Cevroالامتثال لـHIPAA لفرق التقنية الصحية والصحة الرقمية
تنطبق HIPAA على الجهات المشمولة وعلى شركائها التجاريين (business associates) الذين يعالجون المعلومات الصحية المحمية نيابة عنها، ويشمل ذلك كثيرًا من موردي البرمجيات. وتضع قاعدة الأمن توقعات حماية المعلومات الصحية المحمية الإلكترونية (ePHI).
عائلات الضمانات الثلاث
تنظم قاعدة الأمن المتطلبات في ضمانات إدارية ومادية وتقنية. بعض المواصفات إلزامية وبعضها «قابل للمعالجة»، أي يجب تطبيقه أو توثيق بديل مكافئ.
- الإدارية: تحليل المخاطر وتدريب الموظفين وإدارة الوصول وإجراءات الحوادث
- المادية: الوصول إلى المنشآت وضبط الأجهزة والوسائط
- التقنية: ضبط الوصول وسجلات التدقيق وحماية السلامة وأمن النقل
اتفاقيات الشريك التجاري (BAA)
إذا كنت تعالج ePHI لصالح جهة مشمولة فأنت بحاجة إلى اتفاقية شريك تجاري (business associate agreement) معها، ومع كل مقاول فرعي يصل بدوره إلى تلك البيانات.
الإبلاغ عن الانتهاكات
تشترط قاعدة الإبلاغ عن الانتهاكات إخطار الأفراد المتضررين دون تأخير غير مبرر وفي موعد أقصاه 60 يومًا من الاكتشاف. وتستوجب الانتهاكات الأكبر إخطار الجهات الرقابية، وأحيانًا وسائل الإعلام.
الأدلة التقنية المهمة
- تحديد هوية فريد للمستخدمين ووصول متعدد العوامل إلى الأنظمة التي تحوي ePHI
- التشفير أثناء التخزين والنقل
- سجلات تدقيق محفوظة ومراجَعة
- إزالة الصلاحيات سريعًا عند مغادرة الأشخاص
- تحليل مخاطر موثق ومحدّث
كيف تساعدك Cevro
- تُجري Cevro فحوصات آلية على 11 نظامًا متصلًا (السحابة والشيفرة المصدرية والهوية والأفراد والمدفوعات) وتربط كل نتيجة بـHIPAA وبالأطر الأخرى التي تتابعها.
- يأتي مع كل ضابط فاشل إصلاح محدد وطريقة لإعادة التحقق منه، فتتحول قائمة الثغرات إلى قائمة مهام.
- تُعاد الاستفادة من الأدلة التي جُمعت لإطار ما في الأطر الأخرى، وما لا يستطيع الفحص إنتاجه يُحفظ في خزنة الأدلة.
- تتيح لك صفحة ثقة مباشرة وأدلة قابلة للتصدير الرد على العملاء والمدققين دون البدء من جدول بيانات فارغ.
الأسئلة الشائعة
هل توجد شهادة HIPAA؟
لا توجد شهادة HIPAA رسمية. يُثبت الامتثال عبر تحليل المخاطر والضمانات والتوثيق، وغالبًا عبر تقييمات من أطراف ثالثة.
هل تنطبق HIPAA خارج الولايات المتحدة؟
تنطبق بحسب ما إذا كنت تعالج معلومات صحية محمية لجهات أمريكية مشمولة، لا بحسب مكان إقامتك. وغالبًا ما يشملها الأمر الموردون غير الأمريكيين الذين يخدمون عملاء الرعاية الصحية الأمريكيين.