Cumplimiento de la HIPAA
Muchas organizaciones tratan el cumplimiento de la HIPAA como un mero trámite burocrático: rellenar una plantilla de evaluación de riesgos una vez al año, guardar una carpeta con las políticas y seguir adelante. En realidad, las Normas de Seguridad y Privacidad se redactaron para exigir algo más exigente: una comprensión honesta y continua de dónde se encuentra la información sanitaria protegida, quién puede acceder a ella y qué ocurre cuando algo sale mal. Las organizaciones que se ven perjudicadas en una investigación relacionada con la HIPAA son casi siempre aquellas cuya documentación no se correspondía con su realidad.
Donde esto falla
Se supone que la evaluación de riesgos debe ser la base de todo el programa, y es lo que veo que se lleva a cabo de forma más superficial: una lista de comprobación extraída de una plantilla en lugar de un inventario real de por dónde circula realmente la ePHI: qué sistemas la almacenan, qué proveedores tienen contacto con ella, qué empleados disponen de un acceso que no necesitan y cuáles de esas vías de acceso nunca se han revisado desde el día en que se concedieron. Sin esa base, las medidas de seguridad administrativas, físicas y técnicas que se supone que deben derivarse de ella acaban siendo genéricas y desconectadas del riesgo real.
Cómo lo desarrollo
Comienzo con una evaluación real de riesgos: rastreando la información médica protegida electrónica (ePHI) a través de sus sistemas y de sus socios comerciales, no solo de su propia infraestructura. A partir de ahí, le ayudo a subsanar las deficiencias que surgen con mayor frecuencia: controles de acceso que se han alejado del principio del privilegio mínimo, registros de auditoría que existen pero que nadie revisa realmente, deficiencias en el cifrado de los datos en reposo o en tránsito, y acuerdos con socios comerciales que se firmaron una vez y nunca se revisaron, incluso cuando la relación y los flujos de datos cambiaron.
También insisto mucho en la preparación para la respuesta ante infracciones, ya que los requisitos de notificación de l HIPAA son específicos y tienen plazos fijos, y un plan que parece adecuado sobre el papel a menudo se desmorona la primera vez que alguien tiene que utilizarlo realmente bajo presión. Elaboramos y probamos un plan de respuesta que tiene en cuenta los plazos de notificación a las personas afectadas, al HHS y, en algunos casos, a los medios de comunicación, para que no tenga que improvisar esas decisiones durante un incidente real.
A quién va dirigido
Las entidades afectadas y los socios comerciales cuya última evaluación de riesgos se redujo a marcar casillas, las organizaciones sanitarias que incorporan nuevas tecnologías o proveedores que manejan información médica protegida electrónica (ePHI), y cualquier persona que haya estado a punto de sufrir un incidente y desee que su próxima evaluación de riesgos refleje la realidad.
Si ha llegado el momento de realizar una evaluación sincera de su programa de cumplimiento de la ley HIPAA, Contacte conmigo.