Die drei Arten von Schutzmaßnahmen
- Administrativ (§164.308): Risikoanalyse und -management, Personalsicherheit, Schulung, Vorfallverfahren, Notfallplan, Bewertung.
- Physisch (§164.310): Zugang zu Einrichtungen, Nutzung und Sicherheit von Arbeitsplätzen, Kontrolle von Geräten und Datenträgern.
- Technisch (§164.312): Zugriffskontrolle, Protokollierung, Integrität, Authentifizierung, Übertragungssicherheit.
Mit der Risikoanalyse beginnen
§164.308(a)(1)(ii)(A) verlangt eine genaue und gründliche Bewertung der Risiken für Vertraulichkeit, Integrität und Verfügbarkeit elektronischer Gesundheitsinformationen. Der Rest Ihres Programms hängt davon ab.
Geschäftspartner
Wer diese Informationen in Ihrem Auftrag verarbeitet, muss ein Business Associate Agreement unterzeichnen und unterliegt der Security Rule unmittelbar.
Eine vorgeschlagene Überarbeitung
Im Januar 2025 hat das HHS eine umfassende Aktualisierung der Security Rule vorgeschlagen. Bis eine endgültige Regel veröffentlicht ist, bleibt die geltende in Kraft: Prüfen Sie den Stand des Vorschlags, bevor Sie danach planen.
Dokumentation und Datenpannen
- Richtlinien und vorgeschriebene Aufzeichnungen sechs Jahre aufbewahren (§164.316(b)(2)).
- Eine Verletzung ungesicherter Informationen ohne unangemessene Verzögerung und innerhalb von 60 Kalendertagen nach Entdeckung melden (§§164.404 bis 164.408).
- Bei Verletzungen, die 500 oder mehr Personen betreffen, sind gleichzeitig das HHS und in manchen Fällen die Medien zu informieren.
Fragen
- Gibt es eine HIPAA-Zertifizierung?
- Eine offizielle gibt es nicht. Das HHS zertifiziert keine Unternehmen. Dritte bieten Bewertungen an, aber das sind keine staatlichen Zertifizierungen.
- Was sind addressable Spezifikationen?
- Sie müssen sie bewerten und umsetzen, wenn das angemessen ist, oder dokumentieren, warum nicht, und gegebenenfalls eine gleichwertige Lösung wählen. Optional sind sie nicht.