Der Health Insurance Portability and Accountability Act (HIPAA) bietet eine Reihe von Standards zum Schutz sensibler Patientendaten. Unternehmen, die mit geschützten Gesundheitsinformationen (PHI) arbeiten, müssen über administrative, physische und technische Sicherheitsmaßnahmen verfügen, um HIPAA-konform zu sein.
Was ist PHI?
PHI steht für Public Health Information.
Die HIPAA-Datenschutzbestimmungen bieten bundesstaatlichen Schutz für PHI, die von betroffenen Unternehmen gespeichert werden. Die Datenschutzbestimmungen erlauben auch die Offenlegung von PHI, die für die Patientenversorgung und andere wichtige Zwecke erforderlich sind.
Abgedeckte Einheiten
Zu den abgedeckten Einheiten zählen alle Personen, die Behandlungen durchführen, Zahlungen annehmen oder im Gesundheitswesen tätig sind, sowie Geschäftspartner. Dazu gehört jeder, der über Patienteninformationen verfügt und Unterstützung bei Behandlungen, Zahlungen oder Operationen leistet. Alle abgedeckten Einheiten müssen HIPAA-konform sein. Subunternehmer und andere Geschäftspartner müssen ebenfalls HIPAA-konform sein.
Um festzustellen, ob Sie versichert sind, folgen Sie fehlen uns die Worte. Link.
Allgemeine Regeln
Die allgemeinen Sicherheitsvorschriften verlangen von den betroffenen Unternehmen, angemessene und geeignete administrative, technische und physische Sicherheitsvorkehrungen zum Schutz von PHI aufrechtzuerhalten.
- Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit aller PHI-bezogenen Einheiten, die diese erstellen, empfangen, verwalten oder übermitteln.
- Erkennen und schützen Sie sich vor vernünftigerweise vorhersehbaren Bedrohungen der Sicherheit oder Integrität der Informationen.
- Schutz vor vernünftigerweise vorhersehbaren, unzulässigen Verwendungen oder Offenlegungen.
- Stellen Sie sicher, dass die Mitarbeiter der betroffenen Unternehmen die Vorschriften einhalten.
Physische Schutzmaßnahmen
- Zugang und Kontrolle zu Einrichtungen
Eine betroffene Einheit muss den physischen Zugang zu ihren Einrichtungen beschränken und gleichzeitig sicherstellen, dass autorisierter Zugriff gestattet ist. - Sicherheit von Arbeitsstationen und Geräten
Eine betroffene Einheit muss Richtlinien und Verfahren implementieren, um die ordnungsgemäße Nutzung und den Zugriff auf Arbeitsstationen und elektronische Medien zu gewährleisten. Eine betroffene Einheit muss außerdem Richtlinien und Verfahren für die Übertragung, Entfernung, Entsorgung und Wiederverwendung elektronischer Medien implementieren, um einen angemessenen Schutz der geschützten Gesundheitsdaten zu gewährleisten.
Administrative Schutzmaßnahmen
- Sicherheitsmanagementprozess
Eine abgedeckte Einheit muss potenzielle Risiken für PHI identifizieren und analysieren und Sicherheitsmaßnahmen implementieren, die Risiken und Schwachstellen auf ein vernünftiges und angemessenes Maß reduzieren.
- Sicherheitspersonal
Eine betroffene Einheit muss einen Sicherheitsbeauftragten benennen, der für die Entwicklung und Umsetzung ihrer Sicherheitsrichtlinien und -verfahren verantwortlich ist.
- Informationszugriffsverwaltung
Eine abgedeckte Entität muss Richtlinien und Verfahren zur Autorisierung des Zugriffs auf PHI nur dann implementieren, wenn dieser Zugriff aufgrund der Rolle des Benutzers oder Empfängers angemessen ist.
- Personalschulung und -management
Eine abgedeckte Einheit muss für eine entsprechende Autorisierung und Überwachung der Mitarbeiter sorgen, die mit PHI arbeiten. - Evaluierung
Eine betroffene Einheit muss regelmäßig beurteilen, inwieweit ihre Sicherheitsrichtlinien und -verfahren den Anforderungen der Sicherheitsregel entsprechen.
Technische Sicherheitsmaßnahmen
- Zugangskontrolle
Eine abgedeckte Einheit muss technische Richtlinien und Verfahren implementieren, die nur autorisierten Personen den Zugriff auf elektronisch geschützte Gesundheitsinformationen (ePHI) ermöglichen.
- Prüfungskontrollen
Eine abgedeckte Entität muss Hardware-, Software- und/oder Verfahrensmechanismen implementieren, um Zugriffe und andere Aktivitäten in Informationssystemen, die ePHI enthalten oder verwenden, aufzuzeichnen und zu untersuchen.
- Integritätskontrollen
Eine betroffene Einheit muss Richtlinien und Verfahren implementieren, um sicherzustellen, dass elektronische PHI nicht unrechtmäßig verändert oder zerstört werden. Es müssen elektronische Maßnahmen ergriffen werden, um sicherzustellen, dass elektronische PHI nicht unrechtmäßig verändert oder zerstört wurden. - Getriebesteuerungen
Eine betroffene Einheit muss technische Sicherheitsmaßnahmen implementieren, die vor unbefugtem Zugriff auf über ein elektronisches Netzwerk übertragene elektronische PHI schützen.