CevroCumplimiento HIPAA para equipos de healthtech y salud digital
HIPAA se aplica a las entidades cubiertas y a los asociados comerciales (business associates) que tratan información de salud protegida en su nombre, lo que incluye a muchos proveedores de software. La Regla de Seguridad fija las expectativas para proteger la información de salud protegida electrónica (ePHI).
Las tres familias de salvaguardas
La Regla de Seguridad organiza los requisitos en salvaguardas administrativas, físicas y técnicas. Algunas especificaciones son obligatorias y otras «abordables»: hay que implementarlas o documentar una alternativa equivalente.
- Administrativas: análisis de riesgos, formación del personal, gestión de accesos, procedimientos de incidentes
- Físicas: acceso a las instalaciones y control de dispositivos y soportes
- Técnicas: control de acceso, registros de auditoría, protección de la integridad, seguridad de la transmisión
Contratos de asociado comercial (BAA)
Si tratas ePHI para una entidad cubierta, necesitas un contrato de asociado comercial (business associate agreement) con ella y con cada subcontratista que, a su vez, acceda a esos datos.
Notificación de brechas
La Regla de Notificación de Brechas exige informar a las personas afectadas sin demora injustificada y, como máximo, 60 días después del descubrimiento. Las brechas mayores también obligan a avisar a las autoridades y, en algunos casos, a los medios.
Las evidencias técnicas que importan
- Identificación única de usuarios y acceso multifactor a los sistemas con ePHI
- Cifrado en reposo y en tránsito
- Registros de auditoría conservados y revisados
- Retirada rápida de accesos cuando alguien se va
- Un análisis de riesgos documentado y actualizado
Cómo ayuda Cevro
- Cevro ejecuta comprobaciones automáticas sobre 11 sistemas conectados (nube, código fuente, identidad, personas y pagos) y asocia cada resultado con HIPAA y con los demás marcos que sigues.
- Cada control fallido incluye una corrección concreta y una forma de volver a comprobarlo, de modo que la lista de brechas se convierte en una lista de tareas.
- Las evidencias recogidas para un marco se reutilizan en los demás, y lo que un escaneo no puede producir va a la bóveda de evidencias.
- Una página de confianza en vivo y evidencias exportables permiten responder a clientes y auditores sin empezar desde una hoja de cálculo en blanco.
Preguntas frecuentes
¿Existe una certificación HIPAA?
No existe una certificación HIPAA oficial. El cumplimiento se demuestra con tu análisis de riesgos, tus salvaguardas, tu documentación y, a menudo, evaluaciones de terceros.
¿Se aplica HIPAA fuera de Estados Unidos?
Se aplica según si tratas o no información de salud protegida para entidades cubiertas estadounidenses, no según dónde estés establecido. Los proveedores extranjeros que atienden a clientes sanitarios de EE. UU. suelen estar incluidos.