CevroConformidade HIPAA para equipes de healthtech e saúde digital
A HIPAA se aplica às entidades cobertas e aos associados comerciais (business associates) que tratam informações de saúde protegidas em nome delas, o que inclui muitos fornecedores de software. A Regra de Segurança estabelece as expectativas para proteger as informações de saúde protegidas eletrônicas (ePHI).
As três famílias de salvaguardas
A Regra de Segurança organiza os requisitos em salvaguardas administrativas, físicas e técnicas. Algumas especificações são obrigatórias e outras «endereçáveis»: é preciso implementá-las ou documentar uma alternativa equivalente.
- Administrativas: análise de riscos, treinamento da equipe, gestão de acessos, procedimentos de incidentes
- Físicas: acesso às instalações e controle de dispositivos e mídias
- Técnicas: controle de acesso, registros de auditoria, proteção da integridade, segurança da transmissão
Contratos de associado comercial (BAA)
Se você trata ePHI para uma entidade coberta, precisa de um contrato de associado comercial (business associate agreement) com ela e com cada subcontratado que, por sua vez, acesse esses dados.
Notificação de violações
A Regra de Notificação de Violações exige informar as pessoas afetadas sem demora injustificada e, no máximo, 60 dias após a descoberta. Violações maiores também exigem aviso às autoridades e, em alguns casos, à mídia.
As evidências técnicas que importam
- Identificação única de usuários e acesso multifator aos sistemas com ePHI
- Criptografia em repouso e em trânsito
- Registros de auditoria mantidos e revisados
- Remoção rápida de acessos quando as pessoas saem
- Uma análise de riscos documentada e atual
Como a Cevro ajuda
- A Cevro executa verificações automáticas em 11 sistemas conectados (nuvem, código-fonte, identidade, pessoas e pagamentos) e associa cada resultado ao HIPAA e aos demais referenciais que você acompanha.
- Cada controle reprovado vem com uma correção específica e uma forma de verificá-lo de novo, e a lista de lacunas vira uma lista de tarefas.
- As evidências coletadas para um referencial são reaproveitadas nos outros, e o que uma varredura não consegue produzir vai para o cofre de evidências.
- Uma página de confiança ao vivo e evidências exportáveis permitem responder a clientes e auditores sem começar de uma planilha em branco.
Perguntas frequentes
Existe certificação HIPAA?
Não existe certificação HIPAA oficial. A conformidade é demonstrada por sua análise de riscos, salvaguardas, documentação e, com frequência, avaliações de terceiros.
A HIPAA se aplica fora dos Estados Unidos?
Aplica-se conforme você trate ou não informações de saúde protegidas para entidades cobertas americanas, e não conforme o país onde está sediado. Fornecedores estrangeiros que atendem clientes de saúde dos EUA costumam estar abrangidos.