건강 보험 이동성 및 책임법(HIPAA) 은 의료 정보 보호를 위한 데이터 개인정보 보호 및 보안 요건을 규정하는 미국 법률입니다. 이 법은 의료 보험사와 의료 기관의 허술한 보호 조치로 인한 사이버 공격으로 발생한 의료 데이터 유출 사고를 계기로 약 30년 전인 1996년에 제정되었습니다. 2013년에는 HITECH 법이 온라인 및 인터넷 서비스 모델로의 전환을 반영하여 HIPAA에 필요한 몇 가지 사항을 추가했습니다.
1996년 이후 HIPAA는 환자 의료 정보를 전자적으로 안전하게 저장하고 공유하는 절차를 포함하도록 개정되었습니다. 또한, 국가 표준을 확립하여 효율성을 높이고 행정 비용을 절감하기 위한 행정 간소화 조항도 포함되어 있습니다.
의료계에서 'HIPAA 준수'라고 하면 대부분 HIPAA 제2편을 준수하는 것을 의미합니다. 행정 간소화 조항으로도 알려진 제2편에는 다음과 같은 HIPAA 준수 요건이 포함됩니다.
국가 공급자 식별자 표준. 개인, 고용주, 건강 보험 및 의료 서비스 제공자를 포함한 각 의료 기관은 고유한 10자리 숫자를 가져야 합니다. 국가 공급자 식별자 숫자 또는 NPI.
거래 및 코드 세트 표준. 의료기관은 표준화된 메커니즘을 따라야 합니다. 전자 데이터 교환(EDI) 보험 청구를 제출하고 처리하기 위해서입니다.
HIPAA 개인 정보 보호 규칙. 공식적으로 개인 식별 건강 정보의 개인정보 보호 표준으로 알려진 이 규칙은 환자 건강 정보를 보호하기 위한 국가 표준을 수립합니다.
HIPAA 보안 규칙. 전자 보호 건강 정보(ePHI) 보호를 위한 보안 표준은 환자 데이터 보안에 대한 표준을 설정합니다.
HIPAA 시행 규칙. 이 규칙은 HIPAA 규정 위반에 대한 조사에 대한 지침을 제시합니다.
HIPAA 개인정보 보호 책임자: HIPAA 요구 사항을 준수해야 하는 대상 기관(해당 기관)은 서면으로 된 개인정보 보호 절차를 채택하고 지정해야 합니다. 개인정보보호책임자모든 필수 정책과 절차를 개발하고 구현할 책임을 맡습니다.
이는 중소기업에게 무엇을 의미할까요?
HIPAA는 HIPAA 적용 대상 기관으로 간주되는 조직에 적용됩니다. 또한 HIPAA는 적용 대상 기관과 협력하는 제3자를 사업 제휴사(BA)로 지정합니다. HIPAA는 HIPAA 데이터에 접근하는 제3자와 협력하는 적용 대상 기관이 해당 기관과 사업 제휴 계약(BAA)을 체결하도록 규정합니다. BAA는 BAA가 적용 대상 기관의 제3자로서 사용, 처리 또는 기타 방식으로 조작하는 PHI에 대한 특정 안전 조치를 부과하는 계약입니다.
HIPAA(미국 의료정보보호법) 적용 대상 기관이란 개인 건강 정보(PHI) 또는 개인 건강 기록(PHR)을 직접 처리하는 모든 조직 또는 기업을 말합니다. 적용 대상 기관은 PHI 및 PHR 보호를 위해 HIPAA 및 의료정보 기술법(HITECH)의 규정을 준수해야 합니다 .
적용 대상 기관은 세 가지 범주로 나뉩니다.
의료인. 의료 서비스 제공자로는 의사, 병원, 심리학자, 치과 의사, 척추 지압사, 요양원, 약국 등이 있습니다.
건강보험 플랜. 건강 보험 플랜에는 건강 보험 회사, 건강 유지 기관(HMO), 회사 건강 보험 플랜, 메디케어, 메디케이드, 군 의료 프로그램과 같은 정부 의료 프로그램이 포함됩니다.
의료 정보 센터. 의료 정보센터는 다른 기관으로부터 받은 비표준 의료 정보를 표준 형식으로 처리하거나, 반대로 표준 형식으로 처리하여 다른 기관에 제공하는 기관입니다. 의료 데이터 관리를 위한 청구 서비스 및 지역 의료 시스템이 그 예입니다.
기관은 HHS 온라인 도구를 사용하여 HIPAA 적용 대상 기관 또는 사업 제휴업체(BA)에 해당하는지 여부, 그리고 결과적으로 HIPAA를 준수해야 하는지 여부를 확인할 수 있습니다.
추가 사이버 보안 권장 사항
또한, 아래 권장 사항은 귀사와 귀하가 일상적으로 직면할 수 있는 다양한 위협으로부터 비즈니스를 안전하게 보호하는 데 도움이 될 것입니다. 아래 나열된 모든 제안은 CyberHoot의 vCISO 프로그램 개발 서비스를 통해 얻을 수 있습니다.
정책과 절차를 통해 직원을 관리하세요. 최소한 비밀번호 정책, 허용 가능한 사용 정책, 정보 처리 정책, 그리고 서면 정보 보안 프로그램(WISP)이 필요합니다.
직원들에게 발견 방법과 피하는 방법에 대한 교육을 실시합니다. 피싱 공격CyberHoot과 같은 학습 관리 시스템을 도입하여 직원들에게 자신감, 생산성, 보안을 강화하는 데 필요한 기술을 가르치세요.
직원들에게 피싱 공격을 연습해 보세요. CyberHoot의 피싱 테스트를 통해 기업은 직원들에게 믿을 만한 피싱 공격을 테스트하고, 실패한 직원들에게는 시정 피싱 교육을 실시할 수 있습니다.
다음을 포함한 중요한 사이버 보안 기술을 배포합니다. 이중 인증 모든 중요 계정에 대해 이메일 스팸 필터링을 활성화하고, 백업을 검증하고, DNS 보호를 구축하세요. 안티 바이러스모든 엔드포인트에서 맬웨어 방지 기능을 제공합니다.
재택근무가 보편화된 현대 사회에서는 보안을 검증(패치, 바이러스 백신, DNS 보호 등)하거나 해당 기기의 사용을 전면적으로 금지하여 네트워크에 연결된 개인 기기를 효과적으로 관리해야 합니다.
지난 2년 동안 제3자로부터 위험 평가를 받지 않았다면, 지금 당장 받아야 합니다. 조직 내에 위험 관리 프레임워크를 구축하는 것은 한정된 시간과 비용으로 가장 심각한 위험을 해결하는 데 매우 중요합니다.
치명적인 사고 발생 시 안전을 보장하는 사이버 보험에 가입하세요. 사이버 보험은 자동차, 화재, 홍수, 생명 보험과 마찬가지로 가장 필요한 순간에 든든하게 지원해 드립니다.
이러한 모든 권장 사항은 CyberHoot 제품 또는 CyberHoot의 vCISO 서비스에 포함되어 있습니다. CyberHoot을 통해 직원을 관리, 교육, 평가 및 테스트할 수 있습니다. 지금 바로 CyberHoot.com을 방문하여 서비스에 가입하세요. 최소한 매월 발행되는 사이버 보안 뉴스레터를 구독하여 최신 사이버 보안 정보를 받아보세요.
