Conformità HIPAA: Requisiti IT Essenziali per le Organizzazioni Sanitarie

Panoramica dei Requisiti IT HIPAA

Piuttosto che indicare tecnologie specifiche per la conformità, l'Health Insurance Portability and Accountability Act del 1996 (HIPAA) fornisce alle organizzazioni sanitarie linee guida per proteggere le informazioni sanitarie dei pazienti mantenute elettronicamente da abusi. Queste linee guida includono il controllo degli accessi ai dati sui sistemi informatici, l'istituzione di controlli di audit, l'autenticazione dei dati che l'organizzazione invia e riceve e l'autenticazione degli utenti del sistema.

Aree Chiave di Conformità IT

Controllo Accessi e Autorizzazioni

Ogni organizzazione deve sviluppare procedure o implementare tecnologie per concedere l'accesso tra il proprio personale ai sistemi informatici dell'organizzazione sanitaria. Il regolamento richiede procedure documentate per l'accesso basate sul ruolo o livello gerarchico del dipendente. Alcuni componenti di rete che un'organizzazione sanitaria può impiegare per controllare l'accesso interno includono sistemi Intranet (reti informatiche private) e hardware o software che stabiliscono un firewall per bloccare accessi non autorizzati.

Controlli di Audit

I responsabili della sicurezza delle organizzazioni sanitarie possono implementare tecnologie per creare tracce di audit o log che registrano ogni tentativo di accesso alle informazioni. I controlli di audit basati su tecnologia possono registrare irregolarità operative, come tentativi ripetuti di accesso alla rete non riusciti. Le organizzazioni sanitarie possono utilizzare una combinazione di policy amministrative e di rete, hardware e software per registrare e rispondere agli accessi non autorizzati alle informazioni.

Autenticazione dei Dati

Alcune organizzazioni sanitarie possono decidere di implementare tecnologie di crittografia per garantire la sicurezza dei dati trasmessi tra l'organizzazione e i suoi partner commerciali. La crittografia dei dati rende un messaggio illeggibile a chiunque tranne che a un destinatario con una chiave per decrittografare i dati. Oltre alla comunicazione con partner commerciali, le organizzazioni sanitarie possono implementare la crittografia per trasmettere dati clinici e risultati di laboratorio o per comunicare con i pazienti. Un'organizzazione può anche considerare l'implementazione di tecnologia per firme digitali e software antivirus per autenticare i dati e proteggere i sistemi informatici dagli hacker.

Autenticazione dell'Entità (Entity Authentication)

La Security Rule HIPAA richiede alle organizzazioni sanitarie di fornire a ogni dipendente un "identificativo utente univoco" per accedere ai sistemi informatici e implementare funzioni di disconnessione automatica alle workstation. Il regolamento raccomanda tecnologie di autenticazione utente che spaziano da password e numeri di identificazione personale (PIN) a sistemi di identificazione biometrica, come scansione di impronte digitali e iride, e smart card per verificare gli utenti autorizzati ad accedere a spazi fisici, terminali o dati archiviati sui sistemi informatici.