Барањето за задоволителни гаранции во BAA
Правилото за приватност на HIPAA е јасно. Покриените субјекти мораат да потпишат Договори за деловни соработници (BAA). BAA е задолжителен за секој партнер кој ракува со заштитени здравствени информации (PHI). Секој BAA мора да содржи "задоволителни гаранции". Овие гаранции потврдуваат дека партнерот ги има воспоставено вистинските контроли. Клучните правила се содржани во 45 CFR 164.308, 164.310 и 164.312.
Терминот "задоволителни гаранции" не е прецизно дефиниран во законот. Но упатствата на OCR го разјаснуваат едно нешто. Гаранциите мораат да се засноваат на реален, документиран доказ. Болница која потпишува BAA без да ги провери вистинските контроли на партнерот не може да докаже должна грижа. Ако тој партнер подоцна доживее нарушување, болницата се соочува со вистински проблем.
Затоа ISO 27001 е корисен овде. Сертификацијата се усогласува со повеќето контролни барања на HIPAA. Усогласувањето не е совршено. HIPAA има некои здравствено-специфични правила кои ISO 27001 не ги покрива. Но преклопувањето е доволно широко за повеќето проверки на должна грижа во рамки на BAA.
Усогласувањето на контролите
Контролите во Анекс А на ISO 27001 се усогласуваат со сите три групи на заштитни мерки на HIPAA.
Административни заштитни мерки (164.308): Контролите A.5 до A.8 покриваат политики, улоги, правила за персонал и следење на средства. Тие ги исполнуваат барањата на HIPAA за формална програма, доделени улоги, правила за работна сила и резервни планови.
Физички заштитни мерки (164.310): Контролата A.11 ги покрива физичките заштити и заштитите на локации. Таа се усогласува со контролата на пристап до објекти, користење на работни станици и контрола на уреди.
Технички заштитни мерки (164.312): Контролите A.9, A.10, A.12 и A.13 покриваат пристап, шифрирање и операции. Тие се усогласуваат со барањата на HIPAA за ревизија, интегритет и пренос на податоци.
Случај на употреба за усогласеност во здравството
Регионален здравствен систем ги обновува проверките на партнерите. Неговиот тим за усогласеност бара доказ за "соодветни заштитни мерки" од фирма за де-идентификација. Фирмата го испраќа своето ISO 27001 сертификат и вкрстена табела на контроли. Табелата ја поврзува секоја ISO контрола со соодветната HIPAA секција - 164.308, 164.310 и 164.312.
Офицерот за усогласеност го евидентира ова во досието на BAA. Тој запис ги исполнува потребите за ревизија на OCR. Не е потребна никаква прилагодена проверка со 150 прашања.
Накратко, ISO 27001 им дава на покриените субјекти цврста, готова база на докази за должна грижа во рамки на BAA. Погледнете ги потребите кои anonym.legal ги исполнува на страницата за безбедност и усогласеност и во документите за правна усогласеност.