Salvaguardas HIPAA para PHI: Requisitos Físicos, Técnicos e Administrativos

Para proteger a privacidade e segurança da Informação de Saúde Protegida (PHI), a HIPAA exige que entidades cobertas e associados comerciais implementem salvaguardas em três domínios garantindo confidencialidade, integridade e disponibilidade.

Salvaguardas Físicas (§164.310)

• Controles de Acesso à Instalação: Restringir acesso físico a áreas contendo PHI (controle de acesso por crachá, registros de visitantes, segurança)
• Uso e Segurança de Estação de Trabalho: Políticas para uso adequado, posicionamento de tela, deslogon automático, bloqueio de dispositivo
• Controles de Dispositivo e Mídia: Descarte, reutilização, responsabilidade e remoção de dados para hardware/mídia contendo PHI

Salvaguardas Técnicas (§164.312)

• Controle de Acesso: IDs de usuário únicos, procedimentos de acesso de emergência, deslogon automático, criptografia/descriptografia
• Controles de Auditoria: Hardware/software/mecanismos para registrar e examinar atividade em sistemas contendo PHI
• Controles de Integridade: Proteger PHI contra alteração ou destruição indevida (checksums, assinaturas digitais)
• Segurança de Transmissão: Criptografar PHI em trânsito (TLS 1.2+); controles de integridade para transmissão eletrônica

Salvaguardas Administrativas (§164.308)

• Designação de Oficial de Segurança: Indivíduo designado responsável por políticas/procedimentos
• Treinamento da Força de Trabalho: Treinamento regular, baseado em função, sobre políticas e procedimentos de privacidade/segurança
• Análise de Risco: Avaliação de risco abrangente periódica (pelo menos anualmente, mais revisões acionadas)
• Gerenciamento de Risco: Implementar medidas de mitigação para riscos identificados
• Política de Sanção: Consequências para violações da força de trabalho
• Revisão de Atividade do Sistema de Informação: Revisão regular de logs de auditoria
• Plano de Contingência: Backup de dados, recuperação de desastres, operação em modo de emergência, teste
• Acordos de Associado Comercial (BAAs): Necessários para todos os fornecedores que manuseiam PHI

Requisitos Adicionais

• Notificação de Violação: <60 dias para violações afetando ≥500 indivíduos; anual para violações menores
• Desidentificação: Métodos Safe Harbor (18 identificadores removidos) ou Determinação de Especialista
• Auditorias e Monitoramento de Conformidade Regulares: Internas e externas

Implementar essas salvaguardas protege PHI contra ameaças, violações e acesso não autorizado, mantendo a conformidade com a HIPAA.