Requisitos funcionais de sistemas de rede sob a HIPAA (Security Rule)

Provedores de saúde, planos de saúde, clearinghouses e patrocinadores de cartão de receita Medicare que transmitem informações de pacientes eletronicamente devem seguir a Security Rule da HIPAA. A regra visa proteger confidencialidade, disponibilidade e integridade da Informação de Saúde Protegida Eletronicamente (e-PHI).

Regras gerais

Sistemas de rede que transmitem e-PHI devem garantir confidencialidade, integridade e disponibilidade da informação que criam, recebem ou transmitem. Também devem proteger contra ameaças razoavelmente antecipadas à segurança/integridade e contra usos/divulgações não permitidas pela Privacy Rule.

Salvaguardas administrativas, físicas e técnicas

• Administrativas: ações, políticas e procedimentos para gerenciar seleção, desenvolvimento, implementação e manutenção de medidas de segurança para proteger e-PHI, além de gerenciar conduta da força de trabalho.
• Físicas: medidas, políticas e procedimentos físicos para proteger e-PHI da entidade coberta, incluindo edifícios e equipamentos contra riscos naturais/ambientais.
• Técnicas: tecnologia, políticas e procedimentos para seu uso que protejam e-PHI e controlem acesso, prevenindo intrusão não autorizada.

Requisitos organizacionais e de documentação

• Políticas e procedimentos documentados demonstrando implementação das regras.
• Contratos com associados de negócio padronizados e documentados.
• Processo documentado de conscientização de todos os funcionários sobre padrões implementados.
• Memorandos de entendimento entre entidades cobertas e associados (quando ambos governamentais) e requisitos para planos de saúde coletivos, com reconhecimento dos funcionários.
• Documentação escrita (pode ser eletrônica) de políticas, procedimentos, ações, atividades ou avaliações exigidas. Retenção, disponibilidade e atualização de todos os registros, incluindo reconhecimento dos funcionários.