O objetivo da HIPAA, ou Health Insurance Portability And Accountability Act, é manter a saúde dos pacientes e os dados de identificação pessoal seguros por meio de provisões de segurança padronizadas para a privacidade dos dados. Como a HIPAA se relaciona com o WiFi para convidados/público em prédios da área de saúde? Quais são os requisitos mais recentes da Privacy Rule que você deve conhecer para garantir a conformidade com o WiFi da HIPAA e evitar penalidades?
Conformidade com a HIPAA: Quais são as 3 regras da HIPAA?
A HIPAA, que foi sancionada em 1996, é composta por três componentes principais, ou as três regras da HIPAA.
- Regra de privacidade da HIPAA Foi atualizada pela última vez em 2002 para "estabelecer padrões nacionais para a proteção de informações de saúde individualmente identificáveis por três tipos de entidades cobertas: planos de saúde, câmaras de compensação de assistência médica e prestadores de serviços de saúde que realizam as transações padrão de assistência médica eletronicamente".
- Regra de segurança Foi finalizada em 2003 para definir "padrões nacionais para proteger a confidencialidade, a integridade e a disponibilidade de informações eletrônicas de saúde protegidas (ePHI)". Os tipos de informações que se qualificam como ePHI são os seguintes: - Nome - Endereço - Quaisquer datas (exceto anos) que estejam diretamente relacionadas a um indivíduo, incluindo aniversário, data de admissão ou alta, data de falecimento ou a idade exata de indivíduos com mais de 89 anos - Número de telefone - Número de fax - Endereço de e-mail - Número do seguro social - Número do registro médico - Número do beneficiário do plano de saúde - Número da conta - Número de certificado/licença - Identificadores de veículos, números de série ou números de placas de veículos - Identificadores de dispositivos ou números de série - URLs da Web - Endereço IP - Identificadores biométricos, como impressões digitais ou impressões de voz - Fotos de rosto inteiro - Quaisquer outros números, características ou códigos de identificação exclusivos
É importante observar que a Regra de Segurança não se aplica a informações de saúde protegidas (PHI) (ou informações de saúde individualmente identificáveis de um paciente) transmitidas oralmente ou por escrito, o que se enquadra na Regra de Privacidade
- Regra de notificação de violação Essa regra exige que "as entidades cobertas pela HIPAA e seus associados comerciais forneçam notificação após uma violação de informações de saúde protegidas não seguras".
Como a HIPAA afeta o WiFi
Então, qual é exatamente a importância da conformidade com a HIPAA WiFi? Com a integração das tecnologias da Internet aos sistemas de saúde com o objetivo de digitalizar e simplificar a criação, a coleta, o armazenamento, o gerenciamento e a transmissão de ePHI, a conformidade com a HIPAA WiFi, em particular, é crucial para a proteção contínua do direito do paciente à privacidade e à segurança dos dados quando o acesso e o uso dessas informações são feitos por meio de uma rede sem fio. Independentemente de você estar usando um portal cativo para login no WiFi de hóspedes ou criando uma lista de assinantes de SMS para enviar alertas e lembretes aos pacientes, o uso do WiFi de hóspedes como meio direto de comunicação é certamente conveniente, mas também apresenta desafios quando se trata de segurança de dados.
A Regra de Segurança da HIPAA é a mais relevante para a conformidade com o HIPAA WiFi. Há quatro salvaguardas técnicas na Regra de Segurança que se aplicam diretamente à proteção de ePHI:
- Controle de acesso
- Controle de auditoria
- Controle de integridade
- Segurança da transmissão
É na segurança da transmissão que entra a conformidade com a HIPAA do WiFi. As diretrizes para a segurança da transmissão especificam que "Uma entidade coberta deve implementar medidas técnicas de segurança que protejam contra o acesso não autorizado ao e-PHI que está sendo transmitido por uma rede eletrônica", como o WiFi.
Com um número crescente de organizações de saúde migrando seus dados para a nuvem, a instalação de uma rede WiFi em edifícios de saúde para atender às necessidades de hóspedes, pacientes e funcionários exige uma mentalidade de segurança em primeiro lugar para garantir a segurança da transmissão, conforme estipulado nas diretrizes da HIPAA. A escolha do provedor certo de uma rede WiFi segura deve ser uma prioridade máxima.
Conformidade HIPAA WiFi: Quais entidades são afetadas?
Existem basicamente dois tipos de organização que precisam garantir a conformidade com o HIPAA WiFi:
-
Prestadores de serviços de saúde Incluem todos os tipos de entidades de saúde que transmitem informações de saúde eletronicamente, como ao fazer transações, que podem incluir solicitações, encaminhamentos ou consultas de elegibilidade de benefícios; ao coletar informações básicas do paciente; ou ao acessar históricos de pacientes, entre outros.
-
Contratos e associados comerciais Referem-se a organizações que realizam determinadas atividades em nome de um provedor de serviços de saúde e que envolvem o uso de dados de saúde do paciente. Exemplos comuns incluem escritórios de advocacia, contadores e consultores externos.
Requisitos de conformidade de TI da HIPAA
Os requisitos de conformidade de TI da HIPAA, especificamente para a conformidade com o HIPAA WiFi, são amplamente cobertos pelo Security Rule Standard for Transmission Security. Esse padrão para as proteções tecnológicas da HIPAA exige que uma entidade coberta: "Implemente medidas técnicas de segurança para evitar o acesso não autorizado a informações eletrônicas de saúde protegidas que estejam sendo transmitidas por uma rede de comunicações eletrônicas." De acordo com a Regra de Segurança, uma rede eletrônica aberta deve ser adequadamente protegida para a transmissão segura de ePHI.
O Padrão de Segurança de Transmissão tem duas especificações de implementação: controles de integridade e criptografia.
Conformidade com HIPAA WiFi por meio de controles de integridade
Para garantir o controle de integridade para a conformidade com o HIPAA WiFi, uma entidade coberta deve "implementar medidas de segurança para garantir que as informações de saúde protegidas eletronicamente transmitidas não sejam modificadas indevidamente sem detecção até que sejam descartadas".
O uso de protocolos de comunicação de rede, que garantem que os dados enviados sejam iguais aos dados recebidos, é recomendado como o principal método para proteger a integridade do ePHI durante a transmissão. Códigos de autenticação de dados ou mensagens também podem ser considerados como medidas de segurança alternativas.
Conformidade com HIPAA WiFi por meio de criptografia
Como uma proteção razoável e apropriada e para a conformidade com o HIPAA WiFi, a entidade coberta deve usar métodos de criptografia ao transmitir ePHI em uma rede aberta, especialmente pela Internet.
As diretrizes do Padrão de Segurança de Transmissão para criptografia, conforme descrito na Série de Segurança HIPAA do Centers for Medicare & Medicaid Services (CMS), recomendam que "Uma entidade coberta deve discutir medidas de segurança razoáveis e apropriadas para a criptografia de EPHI durante a transmissão por redes de comunicações eletrônicas com seus profissionais de TI, fornecedores, associados comerciais e parceiros comerciais".
Práticas recomendadas para conformidade com a HIPAA
Vamos dar uma olhada nas práticas recomendadas de conformidade com a HIPAA ao usar uma rede WiFi.
Diretrizes para uso/acesso remoto do Ephi
De acordo com as diretrizes da política WiFi HIPAA, o acesso remoto a ePHI por meio de dispositivos portáteis (como unidades flash USB) ou o acesso ou transporte de ePHI fora do local por meio de laptops, PDAs, computadores domésticos ou outros sistemas ou hardwares externos que não sejam de propriedade/gerenciados por uma entidade coberta pela HIPAA só deve ser permitido "quando for claramente determinado como necessário por meio dos casos de negócios da entidade" e desde que o acesso esteja em conformidade com os requisitos aplicáveis da Regra de Privacidade da HIPAA.
O U.S. Department of Health & Human Services (HHS) desenvolveu diretrizes com relação ao acesso remoto ou ao uso de EPHI. As entidades cobertas devem dar ênfase e atenção significativas às suas
- Análise de riscos e estratégias de gerenciamento de riscos;
- Políticas e procedimentos para proteger os EPHI;
- Conscientização e treinamento de segurança sobre as políticas e os procedimentos de proteção de EPHI.
Diretrizes da política WiFi HIPAA para dispositivos móveis
As diretrizes da política WiFi HIPAA do HSS listam as seguintes dicas e informações para ajudar a proteger as informações de saúde dos pacientes ao usar dispositivos móveis.
- Use uma senha ou outra autenticação de usuário.
- Instale e ative a criptografia.
- Instale e ative a limpeza remota e/ou a desativação remota.
- Desative e não instale ou use aplicativos de compartilhamento de arquivos.
- Instale e ative um firewall.
- Instale e ative o software de segurança.
- Mantenha seu software de segurança atualizado.
- Pesquise sobre aplicativos móveis (apps) antes de fazer o download.
- Mantenha o controle físico dos seus dispositivos móveis.
- Use a segurança adequada para enviar ou receber informações de saúde em redes WiFi públicas.
- Exclua todas as informações de saúde armazenadas antes de descartar ou reutilizar o dispositivo móvel.
Roteador sem fio compatível com HIPAA
Não é possível oferecer um ótimo serviço de WiFi sem o hardware certo; para a conformidade com a HIPAA WiFi, é ainda mais importante usar a tecnologia WiFi mais recente, como um roteador sem fio compatível com a HIPAA. Kits desatualizados, por exemplo, podem resultar em níveis mais baixos de segurança de dados, o que pode afetar seriamente sua capacidade de estar em conformidade com a HIPAA.
Por exemplo, os pontos de acesso Beambox criam uma rede WiFi separada e isolada para convidados. Isso protege o tráfego de convidados da rede usada pela empresa ou organização, mas vai além disso. O Beambox também oferece isolamento de cliente, que isola o tráfego entre dispositivos individuais de convidados. Não há nada mais seguro do que isso.
Software WiFi em conformidade com a HIPAA
O software usado para controlar o acesso à sua rede WiFi é tão importante quanto o hardware, do ponto de vista da HIPAA.
Quando os pacientes usam o WiFi para convidados fornecido em uma sala de espera de uma clínica ou hospital, por exemplo, o nível adequado de segurança exigido para a conformidade do software HIPAA WiFi pode ser garantido:
- Solicitação de opt-in explícito de marketing durante o registro do WiFi;
- Implementação de SSL e criptografia de tráfego para todos os logins; e
- Armazenamento seguro de dados na nuvem.
Escolhendo o sistema WiFi correto para conformidade com a HIPAA
Para garantir a conformidade com a HIPAA WiFi, você deve escolher o sistema e o provedor WiFi certos para o seu local. Há várias maneiras de a equipe da Beambox garantir que nossos sistemas WiFi para hóspedes permaneçam em conformidade com a HIPAA:
- Documentamos de forma abrangente os serviços do Beambox que precisam estar em conformidade com a HIPAA e podemos fornecer os detalhes sob demanda;
- Podemos oferecer orientação e treinamento individualizados sobre como garantir que seu sistema Beambox seja gerenciado com segurança;
- Nossos funcionários são treinados regularmente em conformidade com a HIPAA para garantir que estejam cientes de todos os requisitos; e
- Nossos processos são auditados de forma independente quanto à conformidade com a HIPAA.
Também podemos fornecer uma cópia do nosso Relatório de Conformidade com a HIPAA (HROC) e referências de clientes da Beambox.
Não há como escapar do fato de que você precisa de um serviço WiFi compatível com a HIPAA se você opera no setor de saúde nos EUA. No entanto, você precisará de ajuda para implementar um sistema WiFi compatível com a HIPAA. Entre em contato conosco hoje mesmo para saber mais sobre a nossa solução WiFi compatível com HIPAA. Acelere o crescimento de sua empresa - comece hoje mesmo o teste gratuito do Beambox!
Comece a usar o marketing de WiFi gratuito
A Beambox ajuda empresas como a sua a crescer com captura de dados, automação de marketing e gerenciamento de reputação.
Registre-se por 30 dias grátis
