Salvaguardie HIPAA per PHI: Requisiti Fisici, Tecnici e Amministrativi
Per proteggere privacy e sicurezza delle Informazioni Sanitarie Protette (PHI), HIPAA richiede a enti coperti e business associate di implementare salvaguardie in tre domini garantendo confidenzialità, integrità e disponibilità.
Salvaguardie Fisiche (§164.310)
- Controlli Accesso Struttura: Limitare accesso fisico aree contenenti PHI (badge access, log visitatori, sicurezza)
- Uso e Sicurezza Workstation: Policy per uso corretto, posizionamento schermo, logoff automatico, blocco dispositivi
- Controlli Dispositivi e Supporti: Smaltimento, riutilizzo, accountability, rimozione dati per hardware/supporti contenenti PHI
Salvaguardie Tecniche (§164.312)
- Controllo Accesso: User ID univoci, procedure accesso emergenza, logoff automatico, crittografia/decrittografia
- Controlli Audit: Hardware/software/meccanismi per registrare ed esaminare attività in sistemi contenenti PHI
- Controlli Integrità: Proteggere PHI da alterazione/distruzione impropria (checksum, firme digitali)
- Sicurezza Trasmissione: Criptare PHI in transito (TLS 1.2+); controlli integrità per trasmissione elettronica
Salvaguardie Amministrative (§164.308)
- Assegnazione Responsabile Sicurezza: Individuo designato responsabile policy/procedure
- Formazione Workforce: Formazione regolare, role-based su policy/procedure privacy/sicurezza
- Analisi Rischi: Valutazione rischi periodica, completa (almeno annuale, plus revisioni trigger)
- Gestione Rischi: Implementare misure mitigazione rischi identificati
- Policy Sanzioni: Conseguenze per violazioni workforce
- Revisione Attività Sistemi Informazione: Revisione regolare log audit
- Piano Contingenza: Backup dati, disaster recovery, operazione modalità emergenza, testing
- Accordi Business Associate (BAA): Richiesti per tutti vendor gestenti PHI
Requisiti Addizionali
- Notifica Violazione: <60 giorni per violazioni ≥500 individui; annuale per violazioni minori
- De-identificazione: Safe Harbor (18 identificatori rimossi) o metodi Expert Determination
- Audit Regolari e Monitoraggio Conformità: Interni ed esterni
Implementare queste salvaguardie protegge PHI da minacce, violazioni e accessi non autorizzati mantenendo conformità HIPAA.