Health Insurance Portability e Accountability Act (HIPAA)

Dal 1996, l'HIPAA è stato modificato per includere procedure per l'archiviazione e la condivisione elettronica sicura delle informazioni mediche dei pazienti. Include anche disposizioni di semplificazione amministrativa, volte ad aumentare l'efficienza e a ridurre i costi amministrativi attraverso la definizione di standard nazionali.

In ambito sanitario, l'adesione al Titolo II dell'HIPAA è ciò che la maggior parte delle persone intende quando si riferisce alla "conformità HIPAA". Noto anche come disposizioni di semplificazione amministrativa, il Titolo II include i seguenti requisiti di conformità HIPAA:

• Standard identificativo del fornitore nazionale. Ogni entità sanitaria, compresi individui, datori di lavoro, piani sanitari e fornitori di assistenza sanitaria, deve avere un codice univoco di 10 cifre Identificatore del fornitore nazionale numero, o NPI.
• Standard per transazioni e set di codici. Le organizzazioni sanitarie devono seguire un meccanismo standardizzato per scambio elettronico di dati (EDI) per presentare ed elaborare le richieste di risarcimento assicurativo.
• Regola di privacy HIPAA. Ufficialmente nota come Norme per la privacy delle informazioni sanitarie identificabili individualmente, questa norma stabilisce gli standard nazionali per la protezione delle informazioni sanitarie dei pazienti.
• Regola di sicurezza HIPAA. Gli standard di sicurezza per la protezione delle informazioni sanitarie elettroniche protette (ePHI) stabiliscono gli standard per la sicurezza dei dati dei pazienti.
• Regola di applicazione HIPAA. Questa norma stabilisce le linee guida per le indagini sulle violazioni della conformità HIPAA.
• Responsabile della privacy HIPAA: Le entità coperte (entità che devono conformarsi ai requisiti HIPAA) devono adottare una serie scritta di procedure sulla privacy e designare un responsabile della privacy essere responsabile dello sviluppo e dell'attuazione di tutte le politiche e procedure richieste.

Un'entità soggetta alla normativa HIPAA è qualsiasi organizzazione o società che gestisce direttamente informazioni sanitarie protette (PHI) o cartelle cliniche personali (PHR) . Le entità soggette alla normativa HIPAA sono tenute a rispettare le disposizioni dell'HIPAA e dell'HITECH Act (Health Information Technology for Economic and Clinical Health) per la protezione delle PHI e delle PHR.

Le entità interessate rientrano in tre categorie:

1. Fornitore di servizi sanitari. Gli operatori sanitari includono medici, cliniche, psicologi, dentisti, chiropratici, case di cura e farmacie.
2. Piano sanitario. I piani sanitari includono compagnie di assicurazione sanitaria, organizzazioni per la manutenzione sanitaria (HMO), piani sanitari aziendali e programmi sanitari governativi, come Medicare, Medicaid e programmi sanitari militari.
3. Centro di compensazione sanitaria. I centri di compensazione sanitaria sono entità che elaborano le informazioni sanitarie non standard ricevute da un'altra entità in un formato standard o viceversa. Tra gli esempi figurano i servizi di fatturazione e i sistemi sanitari comunitari per la gestione dei dati sanitari.

Le entità possono utilizzare lo strumento online dell'HHS per determinare se si qualificano come entità soggette alla normativa HIPAA o Business Associate (BA) e, di conseguenza, se devono conformarsi alla normativa HIPAA oppure no.

Ulteriori raccomandazioni sulla sicurezza informatica

Inoltre, i suggerimenti che seguono vi aiuteranno a proteggere voi e la vostra azienda dalle varie minacce che potreste incontrare quotidianamente. Tutti i suggerimenti elencati di seguito possono essere implementati avvalendosi dei servizi di sviluppo del programma vCISO di CyberHoot.

1. Gestisci i dipendenti con policy e procedure. Sono necessari almeno una policy sulle password, una policy di utilizzo accettabile, una policy sulla gestione delle informazioni e un programma di sicurezza delle informazioni (WISP) scritto.
2. Formare i dipendenti su come individuare ed evitare attacchi di phishingAdotta un sistema di gestione dell'apprendimento come CyberHoot per insegnare ai dipendenti le competenze di cui hanno bisogno per essere più sicuri, produttivi e protetti.
3. Testare i dipendenti con attacchi di phishing per fare pratica. I test di phishing di CyberHoot consentono alle aziende di testare i dipendenti con attacchi di phishing credibili e di sottoporre coloro che non superano il test a un corso di formazione sul phishing correttivo.
4. Distribuire tecnologie di sicurezza informatica critiche, tra cui autenticazione a due fattori su tutti gli account critici. Abilita il filtro antispam, convalida i backup, implementa la protezione DNS, antiviruse anti-malware su tutti i tuoi endpoint.
5. Nell'era moderna del lavoro da casa, assicurati di gestire i dispositivi personali che si connettono alla tua rete convalidandone la sicurezza (applicazione di patch, antivirus, protezioni DNS, ecc.) o vietandone completamente l'uso.
6. Se non avete effettuato una valutazione del rischio da una terza parte negli ultimi due anni, dovreste farlo ora. Definire un framework di gestione del rischio nella vostra organizzazione è fondamentale per affrontare i rischi più gravi con il tempo e il denaro limitati a disposizione.
7. Acquista un'assicurazione informatica per proteggerti in caso di guasto catastrofico. L'assicurazione informatica non è diversa dalle assicurazioni auto, incendio, alluvione o vita. È al tuo fianco quando ne hai più bisogno.

Tutte queste raccomandazioni sono integrate nel prodotto CyberHoot o nei servizi vCISO di CyberHoot. Con CyberHoot puoi gestire, formare, valutare e testare i tuoi dipendenti. Visita CyberHoot.com e iscriviti oggi stesso ai nostri servizi. Inoltre, continua ad aggiornarti iscrivendoti alle nostre newsletter mensili sulla sicurezza informatica per rimanere sempre al passo con le ultime novità in materia.