Вимога «задовільних гарантій» у BAA
Правило конфіденційності HIPAA чітко встановлює: охоплені суб'єкти зобов'язані підписувати Угоди з діловими партнерами (BAA). BAA є обов'язковою для кожного партнера, який має справу із захищеною медичною інформацією (PHI). Кожна BAA повинна містити «задовільні гарантії». Ці гарантії підтверджують, що партнер запровадив належні засоби контролю. Ключові вимоги містяться у 45 CFR 164.308, 164.310 та 164.312.
Поняття «задовільні гарантії» у законі не визначене чітко. Але роз'яснення OCR не залишає сумнівів: гарантії мають спиратися на реальні, задокументовані докази. Лікарня, яка підписує BAA без перевірки фактичних засобів контролю партнера, не може довести належну обачність. Якщо у такого партнера пізніше стався витік даних, лікарня опиняється у серйозній ситуації.
Саме тут ISO 27001 стає в пригоді. Сертифікація охоплює більшість потреб HIPAA щодо контролю. Відповідність не є абсолютною — HIPAA містить деякі специфічні для охорони здоров'я правила, на які ISO 27001 не поширюється. Проте перетин достатньо широкий для більшості перевірок належної обачності в рамках BAA.
Відповідність засобів контролю
Контролі Додатку A до ISO 27001 узгоджуються з усіма трьома групами захисних заходів HIPAA.
Адміністративні захисні заходи (164.308): Контролі A.5–A.8 охоплюють політику, ролі, правила для персоналу та облік активів. Вони відповідають вимогам HIPAA щодо формальної програми, призначених ролей, правил для персоналу та планів резервного копіювання.
Фізичні захисні заходи (164.310): Контроль A.11 охоплює фізичний захист та захист об'єктів. Він відповідає вимогам щодо контролю доступу до приміщень, використання робочих станцій та пристроїв.
Технічні захисні заходи (164.312): Контролі A.9, A.10, A.12 та A.13 охоплюють доступ, шифрування та операції. Вони відповідають потребам HIPAA щодо аудиту, цілісності та передачі даних.
Практичний приклад дотримання вимог у сфері охорони здоров'я
Регіональна система охорони здоров'я поновлює перевірки партнерів. Команда з питань відповідності запитує у фірми з деідентифікації доказ «відповідних захисних заходів». Фірма надсилає свій сертифікат ISO 27001 та таблицю відповідності контролів. У таблиці кожен контроль ISO пов'язаний із відповідним розділом HIPAA — 164.308, 164.310 та 164.312.
Фахівець з питань відповідності фіксує це у файлі BAA. Цей запис відповідає вимогам аудиту OCR. Жодного спеціального опитувальника на 150 питань не потрібно.
Отже, ISO 27001 надає охопленим суб'єктам надійну, готову доказову базу для підтвердження належної обачності в рамках BAA. Дізнайтеся, як anonym.legal відповідає цим вимогам, на сторінці безпеки та відповідності та у документації з правової відповідності.