La Ley de Portabilidad y Responsabilidad del Seguro de Salud (HIPAA) establece estándares nacionales para proteger la Información de Salud Protegida. Ya sea una entidad cubierta, socio comercial o subcontratista, le ayudamos a implementar los requisitos de la Regla de Privacidad, Regla de Seguridad y Notificación de Brechas con procesos claros y documentación lista para auditoría.
La Ley de Portabilidad y Responsabilidad del Seguro de Salud de 1996 (HIPAA) es una ley federal que estableció estándares nacionales para proteger la información sensible de salud del paciente de ser divulgada sin el consentimiento o conocimiento del paciente.
Aplicada por: La Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos de EE. UU. (HHS). HIPAA se aplica a entidades cubiertas (proveedores de atención médica, planes de salud, cámaras de compensación), socios comerciales y sus subcontratistas.
Controla el uso y divulgación de PHI
Protege la PHI electrónica (ePHI)
Complementa la certificación SOC 2 e ISO 27001 para la seguridad de la información sanitaria.
Entidades cubiertas
Proveedores de atención médica, planes de salud, cámaras de compensación de atención médica que transmiten información de salud electrónicamente
Socios comerciales
Terceros que crean, reciben, mantienen o transmiten PHI en nombre de entidades cubiertas
Subcontratistas
Entidades que crean, reciben, mantienen o transmiten PHI en nombre de socios comerciales
Proveedores de atención médica
Hospitales, clínicas, médicos, dentistas, farmacias, residencias geriátricas, agencias de salud domiciliaria
Planes de salud
Compañías de seguros de salud, HMO, planes de salud de empleadores, programas gubernamentales de salud
Proveedores de tecnología sanitaria
Proveedores de EHR, almacenamiento en la nube, análisis de datos, servicios de facturación, soporte de TI, consultores
Capacidades concretas que abordan los requisitos de la Regla de Privacidad, Regla de Seguridad y Notificación de Brechas
Identifique y documente todos los sistemas que crean, reciben, mantienen o transmiten Información de Salud Protegida. La plataforma mantiene un mapa completo de flujo de datos de PHI requerido para el cumplimiento de la Regla de Privacidad y la planificación de respuesta ante brechas.
Aborda: Regla de Privacidad: Identificación de PHI, mínimo necesario, documentación de flujo de datos
Rastree la implementación de salvaguardas administrativas, físicas y técnicas requeridas por la Regla de Seguridad. La plataforma documenta controles de seguridad, controles de acceso, medidas de cifrado y registros de auditoría en toda su infraestructura de PHI.
Aborda: Regla de Seguridad: Controles de acceso, cifrado, controles de auditoría, controles de integridad
Realice evaluaciones de riesgo alineadas con HIPAA identificando amenazas y vulnerabilidades a la confidencialidad, integridad y disponibilidad de la PHI. La plataforma genera documentación de riesgos y rastrea la remediación requerida por la Regla de Seguridad.
Aborda: Regla de Seguridad: Análisis de riesgos, gestión de riesgos, proceso de gestión de seguridad
Mantenga las políticas, procedimientos y documentación HIPAA requeridos con control de versiones y flujos de aprobación. La plataforma garantiza que las políticas aborden todos los requisitos de la Regla de Privacidad y Seguridad con ciclos de revisión adecuados.
Aborda: Reglas de Privacidad y Seguridad: Políticas, procedimientos, documentación, capacitación del personal
Gestione investigaciones de brechas HIPAA con flujos de trabajo estructurados que cumplen con el plazo de 60 días de la Regla de Notificación de Brechas. La plataforma rastrea el descubrimiento de brechas, la evaluación de daños, las obligaciones de notificación y los informes a la OCR.
Aborda: Regla de Notificación de Brechas: Descubrimiento, evaluación, notificación, documentación
Rastree todos los socios comerciales y subcontratistas con estado de BAA, evaluaciones de riesgo y monitoreo continuo. La plataforma mantiene la supervisión de terceros requerida por las Reglas de Privacidad y Seguridad.
Aborda: Reglas de Privacidad y Seguridad: Seguimiento de BAA, riesgo de proveedores, gestión de subcontratistas
Todas las actividades relacionadas con PHI se rastrean con marcas de tiempo, propietarios asignados y flujos de trabajo de aprobación. Esta pista de auditoría demuestra el cumplimiento sistemático y apoya las investigaciones o auditorías de la OCR.
VerifyWise proporciona herramientas dedicadas para todos los requisitos de las reglas HIPAA
Requisitos HIPAA
Requisitos con herramientas dedicadas
Cobertura en todas las reglas
Uso de PHI, divulgación, derechos, mínimo necesario
Salvaguardas administrativas, físicas, técnicas
Descubrimiento, notificación, documentación, mitigación
Investigaciones, sanciones, cumplimiento, auditorías
Paquetes de evidencia para investigaciones y revisiones de cumplimiento de la OCR
Flujos de trabajo automatizados de notificación de brechas que cumplen con los plazos de la OCR
Rastree socios comerciales y subcontratistas con estado de BAA
Combine HIPAA con marcos de gobernanza de IA para sistemas de IA clínica
Comprender los componentes principales del cumplimiento HIPAA
Controla el uso y la divulgación de Información de Salud Protegida y establece los derechos individuales.
Establece estándares nacionales para proteger la Información de Salud Protegida electrónica (ePHI).
Requiere notificación a individuos, HHS y en algunos casos a los medios cuando se viola la PHI.
Establece procedimientos para investigaciones, audiencias e imposición de sanciones monetarias civiles.
Fortaleció HIPAA con la responsabilidad directa de socios comerciales, expansión de notificación de brechas e implementación de la Ley HITECH.
Salvaguardas administrativas, físicas y técnicas requeridas para la protección de ePHI
Políticas, procedimientos y procesos documentados para gestionar la seguridad de la PHI
Análisis de riesgos, gestión de riesgos, política de sanciones, revisión de actividad del sistema de información
Oficial de seguridad designado responsable de la seguridad HIPAA
Procedimientos de autorización, supervisión, verificación de antecedentes y terminación
Autorización de acceso, establecimiento de acceso, modificación de acceso
Recordatorios de seguridad, protección contra malware, monitoreo de inicio de sesión, gestión de contraseñas
Respuesta y reporte de incidentes de seguridad
Respaldo de datos, recuperación ante desastres, modo de emergencia, pruebas, criticidad de aplicaciones y datos
Evaluación periódica técnica y no técnica de las medidas de seguridad
Contratos escritos con garantías satisfactorias sobre la protección de la PHI
Medidas físicas para proteger sistemas de información electrónica y edificios
Operaciones de contingencia, plan de seguridad de instalaciones, control y validación de acceso, registros de mantenimiento
Políticas y procedimientos para funciones y seguridad de estaciones de trabajo
Salvaguardas físicas para restringir el acceso a estaciones de trabajo a usuarios autorizados
Eliminación, reutilización de medios, responsabilidad, respaldo y almacenamiento de datos
Tecnología y políticas para proteger ePHI y controlar el acceso
Identificación única de usuario, acceso de emergencia, cierre de sesión automático, cifrado y descifrado
Mecanismos de hardware, software y procedimientos para registrar y examinar el acceso a ePHI
Políticas para garantizar que la ePHI no sea alterada o destruida indebidamente
Procedimientos para verificar la persona o entidad que busca acceso a ePHI
Controles de integridad y cifrado para la transmisión de ePHI a través de redes
Un camino práctico hacia el cumplimiento de HIPAA con hitos claros
Comprender las consecuencias financieras y penales del incumplimiento
No sabía (y ejerciendo la diligencia razonable no habría sabido)
Rango
$100 - $50,000
Máx. anual
$25,000
Causa razonable (violación debida a circunstancias fuera del control razonable)
Rango
$1,000 - $50,000
Máx. anual
$100,000
Negligencia deliberada (pero corregida dentro de 30 días)
Rango
$10,000 - $50,000
Máx. anual
$250,000
Negligencia deliberada (no corregida dentro de 30 días)
Rango
$50,000 - $50,000
Máx. anual
$1,500,000
Obtener o divulgar PHI a sabiendas
Hasta $50,000 y hasta 1 año de prisión
Obtener PHI bajo pretextos falsos
Hasta $100,000 y hasta 5 años de prisión
Obtener o divulgar PHI con intención de vender, transferir o usar para ventaja comercial, ganancia personal o daño malicioso
Hasta $250,000 y hasta 10 años de prisión
Nota: Las sanciones se evalúan por violación. Múltiples violaciones pueden resultar en sanciones que excedan los máximos anuales. El Departamento de Justicia maneja las acciones penales por violaciones de HIPAA.
Acceda a plantillas de políticas HIPAA listas para usar que cubren los requisitos de la Regla de Privacidad, Regla de Seguridad y Notificación de Brechas
Preguntas comunes sobre el cumplimiento de HIPAA
Comience su camino de cumplimiento con nuestra evaluación guiada de HIPAA y herramientas de implementación diseñadas para organizaciones de salud.