أنواع الضمانات الثلاثة
- إدارية (§164.308): تحليل المخاطر وإدارتها، وأمن الموظفين، والتدريب، وإجراءات الحوادث، وخطة الطوارئ، والتقييم.
- مادية (§164.310): الوصول إلى المرافق، واستخدام محطات العمل وأمنها، والتحكم في الأجهزة والوسائط.
- تقنية (§164.312): التحكم في الوصول، وضوابط التدقيق، والسلامة، والمصادقة، وأمن النقل.
ابدأ بتحليل المخاطر
يشترط البند §164.308(a)(1)(ii)(A) تقييماً دقيقاً وشاملاً للمخاطر التي تهدد سرية المعلومات الصحية الإلكترونية وسلامتها وإتاحتها. ويتوقف بقية برنامجك عليه.
شركاء الأعمال
كل من يعالج هذه المعلومات نيابة عنك يجب أن يوقّع اتفاقية شريك أعمال، ويخضع مباشرة لقاعدة الأمن.
مراجعة مقترحة
في يناير 2025، اقترحت وزارة الصحة الأمريكية (HHS) تحديثاً كبيراً لقاعدة الأمن. وإلى أن تُنشر قاعدة نهائية، تبقى القاعدة الحالية سارية: تحقق من وضع المقترح قبل أن تخطط على أساسه.
التوثيق والانتهاكات
- الاحتفاظ بالسياسات والسجلات المطلوبة لمدة ست سنوات (§164.316(b)(2)).
- الإبلاغ عن انتهاك المعلومات غير المؤمّنة دون تأخير غير معقول وخلال 60 يوماً تقويمياً من اكتشافه (§§164.404 إلى 164.408).
- تتطلب الانتهاكات التي تمس 500 شخص أو أكثر إخطار HHS في الوقت نفسه، ووسائل الإعلام في بعض الحالات.
أسئلة
- هل توجد شهادة HIPAA؟
- لا توجد شهادة رسمية. فوزارة الصحة لا تمنح الشركات شهادات. وتقدم جهات خارجية تقييمات، لكنها ليست شهادات حكومية.
- ما المواصفات القابلة للمعالجة (addressable)؟
- يجب أن تقيّمها وتطبقها إن كان ذلك معقولاً ومناسباً، أو توثّق سبب عدم تطبيقها وتعتمد بديلاً مكافئاً عند الاقتضاء. وهي ليست اختيارية.