Health Insurance Portability and Accountability Act (HIPAA) är en amerikansk federal lag som fastställer nationella standarder för att skydda skyddad hälsoinformation (PHI), och kräver att berörda enheter implementerar administrativa, fysiska och tekniska skyddsåtgärder.
HIPAA kräver att berörda enheter, det vill säga vårdgivare, betalare och deras affärspartners, skyddar skyddad hälsoinformation genom administrativa, fysiska och tekniska skyddsåtgärder. Efterlevnad innebär att implementera åtkomstkontroller, revisionsloggning, kryptering under överföring och utbildning av personalen, plus regelbundna riskbedömningar för att bekräfta att dessa skyddsåtgärder förblir effektiva.
Key Takeaways
- PHI står för Protected Health Information, inte Public Health Information, och omfattar alla individuellt identifierbara hälsouppgifter som en berörd enhet skapar, tar emot, lagrar eller överför.
- Berörda enheter inkluderar alla som tillhandahåller behandling, hanterar betalningar eller stöder hälso- och sjukvårdsverksamhet, tillsammans med deras affärspartners och underleverantörer.
- HIPAA:s säkerhetsregel organiserar krav i tre kategorier: fysiska, administrativa och tekniska skyddsåtgärder.
- Tekniska skyddsåtgärder kräver åtkomstkontroll, revisionskontroller, integritetskontroller och överföringssäkerhet för elektronisk PHI (e-PHI).
- En utsedd säkerhetsansvarig måste ansvara för implementeringen av en organisations HIPAA-säkerhetspolicyer och -procedurer.
Vem räknas som en HIPAA-täckt enhet?
En täckt enhet är alla som tillhandahåller behandling, tar emot betalning eller verkar inom hälso- och sjukvård, tillsammans med sina affärspartners. Detta inkluderar sjukhus, försäkringsbolag, faktureringsföretag och alla leverantörer som behandlar PHI för en täckt enhets räkning, vilka alla självständigt måste upprätthålla HIPAA-efterlevnad.
Vilka fysiska skyddsåtgärder kräver HIPAA?
- Tillträde och kontroll av anläggningar: begränsa fysisk åtkomst till anläggningar samtidigt som behörig personal fortfarande kan komma in.
- Arbetsstations- och enhetssäkerhet: reglerar korrekt användning av arbetsstationer och elektroniska medier, plus policyer för överföring, borttagning, kassering och återanvändning av dessa medier.
Vilka administrativa skyddsåtgärder kräver HIPAA?
- Säkerhetshanteringsprocess: identifiera och analysera risker för PHI, och implementera sedan åtgärder som minskar dem till en rimlig nivå.
- Säkerhetspersonal: utse en tjänsteman som ansvarar för att utveckla och implementera säkerhetspolicyer.
- Hantering av informationsåtkomst: auktorisera åtkomst till PHI endast när det är lämpligt för en persons roll.
- Arbetskraftsutbildning: handleda och utbilda alla som arbetar med PHI.
- Utvärdering: bedöm regelbundet hur väl policyerna uppfyller säkerhetsreglernas krav.
Vilka tekniska säkerhetsåtgärder kräver HIPAA?
| Skydda | Krav |
|---|---|
| Åtkomstkontroll | Endast behöriga personer har tillgång till elektroniska PHI (e-PHI) |
| Revisionskontroller | Hårdvara, programvara eller procedurmekanismer registrerar och granskar åtkomst till e-PHI |
| Integritetskontroller | Policyer bekräftar att e-PHI inte har ändrats eller förstörts felaktigt |
| Överföringssäkerhet | Tekniska åtgärder skyddar e-PHI under överföring över ett elektroniskt nätverk, vanligtvis via TLS-kryptering |
Hur krypteringskonsulting hjälper
Encryption Consultings rådgivningstjänster för efterlevnad och molnbaserade dataskyddstjänster hjälper berörda enheter och affärspartners att kryptera PHI i vila och under överföring, upprätthålla åtkomstkontroller och dokumentera de tekniska skyddsåtgärder som HIPAA:s säkerhetsregel kräver. Stöds av ISO/IEC 27001:2022- och SOC 2-certifierade metoder.
Vanliga frågor om partihandel med mat och dryck
Vad står PHI för?
PHI står för Protected Health Information: individuellt identifierbara hälsouppgifter som en berörd enhet eller affärspartner skapar, tar emot, underhåller eller överför. HIPAA:s integritetsregel ger federalt skydd för dessa uppgifter samtidigt som det tillåter utlämnande som behövs för behandling och andra auktoriserade ändamål.
Vem måste följa HIPAA?
Berörda enheter, det vill säga alla som tillhandahåller behandling, hanterar betalningar eller stöder hälso- och sjukvårdsverksamhet, måste följa HIPAA, tillsammans med sina affärspartners och eventuella underleverantörer som dessa partners anlitar. Du kan bekräfta statusen som berörd enhet genom CMS:s officiella riktlinjer.
Vilka är HIPAA:s tre kategorier av skyddsåtgärder?
HIPAA:s säkerhetsregel organiserar kraven i fysiska skyddsåtgärder (säkerhet för anläggningar och enheter), administrativa skyddsåtgärder (riskhantering och utbildning av personal) och tekniska skyddsåtgärder (åtkomstkontroll, revisionskontroller, integritetskontroller och överföringssäkerhet).
Kräver HIPAA kryptering?
HIPAA:s säkerhetsregel kräver överföringssäkerhet för att skydda e-PHI över ett elektroniskt nätverk, och kryptering är standardsättet för att organisationer ska uppfylla det kravet, även om HIPAA behandlar det som en adresserbar snarare än en strikt obligatorisk teknisk specifikation, vilket innebär att den måste implementeras om inte ett dokumenterat motsvarande alternativ finns på plats.
Skydda PHI i hela din organisation
Ta nästa steg
Krypteringskonsulttjänster hjälper vårdorganisationer och affärspartners att kryptera PHI i vila och under överföring och dokumentera de skyddsåtgärder som HIPAA:s säkerhetsregel kräver. Förenkla er efterlevnadsprocess med Compliance Advisory Services.