Los tres tipos de salvaguarda
- Administrativas (§164.308): análisis y gestión de riesgos, seguridad del personal, formación, procedimientos de incidentes, plan de contingencia, evaluación.
- Físicas (§164.310): acceso a las instalaciones, uso y seguridad de los puestos de trabajo, control de dispositivos y soportes.
- Técnicas (§164.312): control de acceso, controles de auditoría, integridad, autenticación, seguridad de las transmisiones.
Empezar por el análisis de riesgos
El §164.308(a)(1)(ii)(A) exige una evaluación precisa y exhaustiva de los riesgos para la confidencialidad, la integridad y la disponibilidad de la información sanitaria electrónica. Todo lo demás de su programa depende de ella.
Socios comerciales
Quien trate esta información por cuenta suya debe firmar un business associate agreement, y está sujeto directamente a la Security Rule.
Una reforma propuesta
En enero de 2025, el HHS propuso una actualización importante de la Security Rule. Hasta que se publique una norma definitiva, la actual sigue en vigor: compruebe el estado de la propuesta antes de planificar en función de ella.
Documentación y brechas
- Conservar las políticas y los registros exigidos durante seis años (§164.316(b)(2)).
- Notificar una brecha de información no protegida sin demora injustificada y en los 60 días naturales siguientes a su descubrimiento (§§164.404 a 164.408).
- Las brechas que afectan a 500 personas o más exigen además avisar al HHS al mismo tiempo y, en algunos casos, a los medios.
Preguntas
- ¿Existe una certificación HIPAA?
- No existe ninguna oficial. El HHS no certifica empresas. Hay terceros que ofrecen evaluaciones, pero no son certificaciones gubernamentales.
- ¿Qué son las especificaciones addressable?
- Debe evaluarlas y aplicarlas si es razonable y apropiado, o documentar por qué no y adoptar una alternativa equivalente cuando proceda. No son opcionales.