Конфіденційність пацієнтів і захист даних пацієнтів мають першочергове значення для медичних закладів. Однак зі зростанням кількості електронних медичних карток випадки несанкціонованого доступу та витоків даних пацієнтів стають дедалі частішими. Саме тут на допомогу приходить Закон про переносимість та підзвітність медичного страхування (HIPAA).
HIPAA — це федеральний закон, ухвалений 1996 року, який встановлює стандарти конфіденційності та безпеки захищеної медичної інформації (PHI). HIPAA покликаний створити основу для захисту конфіденційності пацієнтів і забезпечення конфіденційності, цілісності та доступності PHI. Закон містить два основні правила: Правило конфіденційності (Privacy Rule) і Правило безпеки (Security Rule). У цій статті ми зосередимося на Правилі конфіденційності, з’ясуємо, що воно передбачає і чому є важливим.
HIPAA — це абревіатура від
HIPAA було створено для вирішення кількох проблем, зокрема переносимості медичного страхування, спрощення адміністративних процедур, а також конфіденційності та безпеки PHI. До появи HIPAA не існувало федеральних норм, які регулювали б конфіденційність і безпеку PHI. HIPAA покликаний створити основу для захисту конфіденційності пацієнтів і забезпечення конфіденційності, цілісності та доступності PHI.
Положення HIPAA поділено на п’ять розділів, причому Розділ II безпосередньо стосується конфіденційності та безпеки PHI. Згідно з Розділом II, HIPAA має два основні правила: Правило конфіденційності та Правило безпеки. Правило конфіденційності встановлює національні стандарти захисту PHI і поширюється на медичних працівників, медичні плани та розрахункові центри у сфері охорони здоров’я. Правило безпеки встановлює стандарти захисту електронної PHI (ePHI) і поширюється лише на суб’єктів, які створюють, отримують, зберігають або передають ePHI.
HIPAA і
HIPAA встановлює суворі стандарти конфіденційності PHI. Суб’єкти, на яких поширюється закон, можуть використовувати та розкривати PHI лише для лікування, оплати та медичних операцій, або за згодою пацієнта, або в інших випадках, дозволених законом. Такі суб’єкти також мають впроваджувати заходи захисту PHI, зокрема адміністративні, фізичні та технічні. Ці заходи необхідно регулярно переглядати й оновлювати, щоб забезпечувати постійну відповідність вимогам.
Правило вимагає від медичних організацій отримувати письмову згоду пацієнтів перед використанням або розкриттям їхньої PHI, за винятком певних ситуацій, таких як лікування, оплата та медичні операції.
Згідно з HIPAA, пацієнти мають право:
- отримувати доступ до своїх медичних записів і вимагати їх виправлення
- отримувати від свого медичного закладу повідомлення про практики конфіденційності
- подавати скаргу до OCR, якщо вони вважають, що їхні права було порушено.
- призначити відповідальну особу з питань конфіденційності для нагляду за дотриманням HIPAA
- регулярно проводити навчання працівників щодо норм HIPAA
- укладати письмові угоди з діловими партнерами (business associate agreements) з постачальниками, які працюють з ePHI
- розробити політики та процедури для забезпечення відповідності Правилу конфіденційності.
Правило безпеки HIPAA встановлює стандарти захисту ePHI. Правило вимагає від медичних організацій впровадити конкретні адміністративні, фізичні та технічні заходи захисту для забезпечення конфіденційності, цілісності та доступності ePHI.
Правило безпеки HIPAA вимагає від медичних організацій:
- впровадити політики та процедури для запобігання порушенням безпеки, їх виявлення, стримування та усунення
- регулярно проводити оцінку ризиків для виявлення потенційних вразливостей
- впровадити програми навчання та підвищення обізнаності працівників у сфері безпеки
- запровадити контроль доступу, щоб обмежити доступ до ePHI лише уповноваженим персоналом
- шифрувати та розшифровувати ePHI під час зберігання або передачі
- впровадити засоби аудиту для запису та аналізу активності в інформаційних системах, що містять ePHI
- впровадити засоби контролю цілісності, щоб гарантувати, що ePHI не було змінено або знищено
- розробити плани на випадок непередбачених обставин для реагування на надзвичайні ситуації або інші інциденти, що пошкоджують системи з ePHI.
HIPAA вимагає від медичних організацій проводити оцінку ризиків, щоб виявляти потенційні вразливості та впроваджувати відповідні заходи захисту ePHI. Оцінка ризиків є важливим складником стратегії безпеки медичної організації, оскільки допомагає виявляти потенційні загрози та вразливості й визначати пріоритети заходів безпеки.
Оцінка ризиків для відповідності HIPAA передбачає аналіз адміністративних, фізичних і технічних заходів, що застосовуються для захисту ePHI. Організації мають оцінювати ймовірність і наслідки потенційних загроз для ePHI та визначати відповідні заходи для їх усунення.
Правило безпеки HIPAA також вимагає від медичних організацій впроваджувати обґрунтовані та належні заходи безпеки на основі результатів оцінки ризиків. Це включає впровадження політик і процедур безпеки, навчання працівників з питань безпеки, контролю доступу, шифрування, засобів аудиту та планування на випадок непередбачених обставин.
Порушення HIPAA можуть мати серйозні наслідки для суб’єктів, на яких поширюється закон, та їхніх ділових партнерів. Види покарань і штрафів залежать від тяжкості порушення, кількості постраждалих осіб і ступеня умислу.
Одне з поширених порушень HIPAA — неотримання згоди пацієнта перед розкриттям PHI. Це трапляється, коли медичні працівники розкривають захищену медичну інформацію пацієнтів особам або організаціям без письмової згоди пацієнта. Ще одне поширене порушення — невпровадження заходів захисту PHI, що може статися, коли медичні організації належним чином не захищають дані пацієнтів.
Несанкціонований доступ до PHI або її розкриття також є серйозним порушенням HIPAA. Це може статися, коли працівники чи інші особи отримують доступ до PHI, яку їм не дозволено переглядати, або коли PHI розкривається неуповноваженим сторонам. Ненадання пацієнтам доступу до їхньої власної PHI — ще одне порушення, яке виникає, коли медичні працівники не дають пацієнтам можливості переглянути або отримати копії своїх медичних записів.
Нарешті, ненавчання працівників політик і процедур HIPAA може призвести до порушень HIPAA. Це може статися, коли медичні організації належним чином не навчають своїх працівників важливості захисту даних пацієнтів або конкретних політик і процедур, пов’язаних із відповідністю HIPAA.
Порушення HIPAA тягнуть за собою серйозні покарання: від 100 до 50 000 доларів США за одне порушення, з максимумом 1,5 мільйона доларів США на рік за кожне порушення ідентичного положення. Окрім грошових штрафів, порушення норм HIPAA мають й інші негативні наслідки. Порушення можуть призвести до втрати довіри пацієнтів і клієнтів, негативної уваги ЗМІ та шкоди репутації організації. У деяких випадках порушення HIPAA можуть навіть призвести до кримінальної відповідальності та позбавлення волі.
Щоб проілюструвати тяжкість порушень HIPAA, варто згадати кілька випадків, коли медичні організації було оштрафовано за невідповідність. Наприклад, 2020 року Premera Blue Cross зобов’язали виплатити 6,85 мільйона доларів США для врегулювання потенційних порушень HIPAA. OCR встановило, що Premera не провела належного аналізу ризиків, не впровадила плани управління ризиками й не забезпечила послідовного шифрування ePHI, що призвело до витоку даних, який торкнувся понад 10 мільйонів осіб.
Так само 2019 року OCR оштрафувало University of Rochester Medical Center (URMC) на 3 мільйони доларів США за порушення HIPAA. OCR виявило, що URMC не шифрував ePHI на своїх мобільних пристроях, що призвело до витоку даних, який торкнувся понад 3000 осіб. URMC також не провів аналізу ризиків, не впровадив плани управління ризиками й не навчив свій персонал нормам HIPAA.
Щоб уникнути таких покарань, медичні організації повинні надавати пріоритет відповідності HIPAA та вживати проактивних заходів для захисту PHI. Це включає регулярний аналіз ризиків, впровадження планів управління ризиками, шифрування ePHI та навчання персоналу нормам HIPAA. Завдяки цьому медичні організації можуть уникнути дорогих порушень HIPAA та захистити конфіденційність і безпеку своїх пацієнтів.
Hideez Service усуває потребу в паролях, які є поширеним джерелом вразливостей безпеки. Рішення використовує мобільний застосунок, що забезпечує безпечну автентифікацію на робочому столі з біометричною верифікацією, а також апаратні ключі безпеки для автентифікації користувачів і надання доступу до захищених систем і даних.
Крім того, Hideez Authentication Service допомагає медичним організаціям дотримуватися правил безпеки HIPAA, забезпечуючи комплексні політики та процедури безпеки, контроль доступу та журнали аудиту. Щоб додатково підтримати медичні організації, Hideez пропонує
