Η Απαίτηση «Επαρκών Εγγυήσεων» στις BAA
Ο Κανόνας Απορρήτου του HIPAA έχει μια σαφή διάταξη. Οι καλυπτόμενες οντότητες οφείλουν να υπογράφουν Συμφωνίες Επιχειρηματικού Συνεργάτη (BAA). Μια BAA απαιτείται για κάθε συνεργάτη που χειρίζεται προστατευμένες πληροφορίες υγείας (PHI). Κάθε BAA πρέπει να περιλαμβάνει «επαρκείς εγγυήσεις». Αυτές οι εγγυήσεις επιβεβαιώνουν ότι ο συνεργάτης διαθέτει τα κατάλληλα μέτρα ελέγχου. Οι βασικές ρυθμίσεις βρίσκονται στις παραγράφους 45 CFR 164.308, 164.310 και 164.312.
Ο όρος «επαρκείς εγγυήσεις» δεν ορίζεται με ακρίβεια στον νόμο. Ωστόσο, οι κατευθυντήριες οδηγίες του OCR είναι σαφείς σε ένα σημείο. Οι εγγυήσεις πρέπει να στηρίζονται σε πραγματικά, τεκμηριωμένα αποδεικτικά στοιχεία. Ένα νοσοκομείο που υπογράφει μια BAA χωρίς να ελέγξει τα πραγματικά μέτρα ελέγχου ενός συνεργάτη δεν μπορεί να αποδείξει την άσκηση δέουσας επιμέλειας. Αν αυτός ο συνεργάτης στη συνέχεια υποστεί παραβίαση δεδομένων, το νοσοκομείο βρίσκεται σε δύσκολη θέση.
Εδώ βοηθά το ISO 27001. Η πιστοποίηση αντιστοιχίζεται στις περισσότερες απαιτήσεις ελέγχου του HIPAA. Η αντιστοίχιση δεν είναι τέλεια — το HIPAA έχει ορισμένους κλαδικούς κανόνες που δεν καλύπτει το ISO 27001. Ωστόσο, η επικάλυψη είναι αρκετά εκτεταμένη για τους περισσότερους ελέγχους δέουσας επιμέλειας στο πλαίσιο BAA.
Η Αντιστοίχιση Μέτρων Ελέγχου
Τα μέτρα ελέγχου του Παραρτήματος Α του ISO 27001 ευθυγραμμίζονται και με τις τρεις κατηγορίες διασφαλίσεων του HIPAA.
Διοικητικές διασφαλίσεις (164.308): Τα μέτρα ελέγχου A.5 έως A.8 καλύπτουν πολιτικές, ρόλους, κανόνες για το προσωπικό και παρακολούθηση περιουσιακών στοιχείων. Ανταποκρίνονται στις απαιτήσεις του HIPAA για τυπικό πρόγραμμα, ανατεθειμένους ρόλους, κανόνες εργατικού δυναμικού και σχέδια ανάκαμψης.
Φυσικές διασφαλίσεις (164.310): Το μέτρο ελέγχου A.11 καλύπτει φυσικές προστασίες και προστασίες εγκαταστάσεων. Αντιστοιχίζεται στον έλεγχο πρόσβασης σε εγκαταστάσεις, τη χρήση σταθμών εργασίας και τους ελέγχους συσκευών.
Τεχνικές διασφαλίσεις (164.312): Τα μέτρα ελέγχου A.9, A.10, A.12 και A.13 καλύπτουν πρόσβαση, κρυπτογράφηση και λειτουργίες. Αντιστοιχίζονται στις ανάγκες ελέγχου, ακεραιότητας και μεταφοράς δεδομένων του HIPAA.
Πρακτική Εφαρμογή στον Τομέα Υγείας
Ένα περιφερειακό σύστημα υγείας ανανεώνει τους ελέγχους των συνεργατών του. Η ομάδα συμμόρφωσης ζητά από μια εταιρεία απαλοιφής ταυτότητας απόδειξη «κατάλληλων διασφαλίσεων». Η εταιρεία αποστέλλει το πιστοποιητικό ISO 27001 και ένα πλέγμα αντιστοίχισης ελέγχων. Το πλέγμα συνδέει κάθε μέτρο ελέγχου ISO με την αντίστοιχη ενότητα HIPAA — 164.308, 164.310 και 164.312.
Ο υπεύθυνος συμμόρφωσης καταγράφει αυτά στον φάκελο BAA. Αυτό το αρχείο ανταποκρίνεται στις ανάγκες ελέγχου του OCR. Δεν χρειάζεται προσαρμοσμένος έλεγχος 150 ερωτήσεων.
Εν ολίγοις, το ISO 27001 παρέχει στις καλυπτόμενες οντότητες μια στέρεη, έτοιμη βάση αποδεικτικών στοιχείων για τη δέουσα επιμέλεια στο πλαίσιο BAA. Δείτε πώς η anonym.legal ανταποκρίνεται σε αυτές τις απαιτήσεις στη σελίδα ασφάλειας και συμμόρφωσης και στα νομικά έγγραφα συμμόρφωσης.