HIPAA-sikkerhed og sårbarhedsvurderinger: Beskyttelse af patienters sundhedsdata

The Health Insurance Portability and Accountability Act fastlægger sikkerheds- og sårbarhedsvurderingskrav for at beskytte elektronisk sundhedsinformation. Sikkerhedskrav omfatter tekniske og ikke-tekniske beskyttelsesforanstaltninger for elektronisk sundhedsinformation. Sårbarhedsvurderinger hjælper med at bestemme, hvilke beskyttelsesforanstaltninger der er passende for hver sundhedsudbyder/organisation.

Beskyttet information

HIPAA-sikkerhedskrav gælder for alt elektronisk gemt, overført og/eller sendt identificerbar sundhedsinformation. Individuel identificerbar sundhedsinformation omfatter, men er ikke begrænset til: navne, adresser, sundhedsforsikringsoplysninger, betalingsoplysninger, sundhedshistorik, behandlingsplaner, diagnoser, social security-nummer og telefonnumre.

Tekniske beskyttelsesforanstaltninger

Tekniske krav gælder for computere og andre elektroniske enheder, der indeholder sundhedsinformation. Sundhedsorganisationer skal installere elektronisk sikkerhedshardware eller -software, beskytte elektronisk netværkstransmission og tillade få autoriserede personer adgang til elektronisk sundhedsinformation. Desuden kræver HIPAA skriftlige politikker og procedurer for elektroniske sikkerhedsforanstaltninger.

Ikke-tekniske beskyttelsesforanstaltninger

Udnævn en sikkerhedsofficer, der er ansvarlig for sikkerhedspolitikker og -procedurer. Lever HIPAA-sikkerhedstræning på regelmæssig basis, typisk årligt. Begræns adgang til alle områder og giv adgang kun til de medarbejdere eller patienter, for hvem det er absolut nødvendigt. Dette omfatter arbejdsområder og undersøgelseslokale.

Sårbarhedsvurdering

HIPAA kræver løbende sårbarhedsvurderinger, der gennemgår, sporer, registrerer og evaluerer sikkerhedsforanstaltninger for risici, hændelser og effektivitet. Sårbarhedsvurderingsplanen skal indgå i politikker og procedurer. Typisk skriver, udvikler og implementerer sikkerhedsofficeren sårbarhedsvurderingen på kvartalsbasis.