IT部門在確保HIPAA合規性方面發揮著重要作用。了解您可以實施的控制措施以及技術如何幫助簡化合規性。

什麼是HIPAA？
由健康與人類服務部民權辦公室執行，健康保險流通與責任法案是一項保護醫療機構患者隱私的法規。它適用於許多不同的群體 - 從醫院和健康計劃提供者到醫生辦公室的職員，甚至是這些組織中的志願者和受訓者。

HIPAA專注於三個基本問題：隱私，安全和行政簡化。

HIPAA的隱私規則決定了醫療保健公司和專業人員如何使用和披露受保護的健康信息。它們有助於確保患者的受保護健康信息僅以適當的方式與適當的人員共享，並且僅在患者允許的情況下才能使用。

該安全規則涉及電子保護的健康信息（ePHI的） -什麼HIPAA定義為真實數字存儲的任何個人身份的健康信息（例如，血型，醫生，房間號）。該規則概述了組織必須滿足的特定期望，以保證此信息的安全並確保其得到適當使用。

HIPAA 的行政簡化部分涉及在識別和診斷醫療狀況和交換電子信息時必須遵循的國家標準和一系列標準代碼。

HIPAA合規性不是可選的。所有受影響的組織都需要製定合規計劃。

如果組織不遵守，會發生什麼？
OCR定期進行審查和調查，以確保醫療機構保持合規。如果發現任何違規行為，可能會導致每起事件100至250,000美元的民事和刑事處罰。每個數據記錄都可以算作單個事件。

例如，如果醫療保健組織的包含10,000條記錄的筆記本電腦被盜，罰款可能是100萬美元或更多。故意披露公共衛生信息的醫療保健專業人員甚至可能面臨更嚴厲的處罰，例如長達10年的監禁。

Anthem Inc.是Blue Cross和Blue Shield的被許可人，是一家因不遵守規定而面臨嚴重處罰的組織。在2018年，該公司同意向OCR支付1600萬美元，因為它未能實施能夠發現黑客並防止網絡攻擊的措施。結果，7900萬人的ePHI暴露無遺。

數據洩露部分是因為Anthem：

沒有進行企業範圍的風險分析
沒有足夠的程序來定期審查信息系統活動
無法識別和回應可疑或已知的安全事件
忽略了實施足夠的最小訪問控制以防止網絡攻擊者訪問敏感的ePHI。
該事件被認為是歷史上美國最大的健康數據洩露事件。OCR警告說，2019年醫療機構的下一輪審計將是迄今為止最嚴峻的審計。

HIPAA對防範網絡攻擊的期望非常模糊，因此為了準備這些審計，我們建議閱讀美國健康信息管理協會（AHIMA）的17個步驟來製定網絡安全攻擊計劃。

那麼，可以採取哪些措施來防止未來的數據洩露？

IT在HIPAA合規性方面的作用
談到IT，最大的痛苦是HIPAA的安全規則，它規定了處理和保護ePHI的期望。ePHI面臨被錯誤的人（有意或無意）被黑客入侵，錯放或被訪問的風險; IT部門負責確保此信息受到保護，以便其組織符合HIPAA標準。

這意味著IT部門負責：

保持ePHI的機密性，完整性和可用性
保護ePHI免受危害和威脅
保護ePHI免遭未經授權的使用和披露
培訓員工遵守規則。
為確保滿足這些責任，IT部門必須採取適當的控制措施。
可以實施哪些IT控制以實現HIPAA合規性？
HIPAA有一長串必需和建議的安全標準和安全措施，以指導IT部門遵守安全規則。合規性需要結合行政保障，物理保障和技術保障。

行政保障是可以通過進行風險評估等行政工作來實施的控制措施。這實際上是實現HIPAA合規的最基礎步驟。查看這個有用的HIPAA風險評估模板以開始使用。

其他示例包括任命一名安保人員，設置訪問級別，確定事件程序，選擇報告聯繫人以及為數據緊急情況設置應急計劃。

物理保護措施是為了物理限制對存儲ePHI的地方（如醫院計算機或電話）的訪問而採取的措施。制定程序以驗證工人的設施訪問權是物理保障的一個例子。

技術保護措施是一種技術策略，可以幫助最大限度地減少對ePHI的訪問，例如在一段時間不活動後實施自動註銷，或者盡可能加密數據。

ComplianceBond等技術解決方案可用作所有這些安全措施的一部分。

我如何使用技術簡化HIPAA合規性？
進行風險評估
進行深入的風險評估是防止網絡攻擊等事件的第一步。通過識別所有可能的風險區域，您可以開始實施更具體的控制。治理，風險和合規性（GRC）軟件可以進行風險評估並列出軟件中的所有控制和負責員工。如果忽略控件，它將通知正確的個人立即解決問題。例如，如果未指定安保人員，您的風險等級會增加，您可以採取糾正措施。

測試控件
為了幫助防止員工訪問錯誤，可以使用GRC軟件為特定用戶配置文件分配訪問級別，並進行測試以查找可能具有其他未經授權的數據訪問的異常值。這有助於IT主動調整訪問權限，並且在一半的時間內，而不是在採取糾正措施之前冒險等待事件發生。

執行安全培訓
員工安全培訓是HIPAA的要求。為確保您的員工了解自己在HIPAA合規性中的角色，請定期安排以下場合的安全培訓：

在新員工入職期間
當監管發生變化時
定期辦理登機手續。
技術既可用於管理培訓，也可用於檢查培訓是否已完成。某些軟件可以發送調查，要求員工確認他們已完成所需的培訓。您還可以了解員工在安全培訓方面的表現，並記錄需要其他支持的人員。

IT部門在確保HIPAA合規性方面發揮著重要作用。最近的數據洩露確認了違規處罰的嚴重程度。為了確保您的組織符合HIPAA，請花時間查看HIPAA的安全規則，並實施所需的和建議的管理，物理和技術控制。技術解決方案在HIPAA合規的每個步驟中都是必不可少的，以確定主要風險和合規性缺陷，並加快糾正措施。值得探索GRC軟件選項以及其他資源，以幫助指導您實現有效合規性。

資料來源:acl blog/2019/6/19