So werden Sie im Jahr 2023 HIPAA-konform (einschließlich Checkliste)

Die HIPAA-Konformität wird vom Department of Health and Human Services (HHS) reguliert und vom Office for Civil Rights (OCR) durchgesetzt. Im Jahr 2013 wurde die endgültige Omnibus-Regel erlassen, die Geschäftspartner - oder Drittanbieter - an den Health Insurance Portability and Accountability Act bindet. Diese Modifikation fügte einer Branche, die es nicht gewohnt ist, im Bereich der Cybersicherheit tätig zu sein, eine weitere Ebene der Compliance-Komplexität hinzu - der Gesundheitsbranche.

Um Verwirrung in Bezug auf HIPAA zu beseitigen und die kostspieligen Auswirkungen der Nichteinhaltung zu vermeiden, enthält dieser Beitrag eine kostenlose Checkliste, die den Großteil der notwendigen Bemühungen abdeckt, um die HIPAA-Konformität zu erreichen und aufrechtzuerhalten.

Um Ihr grundlegendes Wissen über HIPAA und seine Reihe nationaler Standards zu vertiefen, lesen Sie diesen Beitrag.

Kostenlose HIPAA-Compliance-Checkliste (9 Stufen)

Die Aktionspunkte in dieser Checkliste skizzieren einen Compliance-Aktionsplan, der Unternehmen dabei hilft, die übliche Verwirrung und Frustration im Zusammenhang mit der HIPAA-Compliance zu überwinden.

Wenn Sie Ihr aktuelles Compliance-Programm mit dieser Checkliste vergleichen, können Sie auch HIPAA-Compliance-Lücken identifizieren, die behoben werden müssen, um einen kostspieligen Verstoß zu vermeiden.

Laden Sie die HIPAA-Compliance-Checkliste > herunter

1. Ernennen Sie einen HIPAA-Datenschutzbeauftragten und einen Sicherheitsbeauftragten

HIPAA-abgedeckte Unternehmen müssen einen HIPAA-Sicherheitsbeauftragten und einen HIPAA-Datenschutzbeauftragten ernennen. Gemäß 164.308(a)(2) ist es eine obligatorische HIPAA-Compliance-Anforderung, dass beide Rollen besetzt sind. Kleine Vorgänge können beide Rollen derselben Person zuweisen, aber größere Betriebe sollten separate Personen für jede Rolle ernennen, um die Verwaltung der Arbeitsauslastung zu erleichtern. Größeren Organisationen wird auch empfohlen, ein Datenschutzaufsichtskomitee einzurichten, das die Erstellung von Richtlinien gegen sich ändernde HIPAA-Regulierungsstandards überwacht.

Erfahren Sie, wie Sie ein ideales HIPAA-Compliance-Produkt auswählen >

Die HIPAA-Verordnung enthält keine klaren Richtlinien für die Rollen und Verantwortlichkeiten von HIPAA-Datenschutzbeauftragten und HIPAA-Sicherheitsbeauftragten. Diese absichtliche Auslassung ermöglicht es den betroffenen Entitäten, Verantwortungslisten basierend auf ihren einzigartigen Compliance-Workloads zu entwerfen.

Um eine konkretere Orientierung zu geben, sind die allgemeinen Aufgaben für jede Rolle im Folgenden aufgeführt:

Zu den allgemeinen Aufgaben eines HIPAA-Datenschutzbeauftragten gehören:

• Entwicklung eines HIPAA-konformen Datenschutzprogramms - falls eines nicht implementiert ist.
• Sicherstellen, dass Datenschutzrichtlinien die geschützten Gesundheitsinformationen (Protected Health Information, PHI) des Unternehmens schützen - wenn ein HIPAA-konformes Programm implementiert wurde.
• Beaufsichtigung und Durchführung jährlicher HIPAA-konformer Datenschutzschulungen für Mitarbeiter.
• Bleiben Sie auf dem neuesten Stand der Landes- und Bundesgesetze, die für die HIPAA-Compliance relevant sind.
• Untersuchung von Cybersicherheitsvorfällen, wie z. B. Datenschutzverletzungen, bei denen ePHI oder PHI kompromittiert wurden.
• Sicherstellung, dass Business Associate Agreements (BAAs) immer auf dem neuesten Stand gehalten werden.
• Planung jährlicher Selbstaudits und Security Risk Assessments (SRA).

Zu den allgemeinen Aufgaben eines HIPAA-Sicherheitsbeauftragten gehören:

• Entwicklung von Sicherheitsrichtlinien zum Schutz von PHI und ePHI.
• Entwicklung von Richtlinien zur Verhinderung, Erkennung und Reaktion auf Datenschutzverletzungen im Zusammenhang mit ePHI.
• Entwicklung eines Disaster-Recovery-Plans.
• Entwicklung eines Incident Response Plans und von Abhilfeplänen.
• Entwicklung von Mechanismen und Prozessen zur Minderung der PHI-Kompromittierung.
• Entwicklung von Mechanismen zum Schutz von ePHI sowohl im stationären als auch im Transitmodus.

Die Überschneidung der Aufgaben zwischen HIPAA-Sicherheitsbeauftragten und HIPAA-Datenschutzbeauftragten ist der Grund, warum kleinere Organisationen dieselbe Person für beide Rollen ernennen können.

2. Führen Sie jährliche HIPAA-Schulungen am Arbeitsplatz durch

Alle Mitarbeiter an Ihrem Arbeitsplatz - einschließlich der Mitglieder des Datenschutzaufsichtsausschusses, falls ein solcher eingerichtet wurde - müssen jährlich geschult werden. Diese Schulung ist für alle Mitarbeiter obligatorisch, auch für diejenigen, die nicht direkt mit PHIs interagieren. Der Grund für diese pauschale Anforderung ist, dass jede Person an Ihrem Arbeitsplatz wahrscheinlich irgendwann irgendeiner Form von PHI ausgesetzt sein wird.

Zum Beispiel könnte das Reinigungspersonal unfreiwillig persönliche Krankenakten lesen, während es das Papier von den Arbeitsplätzen reinigt. Oder ein neuer Mitarbeiter erkennt einen Prominenten bei der Nutzung von Gesundheitsinformationstechnologie. Ohne eine Schulung der Datenschutzbestimmungen zum Umgang mit solchen PHI-Expositionen könnte der Prominente in einem Social-Media-Beitrag geoutet werden, was zu einem sehr schwerwiegenden HIPAA-Verstoß führt.

Zu den wichtigsten Themen, die in diesen Schulungen behandelt werden müssen, gehören:

• So identifizieren Sie PHI
• Was ist die minimal notwendige Rue?
• Die Bedeutung der Gewährleistung der Vertraulichkeit von Patientendaten
• Rechte des Patienten
• Die Auswirkungen und Strafen für die Offenlegung von PHI
• Wie man auf PHI-Exposition reagiert.
• Strafen für HIPAA-Verstöße.
• Wie man auf Datenschutzverletzungen im Zusammenhang mit Gesundheitsdaten von Patienten reagiert.

Es ist sehr wichtig, alle Schulungen zu dokumentieren, damit der Nachweis der Compliance in diesem Bereich bei Audits und OCR-Untersuchungen leicht erbracht werden kann.

Um sicherzustellen, dass alle Schulungen korrekt dokumentiert sind, stellen Sie sicher, dass die folgenden Details enthalten sind:

• Datum der Durchführung der Schulung.
• Die Häufigkeit dieser Art von Training.
• Für wen wurde die Schulung durchgeführt?
• Unterschriebene Bescheinigungen aller Schulungsteilnehmer

Um die Wirksamkeit der Datenschutzschulungen für Auditoren und OCR-Ermittler weiter zu demonstrieren, überwachen Sie den Schulungsfortschritt mit einem Lernmanagementsystem.

3. Dokumentieren Sie alle HIPAA-Compliance-Bemühungen

Machen Sie es sich zur Gewohnheit, jedes Detail Ihres HIPAA-Compliance-Programms zu dokumentieren, nicht nur Mitarbeiterschulungen. Im Falle eines Audits oder einer Datenschutzverletzung kann eine umfangreiche Dokumentation nachweisen, dass die notwendigen Maßnahmen ergriffen wurden, um die kontinuierliche Einhaltung der HIPAA-Sicherheitsstandards zu gewährleisten, und Ihnen helfen, einen kostspieligen HIPAA-Verstoß zu vermeiden.

Wenn sich die HIPAA-Dokumentation übertrieben anfühlt, haben Sie ein angemessenes Dokumentationsniveau erreicht.

4. Halten Sie alle Protokolle auf dem neuesten Stand

Ein häufig übersehener Dokumentationsbereich ist die Aktualisierung aller Protokolle. Diese Protokolle werden während der Untersuchung von Sicherheitsverletzungen angefordert. Wenn Sie diese nicht bereitstellen können, können Sie nicht nachweisen, dass die Reaktionsbemühungen nach einer Datenschutzverletzung ausreichend waren, um einen HIPAA-Verstoß zu vermeiden.

Drei Kategorien von Protokolldatensätzen sollten sorgfältig dokumentiert werden:

• Asset-Protokolle - Dokumentieren Sie alle Assets, unabhängig von ihrem aktiven Status, mit Zugriff auf PHI. In der Dokumentation sollten der Standort jedes Assets und der Status der Verschlüsselung angegeben werden.
• Zugriffsprotokolle - Dokumentieren Sie alle PHI-Zugriffsversuche, intern und extern (von Anbietern und Auftragnehmern). Zugriffsprotokolle geben an, welche Partei zum Zeitpunkt eines Sicherheitsereignisses zuletzt auf PHI zugegriffen hat - ein Beweis, der Sie von einem HIPAA-Verstoß freisprechen könnte.
• Breach Logs - Dokumentieren Sie alle Datenschutzverletzungen, einschließlich Beinahe-Verstößen.

5. Haben Sie BAAs für jeden Anbieter, mit dem Sie zusammenarbeiten

Laut HIPAA können betroffene Unternehmen Vorgänge mit geschützten Gesundheitsinformationen nur dann an Dritte auslagern, wenn sie eine Vereinbarung unterzeichnen, die den vollständigen Schutz aller PHI zu jeder Zeit gewährleistet.

Diese Dienstleistungen von Drittanbietern werden im Rahmen von HIPAA als "Business Associates" bezeichnet, und der Vertrag, der sie an den PHI-Schutz bindet, wird als "Business Associate Agreements" oder BAAs bezeichnet.

Eine Geschäftspartnervereinbarung legt die Sicherheitsstandards und Verantwortlichkeiten eines Geschäftspartners in Bezug auf ePHI und PHI-Schutz fest.

BAA's sollten immer unterschrieben werden, auch bei einfachsten administrativen Aufgaben.

Im Jahr 2016 beauftragte die Raleigh Orthopedic Clinic einen Drittanbieter mit der Umwandlung von Röntgenbildern in elektronische Medien und erlaubte dem Anbieter, das Silber aus den Röntgenstrahlen zu gewinnen. Die orthopädische Klinik stellte nicht sicher, dass vor der Vereinbarung eine BAA unterzeichnet wurde, und da geschützte Gesundheitsinformationen während des Geschäftsbetriebs offengelegt wurden, stellte dies einen HIPAA-Verstoß dar, der zu einer Geldstrafe von 750.000 US-Dollar führte, die an das Office for Civil Rights (OCR) zu zahlen war.

Erfahren Sie, wie Sie die Anforderungen des HIPAA an das Risiko von Drittanbietern erfüllen können

Blog-> lesen

6. Implementieren Sie geeignete Sicherheitsvorkehrungen

Um die Sicherheitsregel einzuhalten, müssen drei Kategorien von Sicherheitsvorkehrungen implementiert werden, um ein möglichst umfassendes Maß an ePHI-Sicherheit zu gewährleisten.

Administrative Garantien

Zu den administrativen Sicherheitsvorkehrungen für Organisationen im Gesundheitswesen und Gesundheitsdienstleister gehören:

• Jährliche Schulung am Arbeitsplatz zur Einhaltung der HIPAA-Sicherheits- und Datenschutzregel.
• Dokumentation der Prozesse des Sicherheitsmanagements.
• Regelmäßige HIPAA-Audits

Physische Sicherheitsvorkehrungen

Zu den physischen Schutzmaßnahmen für Organisationen im Gesundheitswesen und Gesundheitsdienstleister gehören:

• Sicherung aller physischen Geräte und Workstations mit Zugriff auf Gesundheitsakten.
• Beschränkung des physischen Zugangs zu Lagerbereichen und Geräten, in denen ePHI untergebracht ist, auf zugelassenes Personal.
• Überwachung des Zugriffs auf physische Geräte, auf denen ePHI gespeichert sind.

Technische Sicherheitsvorkehrungen

Zu den technischen Sicherheitsvorkehrungen für Organisationen im Gesundheitswesen und Gesundheitsdienstleister gehören:

• Implementierung der Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten.
• Implementieren Sie Zugriffskontrollrichtlinien, die sicherstellen, dass ePHI nur für autorisiertes Personal zugänglich ist.
• Erzwingen der Verwendung von Hard-Token im Multi-Faktor-Authentifizierungsprozess für Remote-Endpunkte wie Laptops.
• Stellen Sie sicher, dass Daten im Ruhezustand und während der Übertragung verschlüsselt werden.
• Implementierung von Firewalls und Antivirensoftware.
• Sicherstellen, dass die gesamte Sicherheitssoftware mit den neuesten Sicherheitspatches auf dem neuesten Stand gehalten wird,
• Durchsetzung starker Passwortrichtlinien.
• Verschlüsselung von mobilen Laptops.
• Stellen Sie sicher, dass die gesamte E-Mail-Kommunikation in Übereinstimmung mit den HIPAA-Richtlinien verschlüsselt wird.
• Implementieren Sie Sicherheitskontrollen, die die in einer Risikoanalyse entdeckten Schwachstellen beheben.

Die Identifizierung von Sicherheitslücken von Drittanbietern, die sich negativ auf die HIPAA-Compliance auswirken könnten, erfolgt am besten mit einer Risikobewertung, die den HIPAA-Anforderungen entspricht. Die UpGuard-Plattform enthält einen HIPAA-Fragebogen zur Bestimmung der Cybersicherheitsrisiken von Anbietern mit Zugang zu geschützten Gesundheitsinformationen.

Fordern Sie eine kostenlose 7-Tage-Testversion von UpGuard > an

7. Führen Sie eine jährliche Sicherheitsrisikoanalyse (SRA) durch

Eine SRA ist eine umfassende jährliche Selbstprüfung, bei der die Resilienz aller drei Kategorien von Sicherheitsvorkehrungen - administrativen, physischen und technischen - bewertet wird. Dieses Audit sollte eine ehrliche Analyse aller HIPAA-Sicherheitsmaßnahmen und der Bereiche Ihres HIPAA-Compliance-Programms mit dem größten Risiko einer Bewertung sein. Allen Risiken sollte eine Bewertung des Schweregrads zugewiesen werden, um Schwachstellen zu identifizieren, die bei den Abhilfemaßnahmen priorisiert werden sollten. Eine Risikomatrix könnte dabei helfen.

8. Implementieren Sie ein Tool zur Bewertung der HIPAA-Compliance-Lücke

Unabhängig davon, ob Sie ein HIPAA-abgedecktes Unternehmen sind, das HIPAA-konform werden muss, oder ein Geschäftspartner, bietet ein Mechanismus zur Verfolgung des Compliance-Fortschritts Struktur und einen Endpunkt für Ihre Compliance-Reise.

Die beste Methode zur Identifizierung von Compliance-Lücken besteht darin, die Antworten auf Sicherheitsfragebögen den Sicherheitsstandards von HIPAA zuzuordnen. Die Sicherheitsfragebogenfunktion von UpGuard ordnet die Antworten automatisch gängigen Frameworks und Vorschriften, einschließlich HIPAA, zu, um den betroffenen Unternehmen dabei zu helfen, Compliance-Lücken in vorläufigen Selbstaudits und Lieferantenbewertungen zu identifizieren.

9. Implementieren Sie ein klares Protokoll zur Benachrichtigung über Sicherheitsverletzungen

Um die HIPAA-Regel zur Meldung von Verstößen einzuhalten, muss ein klares Protokoll zur Meldung von Verstößen eingerichtet werden. Dieses Protokoll sollte eine Schritt-für-Schritt-Anleitung für interne Mitarbeiter sein, die im Falle eines Sicherheitsvorfalls zu befolgen ist, ähnlich wie ein Incident Response Plan.

Dieses Protokoll ist nicht nur eine zwingende Voraussetzung für die Regel zur Benachrichtigung über Sicherheitsverletzungen, sondern wird Ihre internen Teams auch in den stressigen Momenten eines Cyberangriffs erden und ihnen helfen, durch angemessene Reaktionen auf Vorfälle stetig voranzukommen, wenn die Emotionen das gesunde Urteilsvermögen trüben.

Die schnelleren Reaktionszeiten auf Datenschutzverletzungen, die sich aus einer solchen Checkliste für die Reaktion auf Datenschutzverletzungen ergeben, werden wahrscheinlich auch die Kosten für Schäden durch Datenschutzverletzungen und sogar das Potenzial eines HIPAA-Verstoßes senken. Eine Datenschutzverletzung führt nicht unbedingt zu einem HIPAA-Verstoß. Wenn eine von HIPAA erfasste Rechtsperson nachweisen kann, dass ein Verstoß unbeabsichtigt war und dass geeignete Gegenmaßnahmen in Form einer Checkliste für die Reaktion auf Sicherheitsverletzungen ergriffen wurden, könnten Auswirkungen vermieden werden.

Damit jedoch ein Nichtverstoß möglich ist, müssen sowohl die betroffenen Unternehmen als auch die Geschäftspartner alle Verstöße an die OCR und alle betroffenen Patienten melden. Im Protokoll zur Meldung von Verstößen müssen die Benachrichtigungsmechanismen für jede Partei bei solchen Ereignissen klar erläutert werden.

UpGuard bietet eine Lösung für das Lieferantenrisikomanagement, mit der Unternehmen im Gesundheitswesen aufkommende Sicherheitsrisiken für jeden ihrer Geschäftspartner verfolgen können. Durch das Angebot eines HIPAA-spezifischen Sicherheitsfragebogens hilft UpGuard, HIPAA-abgedeckte Unternehmen die spezifischen Schwachstellen von Drittanbietern zu identifizieren, die die HIPAA-Compliance behindern, und unterstützt die Einrichtung eines optimierten und effizienten HIPAA-Compliance-Programms.