Zusammenfassung der HIPAA-Datenschutzregel (einschließlich Compliance-Tipps)

Die Standards for Privacy of Individual Identifiable Health Information (Privacy Rule) legen eine Reihe nationaler Standards für den Schutz der Patientenrechte und bestimmter Gesundheitsinformationen fest.

Die Standards beziehen sich auf die Verwendung und Offenlegung von Gesundheitsinformationen von Einzelpersonen, die von Organisationen, die der Datenschutzregel unterliegen, als geschützte Gesundheitsinformationen oder PHI bezeichnet werden, sowie auf Standards für das Recht des Einzelnen, zu verstehen und zu kontrollieren, wie seine Gesundheitsdaten verwendet werden.

Ein Hauptziel der Privacy Rule ist es, sicherzustellen, dass PHI angemessen geschützt sind und gleichzeitig den Fluss von Gesundheitsinformationen ermöglichen, die für die Bereitstellung und Förderung einer qualitativ hochwertigen Gesundheitsversorgung sowie zum Schutz der Gesundheit und des Wohlbefindens der Öffentlichkeit erforderlich sind.

Kurz gesagt, die Regel versucht, ein Gleichgewicht zwischen Vertraulichkeit, Integrität und Verfügbarkeit von Gesundheitsdaten herzustellen. Das bedeutet, dass die Regel so konzipiert ist, dass sie flexibel ist und gleichzeitig umfassend genug bleibt, um die Vielfalt der Verwendungen und Offenlegungen abzudecken, die sie abdecken muss.

Erfahren Sie, wie UpGuard das Gesundheitswesen vor Datenschutzverletzungen schützt >

Was ist der Hintergrund der HIPAA-Datenschutzregel?

Der HIPAA Privacy Act ist ein Teil des Health Insurance Portability and Accountability Act von 1996 (HIPAA), der am 21. August 1996 von Präsident Bill Clinton unterzeichnet wurde. Das Gesetz selbst besteht aus fünf Titeln:

1. Titel I: Schützt den Krankenversicherungsschutz für Arbeitnehmer und ihre Familien, wenn sie ihren Arbeitsplatz wechseln oder verlieren.
2. Titel II: Festlegung nationaler Standards für elektronische Gesundheitstransaktionen und nationaler Identifikatoren für Anbieter, Krankenversicherungen und Arbeitgeber.
3. Titel III: Festlegung von Richtlinien für Konten für medizinische Ausgaben vor Steuern.
4. Titel IV: Festlegung von Richtlinien für Gruppenkrankenversicherungen
5. Titel V: Regulierte unternehmenseigene Lebensversicherungspolicen.

Im Rahmen des HIPAA war der Minister des HHS verpflichtet, Standards für den elektronischen Austausch, den Datenschutz und die Sicherheit von Gesundheitsinformationen zu veröffentlichen, die zusammen als Bestimmungen zur Verwaltungsvereinfachung bekannt sind.

Erfahren Sie, wie Sie ein ideales HIPAA-Compliance-Produkt auswählen >

Weitere wichtige HIPAA-Regeln sind die HIPAA Security Rule, die HIPAA Breach Notification Rule und die HIPAA Omnibus Rule. Darüber hinaus wurden mit dem Health Information Technology for Economic and Clinical Health Act (HITECH Act) Änderungen an der Security Rule und der Breach Notification Rule vorgenommen.

HIPAA verlangte vom Minister, Datenschutzbestimmungen für personenbezogene Gesundheitsdaten zu erlassen, wenn der Kongress nicht innerhalb von drei Jahren nach der Verabschiedung des HIPAA ein Datenschutzgesetz erlässt. Da der Kongress es versäumte, ein Gesetz zu verabschieden, entwickelte das HHS einen Regelvorschlag und gab ihn am 3. November 1999 zur öffentlichen Stellungnahme frei. Über 52.000 Kommentare wurden abgegeben und die endgültige Verordnung, die als Privacy Rule bekannt ist, wurde am 28. Dezember 2000 veröffentlicht.

Die Datenschutzregel wurde später am 14. August 2002 geändert.

Was ist der Zweck der HIPAA-Datenschutzregel?

Ein Hauptzweck der Privacy Rule besteht darin, die Umstände zu definieren und einzuschränken, unter denen die geschützten Gesundheitsinformationen einer Person von betroffenen Einrichtungen verwendet oder offengelegt werden dürfen.

Betroffene Unternehmen können PHI nicht verwenden oder offenlegen, es sei denn:

• Die Datenschutzregel erlaubt oder verlangt dies; oder
• Der Betroffene der Information (oder ein Vertreter) erteilt eine schriftliche Vollmacht

Es gibt nur zwei Situationen, in denen PHI offengelegt werden müssen:

1. Wenn eine Einzelperson oder ihr Vertreter Zugang dazu oder eine Abrechnung der Offenlegungen beantragt
2. Wenn das HHS eine Compliance-Untersuchung, -Überprüfung oder -Durchsetzungsmaßnahme durchführt

Wichtige HIPAA-bezogene Statistiken finden Sie >

Warum ist die HIPAA-Datenschutzregel wichtig?

Die HIPAA-Datenschutzregel ist wichtig, da sie darauf abzielt, die Vertraulichkeit von Krankenakten und PHI zu schützen.

Im Jahr 2017 kam die vom US-Gesundheitsministerium (HHS Office) einberufene Health Care Industry Cybersecurity Task Force zu dem Schluss, dass sich die Cybersicherheit im Gesundheitswesen in einem kritischen Zustand befindet.

Die Wahrheit ist, dass die Gesundheitsdienstleister in Bezug auf die Informationssicherheit weit hinter anderen Branchen zurückbleiben. Wie viele andere Branchen ist auch das Gesundheitswesen zunehmend auf mit dem Internet verbundene Geräte angewiesen: vom Austausch von Patientenakten und Laborergebnissen bis hin zu medizinischen Geräten und Aufzügen.

Dies ist in der Regel eine gute Sache für die Patienten, Patienteninformationen können schnell übertragen werden, die Patientenbindung ist höher und es gibt einen besseren klinischen Support. Dieselbe Technologie kann jedoch anfällig für Schwachstellen sein, Datenlecks verursachen oder mit Malware infiziert werden.

Berichte zeigen, dass Ransomware-Angriffe und andere Cyberangriffe auf dem Vormarsch sind und Organisationen des Gesundheitswesens eines der größten Ziele sind. Ein gutes Beispiel ist der WannaCry-Ransomware-Wurm aus dem Jahr 2017, der schätzungsweise 200.000 Computer in 150 Ländern infizierte, darunter auch den britischen National Health Service.

Der Angriff zielte auf eine Zero-Day-Schwachstelle namens EternalBlue ab. EternalBlue nutzte das SMB-Protokoll in alten Microsoft Windows-Betriebssystemen aus, um Daten zu verbreiten, Daten zu verschlüsseln und die Computersysteme gegen Lösegeld zu halten.

Der Grund, warum das Gesundheitswesen ein so attraktives Ziel für Cyberkriminelle ist, liegt vor allem an den wertvollen Informationen, die elektronische Patientenakten enthalten, nämlich geschützte Gesundheitsinformationen (PHI) und personenbezogene Daten (PII). Bei diesen Gesundheitsinformationen handelt es sich um sehr private Daten, und ihre unbefugte Offenlegung kann zu persönlichen Peinlichkeiten, Identitätsdiebstahl und finanziellen Schäden führen.

Erfahren Sie, wie UpGuard der Burgess Group geholfen hat, die HIPAA-Konformität zu erreichen.

Lesen Sie die Fallstudie >

Wer muss die HIPAA-Datenschutzregel einhalten?

Die Datenschutzregel gilt für:

• Krankenversicherungen
• Leistungserbringer im Gesundheitswesen
• Clearingstellen im Gesundheitswesen
• Geschäftspartner

Erfahren Sie, wie Sie die HIPAA-Anforderungen an Risiken für Drittanbieter einhalten können >

Krankenversicherungen

Krankenversicherungen sind Einzel- oder Gruppenpläne, die die Kosten für die medizinische Versorgung bereitstellen oder übernehmen. Dazu gehören Zahn-, Seh-, Verschreibungs- und Krankenversicherer, Gesundheitspflegeorganisationen, Medicare-, Medicaid-, Medicare+Choice- und Medicare-Zusatzversicherer, vom Arbeitgeber gesponserte Gruppenkrankenversicherungen, staatliche und kirchliche Krankenversicherungen sowie Krankenversicherungen mehrerer Arbeitgeber und Pflegeversicherer (mit Ausnahme von Pflegeheim-Haftpflichtversicherungen).

Es gibt Ausnahmen:

• Gruppenkrankenversicherungen mit weniger als 50 Teilnehmern, die ausschließlich von dem Arbeitgeber verwaltet werden, der den Plan erstellt hat und unterhält
• Staatlich finanzierte Programme, deren
• Der Hauptzweck besteht nicht darin, die Kosten für die Gesundheitsversorgung, z. B. Lebensmittelmarken, bereitzustellen oder zu bezahlen
• Die Haupttätigkeit besteht in der direkten Bereitstellung von Gesundheitsversorgung, z. B. einem kommunalen Gesundheitszentrum, oder in der Gewährung von Zuschüssen zur Finanzierung der direkten Bereitstellung von Gesundheitsversorgung
• Bestimmte Arten von Versicherungsgesellschaften, die nur Arbeitsunfallversicherungen, Kfz-Versicherungen sowie Sach- und Unfallversicherungen anbieten

Leistungserbringer im Gesundheitswesen

Jeder Gesundheitsdienstleister, unabhängig von seiner Größe, der Gesundheitsinformationen im Zusammenhang mit bestimmten Transaktionen elektronisch übermittelt, ist eine erfasste Einrichtung.

Zu diesen Transaktionen gehören:

• Ansprüche
• Nützt
• Anfragen zur Teilnahmeberechtigung
• Anträge auf Empfehlungsautorisierung
• Sonstige Transaktionen, wie sie im Rahmen der HIPAA Transactions Rule festgelegt sind

Es ist wichtig zu beachten, dass die Verwendung elektronischer Technologie, z. B. E-Mail, einen Gesundheitsdienstleister nicht unbedingt zu einer abgedeckten Einrichtung macht. Die Transaktion muss in Verbindung mit einer der oben genannten Transaktionen stehen.

Darüber hinaus ist es wichtig zu beachten, dass die elektronische Übertragung unabhängig davon, ob sie direkt vom Gesundheitsdienstleister oder von einem Drittanbieter erfolgt, dennoch angemessen geschützt sein muss.

Aus diesem Grund hat das Vendor Risk Management in der Gesundheitsbranche immer mehr an Bedeutung gewonnen.

Clearingstellen für das Gesundheitswesen

Clearingstellen im Gesundheitswesen sind Einrichtungen, die nicht standardmäßige Informationen, die sie von einer anderen Stelle erhalten, in ein Standardformat oder umgekehrt verarbeiten.

Im Allgemeinen bedeutet dies, dass Sie individuell identifizierbare Gesundheitsinformationen erhalten, wenn Sie als Geschäftspartner Gesundheitsdienstleistungen für eine Krankenversicherung oder einen Gesundheitsdienstleister erbringen. In solchen Fällen gelten nur bestimmte Bestimmungen der Datenschutzregel für die Nutzung und Offenlegung von PHI durch die Clearingstelle.

Beispiele hierfür sind Abrechnungsdienste, Repricing-Unternehmen, kommunales Gesundheitsmanagement, Informationssysteme und Mehrwertnetzwerke.

Geschäftspartner

Ein Geschäftspartner ist eine Person, ein Dienstleister oder eine Organisation, die kein Mitglied der Belegschaft einer betroffenen Einrichtung ist, die bestimmte Funktionen oder Aktivitäten im Namen einer betroffenen Einrichtung ausführt oder bestimmte Dienstleistungen für eine betroffene Einrichtung erbringt, die die Verwendung oder Offenlegung von PHI beinhalten. Eine betroffene Einheit kann der Geschäftspartner einer anderen betroffenen Einheit sein.

Wenn ein betroffenes Unternehmen an einen Geschäftspartner auslagert, muss es vertraglich spezifische Schutzmaßnahmen zum Schutz von PHI in einer Geschäftspartnervereinbarung auferlegen. Darüber hinaus kann ein betroffenes Unternehmen einen Geschäftspartner nicht ermächtigen, PHI zu verwenden oder offenzulegen, die gegen die Datenschutzregel verstoßen würden.

Zu den gängigen Produkten und Dienstleistungen für Geschäftspartner gehören:

• Bearbeitung von Reklamationen
• Datenanalyse
• Überprüfung der Auslastung
• Abrechnung
• Rechtlich
• Versicherungsmathematisch
• Buchführung
• Beratung
• Datenaggregation
• Management
• Verwaltung
• Akkreditierung
• Finanzdienstleistungen

Hinweis: Wenn eine Person oder Organisation PHI nicht verwendet oder offenlegt, ist sie kein Geschäftspartner.

Befolgen Sie diese Checkliste, um ein HIPAA-Compliance-Programm zu implementieren.

Welche Informationen sind durch die HIPAA-Datenschutzregel geschützt?

Die Datenschutzregel schützt alle individuell identifizierbaren Gesundheitsinformationen, die von einem betroffenen Unternehmen oder Geschäftspartner gespeichert oder übertragen werden, sei es in Papier-, mündlicher oder elektronischer Form. Diese Informationen werden als geschützte Gesundheitsinformationen (Protected Health Information, PHI) oder Electronic Protected Health Information (ePHI) bezeichnet.

PHI umfassen Informationen, einschließlich demografischer Daten, die sich auf Folgendes beziehen:

• Die vergangene, gegenwärtige oder zukünftige körperliche oder geistige Gesundheit oder der Zustand einer Person
• Die Bereitstellung von Gesundheitsversorgung für den Einzelnen
• Die vergangene, gegenwärtige oder zukünftige Zahlung für die Bereitstellung von Gesundheitsversorgung für den Einzelnen

Dies kann zur Identifizierung einer Person verwendet werden oder wenn es eine vernünftige Grundlage für die Annahme gibt, dass es zur Identifizierung der Person verwendet werden kann. Zu den individuell identifizierbaren Gesundheitsinformationen gehören viele gängige Identifikatoren (z. B. Name, Adresse, Geburtsdatum, Sozialversicherungsnummer).

PHI schließt jedoch Beschäftigungsunterlagen aus, die eine betroffene Einrichtung in ihrer Eigenschaft als Arbeitgeber führt, sowie Bildungs- und andere Aufzeichnungen, die dem Family Educational Rights and Privacy Act (FERPA) unterliegen oder darin definiert sind.

Darüber hinaus gibt es keine Einschränkungen für die Verwendung oder Offenlegung von anonymisierten Gesundheitsinformationen, die entweder:

• Formell von einem Statistiker als unkenntlich gemacht bestimmt; oder
• Entfernte spezifizierte Identifikatoren der Person und der Verwandten, Haushaltsmitglieder und Arbeitgeber der Person, sofern erforderlich

Was sind Beispiele für PHI?

HIPAA beschreibt 18 Identifikatoren, die mit besonderer Sorgfalt behandelt werden müssen:

1. Namen
2. Alle geografischen Identifikatoren, die kleiner als ein Bundesstaat sind, mit Ausnahme der ersten drei Ziffern einer Postleitzahl, wenn nach den aktuellen öffentlich zugänglichen Daten des U.S. Bureau of the Census: die geografische Einheit, die durch die Kombination aller Postleitzahlen mit denselben drei Anfangsziffern gebildet wird, mehr als 20.000 Personen umfasst; und die ersten drei Ziffern einer Postleitzahl für alle diese geografischen Einheiten mit 20.000 oder weniger Einwohnern werden in 000 geändert
3. Daten (außer Jahr), die in direktem Zusammenhang mit einer Person stehen
4. Telefonnummern
5. Fax-Nummern
6. E-Mail-Adressen
7. Sozialversicherungsnummern
8. Zahlen der Krankenakten
9. Nummer der Begünstigten des Krankenversicherungsplans
10. Kontonummern
11. Zertifikats-/Lizenznummern
12. Fahrzeugkennungen und Seriennummern, einschließlich Nummernschilder;
13. Gerätekennungen und Seriennummern;
14. Web einheitliche Ressourcen-Standorte (URLs)
15. IP-Adressnummern (Internet Protocol)
16. Biometrische Identifikatoren, einschließlich Finger-, Netzhaut- und Stimmabdrücke
17. Vollgesichtsfotografien und vergleichbare Bilder
18. Alle anderen eindeutigen Identifikationsnummern, Merkmale oder Codes mit Ausnahme des eindeutigen Codes, der vom Prüfer zur Codierung der Daten zugewiesen wurde

Lesen Sie unseren vollständigen Leitfaden zu geschützten Gesundheitsinformationen für weitere Informationen >

Wann ist es einem HIPAA-Unternehmen gestattet, PHI zu verwenden oder offenzulegen?

Einer betroffenen Entität ist es gestattet, aber nicht verpflichtet, PHI ohne die Genehmigung einer Person für die folgenden Zwecke oder Situationen zu verwenden und offenzulegen:

1. An die Einzelperson: Betroffene Unternehmen können PHI an die Person weitergeben, die den Informationen unterliegt.
2. Behandlung, Zahlung und Gesundheitsversorgung: Betroffene Unternehmen können PHI für ihre eigenen Behandlungs-, Zahlungs- und Gesundheitsversorgungsvorgänge verwenden und offenlegen. Darüber hinaus können sie PHI an eine andere betroffene Einheit für Behandlungsaktivitäten, Zahlungsaktivitäten oder Qualitäts- oder Kompetenzsicherungsaktivitäten, Betrugs- und Missbrauchserkennung und Compliance-Aktivitäten weitergeben, solange beide abgedeckten Einrichtungen eine Beziehung zu der Person haben oder hatten und die Informationen sich auf die Beziehung beziehen.
3. Möglichkeit zur Zustimmung oder zum Einwand: Eine informelle Erlaubnis kann eingeholt werden, indem die Person direkt darum gebeten wird, oder durch Umstände, die der Person eindeutig die Möglichkeit geben, zuzustimmen, sich zu fügen oder Einwände zu erheben. Wenn die Person handlungsunfähig ist, sich in einer Notsituation befindet oder nicht verfügbar ist, können die betroffenen Einrichtungen ein professionelles Urteilsvermögen anwenden, um das Wohl der Person zu bestimmen.
4. Vorfall bei einer anderweitig zulässigen Verwendung und Offenlegung: Die zufällige Verwendung oder Offenlegung von PHI ist zulässig, solange die betroffene Entität angemessene Sicherheitsvorkehrungen getroffen hat, wie sie in der Datenschutzregel vorgeschrieben sind, und die weitergegebenen Informationen auf das erforderliche Minimum beschränkt wurden.
5. Aktivitäten im öffentlichen Interesse und im Nutzen: PHI können ohne Genehmigung oder Erlaubnis einer Person für 12 nationale vorrangige Zwecke offengelegt werden, z. B. wenn sie für Strafverfolgungszwecke erforderlich sind.
6. Begrenzter Datensatz für Forschung, öffentliche Gesundheit oder Gesundheitsbetriebe: Ein begrenzter Datensatz ist PHI, aus dem bestimmte spezifizierte direkte Identifikatoren von Einzelpersonen und ihren Verwandten, Haushaltsmitgliedern und Arbeitgebern entfernt wurden.

Erfahren Sie mehr über die häufigsten HIPAA-Verstöße >

Wie kann ich die HIPAA-Datenschutzregel einhalten?

Das HHS erkennt an, dass die abgedeckten Einrichtungen von kleinen Anbietern bis hin zu großen, bundesstaatlichen Krankenversicherungen reichen. Daher bietet die Privacy Rule Flexibilität und Skalierbarkeit, die es Unternehmen ermöglicht, ihre eigenen Bedürfnisse zu analysieren und Lösungen zu implementieren, die für ihre Umgebung, Größe, Ressourcen und ihr Geschäft geeignet sind.

Es ist jedoch wichtig zu beachten, dass die Datenschutzregel nur ein Teil der HIPAA-Konformität ist.

Allerdings gibt es einige Anforderungen:

• Datenschutzrichtlinien und -verfahren: Betroffene Unternehmen müssen schriftliche Datenschutzrichtlinien und -verfahren entwickeln und umsetzen, die mit der Datenschutzregel übereinstimmen
• Datenschutzpersonal: Betroffene Unternehmen müssen einen Datenschutzbeauftragten benennen, der für die Entwicklung und Umsetzung ihrer Datenschutzrichtlinien und -verfahren verantwortlich ist, sowie eine Kontaktperson oder Kontaktstelle, die für die Entgegennahme von Beschwerden und die Bereitstellung von Informationen über Datenschutzpraktiken zuständig ist.
• Schulung und Management der Belegschaft: Alle Mitarbeiter müssen in den Datenschutzrichtlinien und -verfahren des betroffenen Unternehmens geschult werden, soweit dies für die Ausübung ihrer Funktionen erforderlich und angemessen ist.
• Abhilfe: Betroffene Unternehmen müssen versuchen, schädliche Auswirkungen zu mildern, von denen sie erfahren, dass sie durch die Verwendung oder Offenlegung von PHI durch ihre Mitarbeiter oder Geschäftspartner unter Verstoß gegen ihre Datenschutzrichtlinien und -verfahren oder die Datenschutzregel verursacht wurden.
• Datengarantien: Betroffene Unternehmen müssen angemessene und angemessene administrative, technische und physische Sicherheitsvorkehrungen treffen, um die absichtliche oder unbeabsichtigte Nutzung oder Offenlegung von PHI zu verhindern.
• Beschwerden: Betroffene Unternehmen müssen über Verfahren verfügen, über die sich Einzelpersonen über die Einhaltung ihrer Datenschutzrichtlinien und -verfahren sowie der Datenschutzregel beschweren können. Unter anderem müssen die Unternehmen angeben, wo Einzelpersonen Beschwerden einreichen können, und den Beschwerdeführern mitteilen, dass sie ihre Beschwerden beim Secretary of HHS einreichen können.
• Vergeltungsmaßnahmen und Verzicht: Betroffene Unternehmen können keine Vergeltungsmaßnahmen gegen eine Person ergreifen, wenn sie Rechte ausübt, die durch die Datenschutzregel gewährt werden, eine HHS-Untersuchung oder eine andere zuständige Behörde unterstützt oder sich einer Handlung oder Praxis widersetzt, von der die Person glaubt, dass sie gegen die Datenschutzregel verstößt.
• Dokumentation und Aufbewahrung von Aufzeichnungen: Betroffene Unternehmen müssen bis sechs Jahre nach dem späteren Zeitpunkt des Erstellungsdatums oder des letzten Inkrafttretens ihre Datenschutzrichtlinien und -verfahren, ihre Hinweise zur Datenschutzpraxis, die Erledigung von Beschwerden und andere Maßnahmen, Aktivitäten und Bezeichnungen aufrechterhalten, die gemäß der Datenschutzregel dokumentiert werden müssen.

Welche Strafen drohen bei Nichteinhaltung der HIPAA-Datenschutzregel?

Das Department of Health and Human Services, Office for Civil Rights (OCR), ist für die Verwaltung und Durchsetzung dieser Standards verantwortlich und kann Beschwerdeuntersuchungen und Compliance-Überprüfungen durchführen.

Betroffene Unternehmen, die sich freiwillig nicht an die Standards halten, können mit zivilrechtlichen Geldstrafen belegt werden. Darüber hinaus können bestimmte Verstöße gegen die Privacy Rule strafrechtlich verfolgt werden.

Bevor eine zivilrechtliche Strafe verhängt wird, benachrichtigt OCR die betroffene Einrichtung und gibt ihr die Möglichkeit, schriftliche Beweise vorzulegen, die sie von der Strafe abhalten oder ausschließen könnten. Diese muss innerhalb von 30 Tagen nach Erhalt der Mitteilung bei OCR eingereicht werden.

Darüber hinaus hat eine betroffene Einrichtung, wenn OCR beabsichtigt, eine Strafe zu verhängen, das Recht, eine Verwaltungsanhörung zu beantragen, um Berufung einzulegen.

Die zivilrechtlichen Strafen reichen von 100 bis 50.000 $+ pro HIPAA-Verstoß mit einer Kalenderjahresobergrenze von 1.500.000 $.

In einigen Situationen werden keine zivilrechtlichen Strafen verhängt, wenn:

• Die Nichteinhaltung war nicht auf vorsätzliche Vernachlässigung zurückzuführen und wurde innerhalb eines Zeitraums von 30 Tagen korrigiert, nachdem das Unternehmen wusste oder hätte wissen müssen, dass die Nichteinhaltung aufgetreten war
• Das Justizministerium hat eine strafrechtliche Sanktion für die Nichteinhaltung verhängt.

Darüber hinaus kann OCR eine Strafe herabsetzen, wenn die Nichteinhaltung auf einen vernünftigen Grund zurückzuführen ist und die Strafe angesichts der Art und des Ausmaßes der Nichteinhaltung überhöht wäre.

Wenn eine Person wissentlich PHI erhält oder offenlegt, kann sie mit einer Strafstrafe von bis zu 50.000 US-Dollar und einer Freiheitsstrafe von einem Jahr rechnen. Dies kann auf 100.000 US-Dollar und bis zu fünf Jahre Haft für unrechtmäßiges Verhalten unter falschem Vorwand und bis zu 250.000 US-Dollar und bis zu 10 Jahre Haft für unrechtmäßiges Verhalten steigen, das die Absicht beinhaltet, PHI zu verkaufen, zu übertragen oder zu verwenden, um sich kommerziell zu bereichern, persönlichen Vorteil oder böswillige Schäden zu erzielen.

Erfahren Sie mehr über die Strafen für HIPAA-Verstöße >

UpGuard hilft dem Gesundheitswesen, Patientendaten zu schützen und kostspielige Verstöße gegen gesetzliche Vorschriften zu vermeiden, indem es Sicherheitsmaßnahmen anbietet, die speziell zur Unterstützung der Einhaltung der HIPAA-Datenschutzregel entwickelt wurden.

Programm für Lieferantenrisikomanagement (VRM)

Vendor Risk von UpGuard ist eine Lösung für das Lieferantenrisikomanagement, die den gesamten Lebenszyklus des Lieferantenrisikomanagements abdeckt, einschließlich:

• Kontinuierliche Überwachung der Angriffsfläche - Erkennen Sie sofort Sicherheitsrisiken, die die Sicherheit von Patientendaten sowohl intern als auch im gesamten Netzwerk von Drittanbietern bedrohen
• Erkennung von Datenlecks durch Drittanbieter - Erkennen und schließen Sie schnell sensible Datenlecks im Gesundheitswesen im Dark Web, bevor sie von Cyberkriminellen missbraucht werden.
• Management der Risikobewertung - Verwalten Sie den gesamten Lebenszyklus von Lieferantenfragebögen auf einer übersichtlichen Plattform.
• Risikobehebung - Weisen Sie Ticker für die Risikobehebung zu und verfolgen Sie deren Fortschritt mit hilfreichen Integrationen wie Zapier

HIPAA-Sicherheitsfragebogen

Risikobewertungen ermöglichen es Organisationen im Gesundheitswesen, eine detaillierte Risikoanalyse aller Sicherheitsrisiken von Drittanbietern durchzuführen, die möglicherweise zu einer Kompromittierung von Daten führen könnten. Um Organisationen im Gesundheitswesen dabei zu unterstützen, sowohl die Risikobewertung als auch den Prozess der HIPAA-Compliance-Verfolgung zu beschleunigen, hat UpGuard einen HIPAA-spezifischen Sicherheitsfragebogen entwickelt.

Der HIPAA-Fragebogen von UpGuard hilft Einrichtungen im Gesundheitswesen dabei, leicht festzustellen, ob ihre Anbieter die Sicherheitsstandards von HIPAA einhalten, und eine Risikokartierungsfunktion hebt alle Sicherheitsrisiken hervor, die die HIPAA-Konformität bedrohen, damit sie angegangen werden können, um einen Verstoß zu vermeiden.

Sicherheitsbewertungen

Die Sicherheitsbewertungslösung von UpGuard bietet Ihnen einen zentralen Überblick über den Sicherheitsstatus Ihres gesamten Anbieternetzwerks. Die Sicherheitsbewertung jedes Anbieters basiert auf einer Analyse von 70+ gängigen Angriffsvektoren, darunter:

• Anfälligkeit für Man-in-the-Middle-Angriffe
• Unsichere SSL/TLS-Zertifikate
• SPF-, DKIM- und DMARC-Einstellungen
• HTTP Streng Transport Sicherheit (HSTS)
• E-Mail-Spoofing und Phishing-Risiko
• Schwachstellen
• Anfälligkeit für Malware
• Unnötige offene Administrations-, Datenbank-, App-, E-Mail- und File-Sharing-Ports
• Gefährdung durch bekannte Datenschutzverletzungen und Datenlecks
• Anfällige Software
• HTTP-Zugänglichkeit
• Sichere Cookie-Konfiguration
• Ergebnisse intelligenter Sicherheitsfragebögen

Die Sicherheitsbewertungslösung von UpGuard umfasst eine Funktion zur Verbesserung der prognostizierten Punktzahl, die die prognostizierten Auswirkungen jeder einzelnen Abhilfemaßnahme auf die allgemeine Sicherheitslage eines Anbieters angibt. In Verbindung mit dem HIPAA-Fragebogen von UpGuard können Sicherheitsteams diese Funktion nutzen, um Aufgaben mit den größten positiven Auswirkungen auf die HIPAA-Compliance zu priorisieren.