que se enumeran a continuación se pueden obtener contratando los servicios de desarrollo del programa vCISO de CyberHoot.

1. Gestione a sus empleados con políticas y procedimientos. Necesita, como mínimo, una política de contraseñas, una política de uso aceptable, una política de gestión de la información y un programa de seguridad de la información (WISP) por escrito.
2. Capacite a los empleados sobre cómo detectar y evitar ataques de phishingAdopte un sistema de gestión del aprendizaje como CyberHoot para enseñar a los empleados las habilidades que necesitan para ser más seguros, productivos y confiados.
3. Pruebe a sus empleados con ataques de phishing para practicar. Las pruebas de phishing de CyberHoot permiten a las empresas probar a sus empleados con ataques de phishing creíbles y capacitar a quienes no lo logran para corregirlos.
4. Implementar tecnología de ciberseguridad crítica que incluya autenticación de dos factores en todas las cuentas críticas. Habilite el filtrado de spam, valide las copias de seguridad e implemente la protección DNS. antivirusy anti-malware en todos sus puntos finales.
5. En la era moderna del trabajo desde casa, asegúrese de administrar los dispositivos personales que se conectan a su red validando su seguridad (parches, antivirus, protección de DNS, etc.) o prohibiendo su uso por completo.
6. Si no ha realizado una evaluación de riesgos por parte de un tercero en los últimos dos años, debería hacerlo ahora. Establecer un marco de gestión de riesgos en su organización es fundamental para abordar los riesgos más graves con el tiempo y el dinero limitados disponibles.
7. Contrate un seguro cibernético para protegerse en caso de una falla catastrófica. El seguro cibernético no es diferente a un seguro de auto, incendio, inundación o vida. Está ahí cuando más lo necesita.

Todas estas recomendaciones están integradas en CyberHoot, tanto en su producto como en sus servicios de vCISO. Con CyberHoot, puede gestionar, capacitar, evaluar y poner a prueba a sus empleados. Visite CyberHoot.com y regístrese hoy mismo. Como mínimo, siga aprendiendo suscribiéndose a nuestros boletines mensuales de ciberseguridad para mantenerse al día con las últimas novedades.