HIPAA-Sicherheitsregel-Anforderungen für funktionale Netzwerke

Einleitung

Gesundheitsdienstleister, Gesundheitspläne, Abrechnungsstellen im Gesundheitswesen und Sponsoren von Medicare-Verschreibungsmittelkarten, die Patientendaten elektronisch übermitteln, sind verpflichtet, den Health Insurance Portability and Accountability Act Security Rule einzuhalten. Die HIPAA-Sicherheitsregel wurde eingerichtet, um die Vertraulichkeit, Verfügbarkeit und Integrität von EPHI (Electronic Protected Health Information) zu schützen, die über funktionale Netzwerksysteme übermittelt werden.

Allgemeine Regeln

„Security Standards: General Rules“ wie im Abschnitt der HIPAA-Sicherheitsregel aufgeführt, legen fest, dass Netzwerksysteme, die EPHI übermitteln, die Vertraulichkeit, Integrität und Verfügbarkeit von EPHI gewährleisten müssen, das sie erstellen, empfangen oder übermitteln. Darüber hinaus muss auch der Schutz vor vernünftigerweise erwarteten Bedrohungen oder Gefahren für die Sicherheit oder Integrität sowie der Schutz vor vernünftigerweise erwarteten Nutzungen oder Offenlegungen von EPHI, die nicht durch die Datenschutzregel erlaubt sind, gewährleistet werden.

Administrative, physische und technische Schutzmaßnahmen

Administrative Schutzmaßnahmen legen fest, dass Maßnahmen, Richtlinien und Verfahren zur Verwaltung der Auswahl, Entwicklung, Implementierung und Wartung von Sicherheitsmaßnahmen zum Schutz von EPHI sowie zur Verwaltung des Verhaltens der Belegschaft der abgedeckten Stelle aufrechterhalten werden müssen.

Physische Schutzmaßnahmen werden als die physischen Maßnahmen, Richtlinien und Verfahren beschrieben, die notwendig sind, um die EPHI einer abgedeckten Stelle zu schützen. Darüber hinaus müssen auch zugehörige Gebäude und Ausrüstung vor natürlichen und umweltbedingten Gefahren geschützt werden.

Technische Schutzmaßnahmen umfassen die Technologie – und die Richtlinien und Verfahren für deren Verwendung – die EPHI schützen und den Zugriff darauf kontrollieren, was sie auch vor unbefugten Eindringlingen schützt.

Organisatorische und Dokumentationsanforderungen

Die Sicherheitsregel schreibt vor, dass die Dokumentation von Richtlinien und Verfahren die Implementierung von Regeln und Vorschriften zur Einhaltung der Standards, Implementierungsspezifikationen und anderer Anforderungen aufzeigt.

Organisatorische Anforderungen umfassen die Festlegung von Standards für Verträge mit Geschäftspartnern und andere Vereinbarungen, die ordnungsgemäß dokumentiert werden. Ein Prozess, der zeigt, dass alle Mitarbeiter über die implementierten Standards und Regeln informiert sind, muss ebenfalls dokumentiert werden. Alle Memorandums of Understanding zwischen einer abgedeckten Stelle und einem Geschäftspartner, wenn beide Entitäten Regierungsorganisationen sind, sowie Anforderungen für Gruppenkrankenversicherungspläne müssen ebenfalls die Anerkennung der Mitarbeiter der von dem Arbeitgeber festgelegten Regeln und Vorschriften aufweisen.

Schriftliche Dokumentation (die elektronisch sein kann) und/oder Aufzeichnungen, die Richtlinien, Verfahren, Maßnahmen, Aktivitäten oder Bewertungen enthalten, die von der Sicherheitsregel erforderlich sind, müssen aufbewahrt werden. Schließlich müssen Aufbewahrungs-, Verfügbarkeits- und Aktualisierungsanforderungen im Zusammenhang mit allen, einschließlich der Mitarbeiter, der Anerkennung erfüllt werden.