O objetivo da HIPAA, ou Health Insurance Portability And Accountability Act, é manter a saúde dos pacientes e os dados de identificação pessoal seguros através de disposições de segurança normalizadas para a privacidade dos dados. Como é que a HIPAA se relaciona com o WiFi para hóspedes/público em edifícios de cuidados de saúde? Quais são os requisitos mais recentes da Regra de Privacidade que deve conhecer para garantir a conformidade com a HIPAA WiFi e evitar penalizações?
Conformidade com a HIPAA: Quais são as 3 regras da HIPAA
A HIPAA, que entrou em vigor em 1996, é constituída por 3 componentes principais, ou seja, as 3 regras da HIPAA.
- Regra de privacidade da HIPAA Foi actualizada pela última vez em 2002 para "estabelecer normas nacionais para a proteção de informações de saúde individualmente identificáveis por três tipos de entidades abrangidas: planos de saúde, centros de compensação de cuidados de saúde e prestadores de cuidados de saúde que efectuam as transacções normais de cuidados de saúde por via eletrónica."
- Regra de segurança Foi finalizada em 2003 para definir "normas nacionais de proteção da confidencialidade, integridade e disponibilidade de informações de saúde electrónicas protegidas (ePHI)". Os tipos de informação que se qualificam como ePHI são os seguintes: - Nome - Morada - Quaisquer datas (exceto anos) diretamente relacionadas com um indivíduo, incluindo o aniversário, a data de admissão ou alta, a data de óbito ou a idade exacta de indivíduos com mais de 89 anos - Número de telefone - Número de fax - Endereço de correio eletrónico - Número de segurança social - Número do registo médico - Número de beneficiário do plano de saúde - Número da conta - Número de certificado/licença - Identificadores de veículos, números de série ou números de matrículas - Identificadores de dispositivos ou números de série - URLs da Web - Endereço IP - Identificadores biométricos, como impressões digitais ou impressões de voz - Fotografias de rosto inteiro - Quaisquer outros números, caraterísticas ou códigos de identificação únicos
É importante notar que a Regra de Segurança não se aplica às informações de saúde protegidas (PHI) (ou às informações de saúde individualmente identificáveis de um doente) transmitidas oralmente ou por escrito, que são abrangidas pela Regra de Privacidade
- Regra de notificação de violação Esta regra exige que "as entidades abrangidas pela HIPAA e os seus associados comerciais forneçam uma notificação após uma violação de informações de saúde protegidas não seguras".
Como a HIPAA afecta o WiFi
Então, onde é que entra exatamente a conformidade com a HIPAA WiFi? Com a integração das tecnologias da Internet nos sistemas de saúde com o objetivo de digitalizar e simplificar a criação, recolha, armazenamento, gestão e transmissão de ePHI, a conformidade com a HIPAA WiFi, em particular, é crucial para a proteção contínua do direito do paciente à privacidade e segurança dos dados quando o acesso e a utilização dessas informações são feitos através de uma rede sem fios. Quer esteja a utilizar um portal cativo para iniciar sessão no WiFi dos hóspedes ou a criar uma lista de subscritores de SMS para enviar alertas e lembretes aos pacientes, a utilização do WiFi dos hóspedes como meio direto de comunicação é certamente conveniente, mas também apresenta desafios no que diz respeito à segurança dos dados.
A Regra de Segurança da HIPAA é a mais relevante para a conformidade com a HIPAA WiFi. Existem quatro salvaguardas técnicas ao abrigo da Regra de Segurança que se aplicam diretamente à proteção do ePHI:
- Controlo de acesso
- Controlo de auditoria
- Controlo da integridade
- Segurança da transmissão
A segurança da transmissão é o ponto de partida para a conformidade com a HIPAA do WiFi. As diretrizes para a segurança da transmissão especificam que "Uma entidade abrangida tem de implementar medidas de segurança técnica que protejam contra o acesso não autorizado aos dados de identificação pessoal eletrónico (e-PHI) que estão a ser transmitidos através de uma rede eletrónica", como o WiFi.
Com um número crescente de organizações de cuidados de saúde a migrar os seus dados para a nuvem, a instalação de uma rede WiFi em edifícios de cuidados de saúde para servir as necessidades dos hóspedes, pacientes e pessoal requer uma mentalidade de segurança em primeiro lugar para garantir a segurança da transmissão, tal como estipulado nas diretrizes da HIPAA. A escolha do fornecedor correto de uma rede WiFi segura deve ser uma prioridade máxima.
Conformidade HIPAA WiFi: Que entidades são afectadas?
Existem essencialmente dois tipos de organizações que têm de garantir a conformidade com a norma HIPAA WiFi:
-
Prestadores de cuidados de saúde Incluem todos os tipos de entidades de cuidados de saúde que transmitem informações de saúde eletronicamente, por exemplo, quando efectuam transacções, que podem incluir pedidos de reembolso, encaminhamentos ou pedidos de elegibilidade para prestações; quando recolhem informações básicas sobre os doentes; ou quando acedem ao historial dos doentes, entre outros.
-
Contratos comerciais e associados Referem-se a organizações que realizam determinadas actividades em nome de um prestador de cuidados de saúde e que envolvem a utilização de dados de saúde dos doentes. Exemplos comuns incluem empresas jurídicas, contabilistas e consultores externos.
Requisitos de conformidade de TI da HIPAA
Os requisitos de conformidade com as TI da HIPAA, especificamente para a conformidade com o HIPAA WiFi, são amplamente abrangidos pela Norma de Segurança para a Segurança da Transmissão. Esta norma para as salvaguardas tecnológicas da HIPAA exige que uma entidade abrangida: "Implementar medidas de segurança técnica para proteger contra o acesso não autorizado a informações de saúde protegidas electrónicas que estão a ser transmitidas através de uma rede de comunicações electrónicas." Ao abrigo da Regra de Segurança, uma rede eletrónica aberta tem de ser adequadamente protegida para a transmissão segura de ePHI.
A norma de segurança da transmissão tem duas especificações de aplicação: controlos de integridade e cifragem.
Conformidade HIPAA WiFi através de controlos de integridade
Para garantir o controlo de integridade para a conformidade com o HIPAA WiFi, uma entidade abrangida deve "Implementar medidas de segurança para garantir que as informações de saúde protegidas electrónicas transmitidas eletronicamente não são indevidamente modificadas sem deteção até serem eliminadas."
Recomenda-se a utilização de protocolos de comunicação em rede, que garantam que os dados enviados são iguais aos dados recebidos, como principal método de proteção da integridade do ePHI durante a transmissão. Os códigos de autenticação de dados ou mensagens também podem ser considerados como medidas de segurança alternativas.
Conformidade HIPAA WiFi através de encriptação
Como salvaguarda razoável e adequada e para cumprimento da norma HIPAA WiFi, uma entidade abrangida deve utilizar métodos de encriptação quando transmite o ePHI através de uma rede aberta, especialmente através da Internet.
As diretrizes da Norma de Segurança de Transmissão para encriptação, tal como descritas na Série de Segurança HIPAA dos Centers for Medicare & Medicaid Services (CMS), recomendam que "Uma entidade abrangida deve discutir medidas de segurança razoáveis e adequadas para a encriptação de EPHI durante a transmissão através de redes de comunicações electrónicas com os seus profissionais de TI, fornecedores, associados comerciais e parceiros comerciais."
Melhores práticas para conformidade com a HIPAA
Vejamos as melhores práticas para a conformidade com a HIPAA quando se utiliza uma rede WiFi.
Diretrizes para a utilização/acesso remoto do Ephi
De acordo com as diretrizes da política WiFi HIPAA, o acesso remoto ao ePHI através de dispositivos portáteis (como unidades flash USB) ou o acesso ou transporte externo do ePHI através de computadores portáteis, PDAs, computadores domésticos ou outros sistemas ou hardware externos não pertencentes/geridos por uma entidade abrangida pela HIPAA só deve ser permitido "quando for claramente determinado como necessário através do(s) caso(s) comercial(is) da entidade" e desde que o acesso cumpra os requisitos aplicáveis da Regra de Privacidade da HIPAA.
O U.S. Department of Health & Human Services (HHS) elaborou diretrizes relativas ao acesso remoto ou à utilização de EPHI. As entidades abrangidas devem dar grande ênfase e atenção às suas:
- Análise de riscos e estratégias de gestão de riscos;
- Políticas e procedimentos para salvaguardar os EPHI;
- Sensibilização e formação em matéria de segurança sobre as políticas e procedimentos de proteção dos dados de identificação pessoal.
Diretrizes da política WiFi HIPAA para dispositivos móveis
As diretrizes da política HIPAA WiFi do HSS enumeram as seguintes sugestões e informações para ajudar a proteger as informações de saúde dos doentes quando se utilizam dispositivos móveis.
- Utilizar uma palavra-passe ou outra forma de autenticação do utilizador.
- Instalar e ativar a encriptação.
- Instalar e ativar a limpeza remota e/ou a desativação remota.
- Desativar e não instalar ou utilizar aplicações de partilha de ficheiros.
- Instalar e ativar uma firewall.
- Instalar e ativar o software de segurança.
- Mantenha o seu software de segurança atualizado.
- Pesquise as aplicações móveis (apps) antes de as descarregar.
- Mantenha o controlo físico dos seus dispositivos móveis.
- Utilizar a segurança adequada para enviar ou receber informações de saúde através de redes WiFi públicas.
- Eliminar todas as informações de saúde armazenadas antes de deitar fora ou reutilizar o dispositivo móvel.
Router sem fios compatível com HIPAA
Não é possível fornecer um ótimo serviço WiFi sem o hardware certo; para a conformidade HIPAA WiFi, é ainda mais importante que utilize a mais recente tecnologia WiFi, como um router sem fios compatível com a HIPAA. Kits desactualizados, por exemplo, podem resultar em níveis mais baixos de segurança de dados que podem afetar gravemente a sua capacidade de estar em conformidade com a HIPAA.
Por exemplo, os pontos de acesso Beambox criam uma rede WiFi separada e isolada para convidados. Isto protege o tráfego de convidados da rede utilizada pela empresa ou organização, mas vai ainda mais longe. O Beambox também inclui o isolamento do cliente, que isola o tráfego entre os dispositivos individuais dos utilizadores. Não há nada mais seguro do que isso.
Software WiFi compatível com HIPAA
O software utilizado para controlar o acesso à sua rede WiFi é tão importante como o hardware, do ponto de vista da HIPAA.
Quando os pacientes utilizam o WiFi para convidados numa sala de espera de uma clínica ou hospital, por exemplo, o nível adequado de segurança exigido para a conformidade do software HIPAA WiFi pode ser assegurado:
- Solicitar a opção explícita de marketing durante o registo do WiFi;
- Implementar SSL e encriptação de tráfego para todos os logins; e
- Armazenamento seguro de dados na nuvem.
Escolher o sistema WiFi correto para a conformidade com a HIPAA
Para garantir a conformidade com o HIPAA WiFi, você deve escolher o sistema e o provedor WiFi certos para o seu local. Existem várias formas de a equipa da Beambox garantir que os nossos sistemas WiFi para hóspedes permanecem em conformidade com a HIPAA:
- Documentamos exaustivamente os serviços Beambox que têm de estar em conformidade com a HIPAA e podemos fornecer os pormenores a pedido;
- Podemos oferecer orientação e formação individuais sobre como garantir que o seu sistema Beambox é gerido de forma segura;
- Os nossos funcionários recebem regularmente formação sobre a conformidade com a HIPAA para garantir que estão cientes de todos os requisitos; e
- Os nossos processos são auditados de forma independente para garantir a conformidade com a HIPAA.
Também podemos fornecer uma cópia do nosso Relatório de Conformidade HIPAA (HROC) e referências de clientes da Beambox.
Não há como escapar ao facto de que você precisa de um serviço WiFi compatível com HIPAA se você opera dentro da indústria de saúde nos EUA. No entanto, vai precisar de ajuda para implementar um sistema WiFi compatível com a HIPAA. Entre em contacto connosco hoje para saber mais sobre a nossa solução WiFi compatível com HIPAA. Acelere o crescimento do seu negócio - comece hoje mesmo o seu teste gratuito do Beambox!
Comece a utilizar o marketing WiFi gratuito
A Beambox ajuda empresas como a sua a crescer através da recolha de dados, da automatização do marketing e da gestão da reputação.
Inscrever-se para 30 dias grátis
